feat(chv): 架构与代码质量提升——WarmPool 定案、长函数提取、严格测试替身、Docker 同步守卫、配置统一校验、类型注解与 ADR

堆叠于 #246（feat-chv-secfix），只到 PR OPEN，未合并、未部署。
安全语义不变：egress、key seed 投递、磁盘删除、默认 provisioned、
tap 校验一律保留；前端零改动。
- WarmPool 定案为实验性（ADR-5）：dispatch 永远冷启动，
  wired_to_dispatch 恒 False，acquire/resume 只保留实验接口，
  worker 仍调 reconcile_orphans 清理残留。
- 长函数提取：preflight 126→31、wake_vm 135→36、__init__ 69→31、
  build_chv_config 159→58；错误文案逐字不变。
- 严格测试替身：fake API 校验 VmConfig（任务盘+seed 盘、net
  无重复），fake SSH 校验 known_hosts 钉死；新增 5 项测试。
- Docker 同步守卫：8 个真实标记用例下 Docker 内联版与正典
  parse_goal_result 状态全等，改分叉即 fail。
- 配置统一校验：preflight 以 config_invalid 统一兜底端口/配额/
  超时/快照/host-key 模式（构造时已校验正常值，preflight 兜底
  事后改写）；CHV_NET 与 CHV_NET_JSON 双设仍警告不硬拒。
- 类型与 lint：chv 叶子模块公开 API 补类型注解；stdlib 扫描
  揪出 executor 内 1 个真死 import（host_key_paths）并删除。
- ADR：docs/chv-architecture.md（ADR-1 至 ADR-7）。
测试：CHV 163 项全过；cloud 全量 1593 项三跑结果为 8 errors
（首跑详细日志因 tail 截断丢失）、全过、1 失败（浏览器代理
时序测试，与 CHV 无关），全量本身存在时序偶发，CHV 套件
确定性全过。

cloud/chv/ssh_transport.py

@@ -52,7 +52,7 @@ import shlex
 _CHV_SECRET_ENV_NAMES = frozenset({"SUB2API_API_KEY"})
 
 
-def split_secret_env(extra_env):
+def split_secret_env(extra_env: dict) -> tuple:
     """把 extra_env 拆成（密钥子集，非密钥子集）。"""
     secrets, plain = {}, {}
     for key, value in dict(extra_env or {}).items():
@@ -103,7 +103,7 @@ def remote_command(inner_cmd, egress_proxy=None, extra_env=None,
     return tokens
 
 
-def known_hosts_path(state_dir, vm_name):
+def known_hosts_path(state_dir: str, vm_name: str) -> str:
     """该 VM 的 known_hosts 文件路径：state_dir/<vm>/known_hosts。"""
     return os.path.join(state_dir, vm_name, "known_hosts")
 
@@ -163,7 +163,7 @@ def parse_keyscan_output(text, host="127.0.0.1"):
     return kept
 
 
-def write_known_hosts(path, key_lines):
+def write_known_hosts(path: str, key_lines: list) -> None:
     """原子写 known_hosts：先写同目录临时文件再 rename，
     文件权限 0600（只含公钥行，仍按敏感文件对待）。"""
     directory = os.path.dirname(path)