fix(reaper): Tier-2 finalization grace + claim-before-act (no dup advance)

Tier-2 reaped a LIVE, still-finalizing monitor: _monitor_agent writes
agent_runs.exit_code FIRST, then does git push / PR / Plane comments before
_finalize_job, and the agent pid is already dead in that window — so the old
"exit_code recorded -> reap now" had no grace and could race a healthy job.
Worse, _reap_known_outcome ran the advance (advance_stage -> enqueue_job)
BEFORE the atomic claim, so a reaper that lost the race had already enqueued
the next stage (dup advance / dup enqueue), violating ADR-001 Р-1.

Fix:
- Tier-2 grace: reap only once agent_runs.exit_code has been recorded for
  >= reaper_finalize_grace_s (new setting, default 300s; > max finalization
  window). A live finalizing monitor is never reaped (FR-1.3/AC-3). New
  finished_age_s column computed in get_running_jobs.
- claim-before-act for exit0: evaluate the canonical QG READ-ONLY (the
  reconciler pattern) to choose the terminal status, then atomically claim
  'done' FIRST; only the claim winner runs the advance. A loser performs no
  side effects -> no dup advance / dup enqueue.

Docs (golden source) updated in the same change: ADR-001, global adr-0011,
README, internals, .env.example, CHANGELOG (also fixes the P3 broken adr-0011
link). New tests cover the grace window, lost-claim no-side-effects, and the
already-advanced idempotent path.

Refs: ORCH-065

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

docs/architecture/adr/adr-0011-job-reaper-lease-reclaim.md

@@ -28,13 +28,18 @@ self-restart во время deploy) оставляет строку `jobs` на
    never-raise, `_stop`-Event, старт/стоп в `lifespan`, снимок в `/queue`,
    kill-switch). Работает **без рестарта** процесса. Liveness — трёхуровневая:
    Tier-1 мёртвый `jobs.pid` (новая колонка) после `reaper_dead_ticks` подряд
-   тиков; Tier-2 `agent_runs.exit_code` записан, а job ещё `running`; Tier-3
-   backstop по потолку `reaper_max_running_s`. Действие переиспользует контракты:
-   exit0 → gate-driven idempotent advance (`_try_advance_stage`+`_finalize_job`,
-   источник истины — QG, не «exit0»); exit≠0 / неизвестно → `attempts<max` →
-   `queued`, иначе `failed`+Telegram. Атомарный reap-claim (`UPDATE ... WHERE
-   id=? AND status='running'` + `rowcount`, как `claim_next_job`) исключает
-   двойную обработку (совместимость со стартовым `requeue_running_jobs`).
+   тиков; Tier-2 `agent_runs.exit_code` записан, а job ещё `running` — но только
+   после finalization-grace `reaper_finalize_grace_s` (окно неоднозначно: живой
+   monitor пишет exit_code ПЕРВЫМ, затем git push/PR/Plane-комментарии, поэтому
+   живой финализирующий monitor НЕ реапится); Tier-3 backstop по потолку
+   `reaper_max_running_s`. Действие — **claim-before-act**: для exit0 канонический
+   QG оценивается read-only ПЕРЕД атомарным claim, затем claim `done` ПЕРВЫМ и
+   только победитель claim выполняет `_try_advance_stage` (advance+enqueue) —
+   проигравший не делает побочных эффектов (источник истины — QG, не «exit0»);
+   гейт красный или exit≠0 / неизвестно → `attempts<max` → `queued`, иначе
+   `failed`+Telegram. Атомарный reap-claim (`UPDATE ... WHERE id=? AND
+   status='running'` + `rowcount`, как `claim_next_job`) исключает двойную
+   обработку (совместимость со стартовым `requeue_running_jobs`).
 2. **Проактивный реклейм stale/dead lease** — функции в `merge_gate.py`
    (`pid_alive`, `reclaim_stale_lease`), вызываемые на старте (рядом с
    `requeue_running_jobs`) и периодически из тика reaper. Освобождение, если
@@ -49,9 +54,9 @@ self-restart во время deploy) оставляет строку `jobs` на
    (паттерн live-safe миграции). Больше ничего не меняется.
 
 Kill-switch'и (`ORCH_*`): `reaper_enabled`, `reaper_interval_s`,
-`reaper_dead_ticks`, `reaper_max_running_s`, `lease_reclaim_enabled`;
-переиспользуются `merge_lock_timeout_s`, `merge_gate_repos`. `false` → строго
-прежнее поведение.
+`reaper_dead_ticks`, `reaper_max_running_s`, `reaper_finalize_grace_s`,
+`lease_reclaim_enabled`; переиспользуются `merge_lock_timeout_s`,
+`merge_gate_repos`. `false` → строго прежнее поведение.
 
 ## Альтернативы
 - Reaper внутри reconciler — отвергнуто (смешение stage- и jobs-уровней, общий