Define self-update recovery remediation (T-617)

docs/06-tasks.md

@@ -105,6 +105,14 @@ Phase 3 的 T-301 → T-302 → T-303 是安全关键依赖链,任务之间保
 | T-402 | 子软件更新流程 | T-401 | 可更新识别→确认退出→更新→失败回滚仍可启动旧版;更新不触碰 data/licenses |
 | T-403 | SoftBoxUpdater 盒子自更新 | T-402 | 独立 Updater 按 CLI 合约工作;更新中断可恢复;新版健康状态写入 |
 
+#### Phase 4 交叉复核整改
+
+T-617 先关闭 T-403 自更新的 `prepared` rename 后目录 sync 失败会留下 target 缺失/backup 存在而旧 Recover 删除 journal 的恢复一致性缺陷，并补齐可无头验证的故障注入、五个 transaction phase Recover 与双端 health CLI 参数拒绝测试。Windows 文件锁、杀毒和断电真机结论仍归 T-601；可信 Catalog/下载/许可证/自更新发布源装配另行拆任务。
+
+| ID | 任务 | 依赖 | 验收要点 |
+| --- | --- | --- | --- |
+| T-617 | 自更新事务恢复与健康门禁加固 | T-403 | prepared rename+sync 不一致可恢复或保留 journal/backup fail closed；五 phase 恢复、可注入 durability/cleanup 故障链和双端 health flag 参数拒绝均有证据 |
+
 ### Phase 5 · 授权
 
 | ID | 任务 | 依赖 | 验收要点 |