启用 Runner 无中断滚动更新

platform/dynamic-runner/README.md

@@ -21,10 +21,13 @@ OpenSandbox chart 所有权边界。
 
 ## Canary 安全边界
 
-- Deployment 为单副本，滚动策略固定 `maxSurge: 0`、`maxUnavailable: 1`，避免两个
-  scheduler 共享同一个 Gitea runner 身份。
+- Deployment 为单副本，滚动策略固定 `maxSurge: 1`、`maxUnavailable: 0`，保证新
+  facade Ready 后才终止旧实例。scheduler 必须通过 Kubernetes Lease 保持单 leader，
+  不能依赖 Recreate 避免重复领取。
 - controller 的 single-flight gate 只允许一个已领取 task 运行；Gitea 接受终态
   `UpdateTask` 后才领取下一条。`POD_CAPACITY=1` 同时限制 worker 创建并发。
+- rollout 重叠期间只有持有 `Lease/dynamic-runner-scheduler` 的 controller 执行
+  `FetchTask`；所有 Ready 实例都可通过 backend metadata 恢复 claim 并服务 facade。
 - executor 镜像使用 digest；Pod 以 UID 2000 运行，SPIRE `ClusterStaticEntry` 同时绑定
   具体 Pod UID 与 `unix:uid:2000`。
 - facade 只有 ClusterIP，executor 通过