Options-Fundament und Kapitalmodell im Core; Modul OptionsWheel

Das OptionsWheel setzt auf Dingen auf, die es im Core nicht gab. Diese
Sitzung baut sie.

#298 Optionen als Instrument. InstrumentKind/OptionSpec und ein
druckbarer Instrumentenschluessel ("AAPL|20260918|C|150"); TradeSignal
und OrderRequest tragen ein optionales OptionSpec, ohne das sich der
Aktienpfad unveraendert verhaelt. Position.Notional rechnet ab jetzt mit
der Kontraktgroesse - vorher war jede Option um Faktor 100 zu klein
bewertet und damit jedes Risikolimit wirkungslos, lautlos und in die
gefaehrliche Richtung. Daneben neu BoundCapital: ein Short Put bindet
Strike x Kontraktgroesse, nicht die vereinnahmte Praemie.

#300 sell-to-open. Jeder Auftrag zerfaellt in einen schliessenden und
einen eroeffnenden Teil; der schliessende wird von keinem Limit
verhindert - auch nicht vom Kaufstopp, denn ein Rueckkauf baut eine
Verpflichtung ab. Deckungspruefung im Core, nicht im Modul: Short Call
nur mit freien Aktien, Short Put nur mit reservierbarem Bargeld.

#302-#305 Kapital- und Buchmodell. Buecher mit reservierten Namen und
Eigentumsregeln, Pool mit Caps und Headroom, Margin-Sperre in vier
Schichten, core_reservation mit Lebenszyklus, Frist, Idempotenz ueber
(SignalId, ContractKey) und Quarantaene beim Start.

#309/#310 Modul OptionsWheel: ow_-Schema mit fuenf Tabellen,
Zustandsautomat, StrikeSelector, RollDecider, PremiumMath - vollstaendig
ohne Broker testbar. Der Handelsbetrieb bleibt gesperrt, solange #299
und #294 fehlen; das Modul sagt das ueber GetActivationBlocker, statt
still nichts zu tun.

#293 --verify-order am Daemon: eine Order durch die vollstaendige Kette
(Buch, Risiko, Bindung, Order, Fill, Buchung, Abschluss). Ohne --confirm
ein Trockenlauf; Abbruch ausserhalb von Paper-Modus UND Paper-Port.

Drei Widersprueche in den Konzepten sind dabei entschieden worden:
Schicht B heisst ab jetzt "kein UNGEDECKTER Short" (der Grund der Regel
war der Kredit, nicht der Short), die Hausreserve wird einmal abgezogen
statt zweimal, und der Positionsschluessel ist eine Spalte statt eines
Sechser-Verbunds (MySQL verlangt NOT NULL fuer Schluesselspalten).
Begruendungen stehen in docs/ROADMAP.md.

Enthaelt ausserdem die noch nicht committete Arbeit aus der vorigen
Sitzung: die Fehlerbehebungen aus Epic X (WorkerBase-Intervall,
BackupWorker, --check gegen die Datenbank, CapitolTrades-429, SIGTERM)
samt DatabaseEndpoint, MysqlDumpTool und der Roadmap-Umstellung. Sie lag
im Arbeitsbaum und liess sich nicht abtrennen, weil beide Staende
dieselben Dateien beruehren.

213 -> 369 Tests, Build ohne Warnung.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

src/IBKRTrader.App/Program.cs

@@ -1,4 +1,7 @@
+using System.Runtime.InteropServices;
 using Avalonia;
+using Avalonia.Controls.ApplicationLifetimes;
+using Avalonia.Threading;
 using IBKRTrader.App.Shell;
 using IBKRTrader.Core.Logging;
 using IBKRTrader.Core.Modularity;
@@ -39,6 +42,15 @@ internal static class Program
         try
         {
             App.Services = host.Services;
+
+            // SIGTERM/SIGINT geordnet behandeln. Die Avalonia-Nachrichtenschleife endet sonst nur,
+            // wenn das letzte Fenster geschlossen wird: beim Abmelden, beim Herunterfahren des
+            // Rechners und bei jedem systemctl stop bekam die Shell ein SIGTERM, ignorierte es und
+            // wurde nach Ablauf der Frist mit SIGKILL abgeräumt – mitten im Worker-Lauf, ohne
+            // Modul- und Host-Stopp. Der Daemon behandelt beide Signale über den Host bereits.
+            using var sigterm = RegisterShutdownSignal(PosixSignal.SIGTERM, logger);
+            using var sigint  = RegisterShutdownSignal(PosixSignal.SIGINT,  logger);
+
             BuildAvaloniaApp().StartWithClassicDesktopLifetime(args);
             return 0;
         }
@@ -50,6 +62,32 @@ internal static class Program
         }
     }
 
+    /// <summary>
+    /// Beendet die Oberfläche auf ein Signal hin regulär, damit der finally-Zweig mit Modul- und
+    /// Host-Stopp greift. Steht die Oberfläche noch nicht, bleibt die Vorgabebehandlung des
+    /// Signals stehen; kennt die Plattform das Signal nicht, läuft die Shell wie bisher weiter.
+    /// </summary>
+    private static IDisposable? RegisterShutdownSignal(PosixSignal signal, LoggingService logger)
+    {
+        try
+        {
+            return PosixSignalRegistration.Create(signal, ctx =>
+            {
+                if (Avalonia.Application.Current?.ApplicationLifetime is not IClassicDesktopStyleApplicationLifetime desktop)
+                    return;
+
+                ctx.Cancel = true; // sonst endet der Prozess sofort – ohne Modul- und Host-Stopp
+                logger.Info("Core", $"{signal} empfangen – Oberfläche wird geordnet beendet.");
+                Dispatcher.UIThread.Post(() => desktop.Shutdown());
+            });
+        }
+        catch (Exception ex)
+        {
+            logger.Warn("Core", $"{signal} konnte nicht behandelt werden: {ex.Message}");
+            return null;
+        }
+    }
+
     /// <summary>Von Avalonia erwartete Fabrikmethode (auch vom XAML-Previewer genutzt).</summary>
     public static AppBuilder BuildAvaloniaApp() =>
         AppBuilder.Configure<App>()