Autostart durch Manager, mit Sicherungsautomat (#528)

Entschieden vom Benutzer am 2026-09-08. Der Schalter heisst
autostartByManager und steht in InstanceSettings.json - bei der Instanz,
nicht beim Manager.

ZWEI DINGE IN EINEM SCHALTER, weil es dieselbe Zusage ist: Der Manager
startet diese Instanz, wenn er selbst hochkommt, und er startet sie wieder,
wenn sie abstuerzt. Ohne den Schalter ruehrt er nichts an - ein Manager,
der nach einem Neustart der Maschine alles hochfaehrt, was er findet,
startet auch das, was jemand mit Absicht angehalten hat. Ausgeschaltet
vorbelegt.

DER SICHERUNGSAUTOMAT ist der eigentliche Inhalt. Wieder hochzufahren ist
die einfache Haelfte; die schwierige ist zu erkennen, wann man es lassen
muss. Nach drei Neustarts in zehn Minuten (maxRestartsInWindow,
restartWindowMinutes) setzt der Manager aus und meldet es. Die Instanz
bleibt dann aus, bis jemand sie von Hand startet - und dieser Start raeumt
den Zaehler ab, denn wer von Hand startet, hat entweder etwas geaendert
oder weiss, was er tut. Das Zeitfenster wandert: Eine Instanz, die einmal
im Monat abstuerzt und wieder hochkommt, laeuft nie in die Grenze.

Nur bei einem Absturz, nicht wenn eine Instanz verstummt. Eine stumme
Instanz lebt noch; sie neu zu starten hiesse, sie erst abzuschiessen, und
ob der Manager das von sich aus darf, ist nicht entschieden. Als offene
Frage aufgeschrieben - genau dieser Zustand war der Anlass des Vorhabens.

Der Schalter steht bei der Instanz, weil er eine Eigenschaft dieser Instanz
ist und weil die Instanzdatei dem Instanzprozess gehoert: Sie vom Manager
schreiben zu lassen, waehrend die Instanz laeuft, waeren zwei Schreiber auf
einer Datei. Der Manager liest ihn nur; geaendert wird er auf der
Einstellungsseite der Instanz.

EIN DEFEKT, den erst diese Tests gezeigt haben: StartAsync gab "laeuft
schon" zurueck, wenn die Aufsicht die Instanz fuer laufend hielt - ohne
nachzusehen. Zwischen zwei Aufsichtsdurchgaengen liegen aber Sekunden, und
in denen kann sie wegbrechen. Wer in dieser Luecke "starten" verlangte,
bekam einen Erfolg, hinter dem nichts stand, und der naechste Durchgang
meldete einen Absturz, den niemand mehr erwartete. Jetzt wird gefragt,
bevor zugestimmt wird.

UND EIN TESTDOUBLE, das die Wirklichkeit nicht abbildete: Der falsche
Socket antwortete unabhaengig davon, ob ein Prozess lief. Damit war jeder
Testaufbau, der die Antwort vor dem Hochfahren hinterlegte, stillschweigend
ein anderer Test als beabsichtigt - eine Antwort sagt dem Manager "laeuft
bereits", er uebernimmt, und der Starter wird nie angefasst. Dreimal
passiert. Der falsche Socket haengt jetzt am falschen Starter.

Sicherungen im Manager sind als #530 zurueckgestellt, mit Ausloeser.
Vorab entschieden ist dort nur eines: Zurueckspielen ausschliesslich bei
inaktiver Instanz.

19 neue Tests. Build ohne Warnungen, 793 Tests gruen, 8 uebersprungen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

src/ClawdDotNet.Manager/ManagerSettings.cs

@@ -112,6 +112,29 @@ public sealed class ManagerSettings
     [JsonPropertyName("stopGraceSeconds")]
     public int StopGraceSeconds { get; set; } = 20;
 
+    // ─── Neustart nach Absturz ───
+
+    /// <summary>
+    /// Wie oft eine Instanz innerhalb von <see cref="RestartWindowMinutes"/> wieder
+    /// gestartet wird, bevor der Manager aussetzt.
+    ///
+    /// <para>Der Sicherungsautomat zum Autostart: Was an einer kaputten Konfiguration
+    /// scheitert, scheitert beim zehnten Versuch genauso — dann hat man statt einer toten
+    /// Instanz eine tote Instanz und ein volles Protokoll. Nach dem Aussetzen bleibt sie
+    /// aus, bis jemand sie von Hand startet; das ist gemeldet und nicht still.</para>
+    /// </summary>
+    [JsonPropertyName("maxRestartsInWindow")]
+    public int MaxRestartsInWindow { get; set; } = 3;
+
+    /// <summary>Der Zeitraum, über den <see cref="MaxRestartsInWindow"/> zählt.</summary>
+    [JsonPropertyName("restartWindowMinutes")]
+    public int RestartWindowMinutes { get; set; } = 10;
+
+    /// <summary>Die geprüfte Neustartregel.</summary>
+    public RestartPolicy ToRestartPolicy() => new(
+        MaxRestarts: Math.Clamp(MaxRestartsInWindow, 1, 100),
+        Window: TimeSpan.FromMinutes(Math.Clamp(RestartWindowMinutes, 1, 1440)));
+
     /// <summary>
     /// Die Werte aus dieser Datei als geprüfte Aufsichtsvorgaben.
     ///