fix: revalidate exact EP update artifacts

[pcvantol]

Probleem

Een hervatte EP-update kon vóór de eerste duurzame overgang nog vertrouwen op eerder geobserveerde artifactbytes. Ook was een lagere targetversie onvoldoende expliciet begrensd als een aparte compatibele recovery-operatie.

Oplossing

• hash het exact geplande wheel opnieuw vóór inventarisatie of servicequiescence;
• faal gesloten bij ontbrekende/gewijzigde bytes of een hergebruikte release-identiteit met andere bytes;
• weiger downgrades buiten een afzonderlijke compatibele recovery-operatie;
• bewijs crash/reboot-hervatting tijdens migratie en CLEANUP_PENDING zonder runtime-stappen te herhalen.

Dit voert geen live update, migratie, servicewijziging of cleanup uit.

Validatie

• volledige owning unit-suite
• 31 gerichte installatie-updategedragstests
• gegenereerde projectie en diff-check