test(guard): 验收链改名入库 + 补真退出码；tx 冻结守卫真机门槛两段

之前 e2e_web_send_latency.py / recover_ecat_after_reset.py / measure_click_to_motion.py
全在 .gitignore 里（e2e_/measure_ 通配），换台机器 clone 就跑不了验收；且
recover 脚本零失败路径（--skip-e2e 无条件退 0）。现在统一到已跟踪的 check_ 前缀，
.gitignore 一行例外都不用加，并把"跑过了"和"恢复了"绑成一件事。

- check_recover_after_reset.py：force_reopen 后改为轮询到 dc=1/250us/loop=1/op=1/
  wkc>=3（上限 15s，替掉原来单点采样那次假 loop=0），并断言守卫心跳在涨、
  发一帧 3s 内出口必须跟上；退出码 0/1/2（前置不满足=BLOCKED=2）。
- check_web_send_latency.py：新增第 6 段读 health.guard（旧 exe 无 guard 块 /
  alive_ticks 不涨 都算 FAIL），第 5 段改调已入库的 check_click_to_motion.py。
  它每次发送只等 2s，结构上看不到 8s 判据，所以只报"守卫当时是死是活"，
  不拿它冒充触发验证。
- check_guard_idle_silence.py：健康总线的"另一极"——90s 静默 + 25s 1Hz 发送，
  要求心跳在涨、armed 恒 0、fires/wr 零增量、每次发送都被消费。这是防
  "把守卫修成重连风暴"的真机版（对应离线 T1b/T4/T5/T6）。
- check_guard_fires_hw.py：需人在场按 GD32 RESET 制造冻结，证明 armed 秒起、
  tx_stale_s 爬过 8s、fires +1、日志有 [GUARD] 全量重连、松手后 20s 内出口
  重新前进，再验证 60s 冷却内不第二次触发；--with-pm-hold 另证"静音"时心跳仍在涨。
  只认 guard.fires，不认 wr（wr 汇总所有恢复路径，会以错误的理由通过）。
- guard_probe.py：两个真机脚本共用同一份前置判据与通路选择（先 :2625 页面代理，
  再直连 native 8090..8095）。前置没满足一律 BLOCKED——loop=0 或 pm_hold=1 时判据
  按设计是静音的，那种"绿了"毫无意义，所以判据只放一个执行点。

docs/compose/spec/host-code-quality.md

@@ -48,7 +48,12 @@ commits: 2c6235d..8043d8e（含评估、P0/P2/P3、界面回滚与安全重做 s
 - `test_esf_pack.py` PASS；`test_motor_refresh.mjs` 62/62 PASS（前端重做后）
 - `node --check` main/scope/seq/ota PASS
 - UI 门禁（Edge→:2625/motor.html）：控制台无报错；绿灯 AL OP；N1–N3 有数据；离线遮罩 `display:none`
-- 真机 `e2e_web_send_latency.py`（重做后两轮）：均为 **PASS 26 / FAIL 1**，exit=1。唯一失败项固定为 **`motor/start`（force_reopen）后立刻读 health 显示 `loop=0`**；同轮 `dc=1 dc_us=250 wkc=3`，且 `motor/send`×6 与 GD32 出口 tx/ack 均前进（HTTP p50≈1.9–5.4ms，出口 p50≈2.1–2.3ms，点击→STATUS≈14ms），WiFi 对照可用。判定为 **e2e 对 force_reopen 后 health 的采样竞态/口径问题**，不是发送链路回归；界面侧数据正常。
+- 真机 `check_web_send_latency.py`（原 `e2e_web_send_latency.py`；现随守卫加固改名入库，
+  并新增第 6 段读 `health.guard` 可观测面。下表为改名前两轮的结果）：均为 **PASS 26 / FAIL 1**，exit=1。唯一失败项固定为 **`motor/start`（force_reopen）后立刻读 health 显示 `loop=0`**；同轮 `dc=1 dc_us=250 wkc=3`，且 `motor/send`×6 与 GD32 出口 tx/ack 均前进（HTTP p50≈1.9–5.4ms，出口 p50≈2.1–2.3ms，点击→STATUS≈14ms），WiFi 对照可用。判定为 **e2e 对 force_reopen 后 health 的采样竞态/口径问题**，不是发送链路回归；界面侧数据正常。
+- 2026-09-21 续：上述 `loop=0` 竞态现已由 `check_recover_after_reset.py` 改成"轮询到
+  恢复为止（上限 15s）"，不再单点采样；同轮补上守卫可见面断言（`alive_ticks` 心跳、
+  `fires`、`tx_base`）。tx 冻结守卫为何会悄悄失效、以及"必须触发/不许误触发"两极
+  的测试契约，见 `tools/ecat/MIGRATION.md` 的「加固 2026-09-21」段。
 
 **Journey log** —
 - 大拆 P1 曾导致界面全无数据 → 用户要求回滚 + 保留现场 + 重做