feat(patrol): 一輪巡檢落地，心跳改由巡檢跑完才寫

What：
- 新增 tools/patrol.sh，三個子命令：collect 收集、finish 收尾、abort 中止。這一輪的巡檢項目是四項純讀取：使用統計、版本落差與重啟閘門、階段鎖與工作包鎖、心跳自述。
- 心跳的寫入從排程移到巡檢收尾。排程只呼叫巡檢，不再直接寫心跳。
- 排程週期由心跳門檻推導，不再寫死。install heartbeat 這個工作代號改為拒絕。

Why：
- 排程直接寫心跳的話，心跳新鮮只證明排程活著。巡檢整個壞掉、每輪都失敗，心跳照樣新鮮，閘門照樣放行，而且沒有任何錯誤訊息——這是無聲失效，是最難發現的一種。
- 改成巡檢寫，心跳新鮮才等於上一輪真的跑完了。閘門判的才是工作訊號，不是行程存活訊號。
- 門檻是讀取端的設定，心跳檔裡不存它。所以週期與門檻各寫死一個數字一定會撞：門檻五分鐘、巡檢十五分鐘，心跳永遠是過期的。

How：
- 週期取「滿足漏掉一輪還算新鮮、漏掉兩輪才過期」的最大值，並且要能整除一小時。要拉長巡檢週期就調大門檻，週期自動跟著長，兩個數字不會各走各的。
- 心跳只看「這一輪有沒有把結果記下來」，不看四項的成敗。四項有失敗但監控頁寫成了就寫心跳，頁上判定標警示；頁寫不成就中止，一定不寫，讓心跳自己過期。頁每輪都寫失敗卻照樣寫心跳，等於把這次要修掉的缺陷原封不動搬過去。
- 整輪拿一把目錄鎖，搶不到就讓開，不排隊也不並行。並行兩輪會在同一頁附兩節，還會互相蓋掉用量快照。鎖逾時可被下一輪搶走，被搶走的那一輪收尾時對不上就不寫心跳——它沒跑到底，不該蓋章。
- 任一項失敗不影響其餘項目。失敗要在監控頁上看得出來是失敗，不是沒資料；來源是空的則明寫「那是零次，不是故障」。
- 版本盤點照抄腳本原字。抄到查詢失敗就寫查詢失敗，不改寫成相符、也不自己補查遠端版本——查不到是沒有證據，不是版本沒問題。

Who：
助理落地的第四塊。排程那一輪留下的問題在這裡解掉了。

templates/monitor-contents.md

@@ -15,8 +15,8 @@
 | 監控頁 | 指向 `MONITOR_{HASH}` 的同 wiki 連結 | 少了連結就要人自己算雜湊才翻得到內容頁 |
 | 主機 | 這台機器的主機名，與雜湊第一段相同 | 比對用的兩欄之一，決定要更新哪一列 |
 | 帳號 | 助理執行時的登入帳號，與雜湊第二段相同 | 比對用的兩欄之一。同一台機器換帳號就是另一個巡檢對象 |
-| 心跳 | 巡檢當下的心跳判定，判準只看 `ts` 距現在是否不到 300 秒 | 一眼看出這台機器的助理還在不在跑，不必逐頁翻 |
-| 最後巡檢 | 該頁最新一節的時間戳 | 心跳新鮮而這一欄很舊，代表助理活著卻沒在巡 |
+| 心跳 | 巡檢當下（本輪寫入前）的心跳判定，判準只看 `ts` 距現在有沒有超過門檻，預設 300 秒 | 一眼看出這台機器上一輪巡檢有沒有跑完，不必逐頁翻 |
+| 最後巡檢 | 該頁最新一節的時間戳 | 心跳由巡檢寫，兩欄理當一致；差很多就代表有一輪寫了心跳卻沒寫頁，那是缺陷 |
 | 待辦筆數 | 待辦簿現有筆數 | 心跳新鮮而筆數為 0，代表助理空轉，沒有東西可跑 |
 | 連續失敗項 | 該頁最新一節裡 `fail_count` 大於 0 的筆數 | 待辦簿的項目失敗不會自動暫停，每輪都重試。這一欄讓壞掉的項目在目錄頁就現形 |
 

templates/monitor-page.md

@@ -7,12 +7,15 @@
 
 ```mermaid
 flowchart LR
-  A[巡檢一輪] --> B[收攏六類結果]
+  A[巡檢一輪] --> B[收攏各類結果]
   B --> C[附加一節，節標題帶時間戳]
   C --> D[既有的節原樣保留]
   D --> E[回頭更新 MONITOR_CONTENTS 自己那一列]
+  E --> F[最後才寫心跳]
 ```
 
+心跳排在最後一步，不能提前。心跳新鮮的意思就是「上一輪跑到這一步了」：這一節沒寫上來，心跳就不寫，讓它自己過期。那是巡檢在空轉的唯一訊號。
+
 ## 本頁基本資料
 
 建頁時寫一次，之後不再更動。
@@ -26,13 +29,14 @@ flowchart LR
 
 ## 巡檢 {yyyy-MM-dd HH:mm}
 
-一輪巡檢就是這樣一節，最新的一節放在最下面。六個子節固定都寫；某個來源讀不到，就在那個子節寫明是哪個路徑讀不到，不要整節略過。
+一輪巡檢就是這樣一節，最新的一節放在最下面。六個子節固定都寫；某個來源讀不到，就在那個子節寫明是哪個路徑讀不到，不要整節略過。還沒實作的子節也照寫，寫明「這一輪不做這一項」——空表格會被讀成「查過了，沒問題」。
 
 | 項目 | 內容 |
 | --- | --- |
 | 巡檢時間 | {yyyy-MM-dd HH:mm} |
 | 觸發方式 | {排程、事件、手動 三選一} |
 | 本輪判定 | {正常、警示、異常 三選一} |
+| 本輪項目 | {這一輪跑了哪幾項，成功幾項、失敗幾項} |
 | 讀不到的來源 | {路徑清單，全部讀得到就寫「無」} |
 
 ### 心跳與閘門狀態
@@ -45,7 +49,9 @@ flowchart LR
 | session | {工作階段代號} |
 | pid | {數字}。只給要找行程的人參考，不參與判定 |
 
-心跳的判準只看 `ts` 距現在是否不到 300 秒。不看 pid 存活：五支 CLI 與容器裡的行程互相看不到彼此的 pid。閘門的判定留在 hook，助理只維持心跳。
+這一欄讀到的是**上一輪**巡檢寫的心跳：心跳由巡檢寫，本輪那一次要等這一節寫上來之後才寫。
+
+心跳的判準只看 `ts` 距現在有沒有超過門檻，預設 300 秒。不看 pid 存活：五支 CLI 與容器裡的行程互相看不到彼此的 pid。閘門的判定留在 hook，助理只維持心跳。心跳新鮮代表上一輪巡檢跑完了，不代表那一輪四項都成功——那要看本節上面的「本輪判定」。
 
 ### 技能與呼叫鏈使用統計
 
@@ -112,3 +118,4 @@ flowchart LR
 - 禁止整頁覆寫。覆寫等於把這台機器的巡檢軌跡刪掉。
 - 讀不到舊內容就中止，不附加，也不寫入。
 - 附加成功之後，才回頭更新 `MONITOR_CONTENTS` 自己那一列。
+- 兩頁都寫成之後，才寫這一輪的心跳。任一頁沒寫成就不寫心跳，讓它過期。