feat(update): update the backend like nodes via quadlet restart [CI]

docs/design/architecture.md

@@ -31,7 +31,7 @@
    │ 有公网 IP，监听    │   先敲门再 TLS   │ 家宽等出口，NAT 后   │
    └────────────────────┘                  └──────────────────────┘
    测量会话：TLS 控制通道 + QUIC Datagram/TCP 数据通道，由 Probe 主动拨出（Agent 固定 QUIC 端口，Probe 本地源端口轮换）
-   宿主机更新器（容器节点）：用本机公钥验签 → 按 digest 拉镜像 → 重启，失败回滚
+   更新（Agent、Probe、Backend）：面板登记 CI 签名的清单 → 管理端确认 → 节点（Backend 先备份数据库）有序退出 → systemd Pull=always 拉最新镜像重启
 ```
 
 - **线路（line）** = 一对（Probe，Agent）。可以有多个 Probe（身份由 Probe 自己生成并用加入令牌注册，可以吊销、删除），每个 Probe 连接多个 Agent，每个 Agent 同时服务多个 Probe；一条线路的数据按 `line:<probe_id>` 单独存放，互不混合。对外的线路 id 是 `<agent_id>~<probe_id>`。
@@ -74,18 +74,20 @@
 发布清单（镜像 digest）由 CI 签名，放进镜像仓库（`<仓库>-manifest` 小镜像的标签里）；Backend 定时取、验签后登记（也接受 CI 直接 `POST /api/release/offer`），再原样转发给在线的 Agent / Probe。之后分两条路：
 
 ```text
-Podman Quadlet 节点（Agent、Probe，推荐）
+Podman Quadlet（Agent、Probe、Backend，推荐）
   节点比对清单和自己的版本 ──▶ 心跳报「有新版本」──▶ 管理端显示
   自动（默认，运行满 10 分钟）或管理员点「更新」──▶ 节点有序退出
   ──▶ systemd 重启单元（Pull=always）──▶ 新镜像、新容器
   节点不下载、不替换任何东西，也不验证清单；最多被请求一次有序重启
 
-Backend 和一行脚本装的节点
+Backend：不自动，只有管理员点「更新并重启」；退出之前先把数据库备份到 backups/
+
+一行脚本装的节点
   宿主机 moshiro-update（root）：用本机公钥验签 → 核对组件、仓库和 seq → podman pull 仓库@digest → 重启 → 不健康就回滚
   ──▶ 状态写进只读的 update-status/ ──▶ 节点随心跳上报 ──▶ Backend ──▶ 管理端（有新版本时点「更新」）
 ```
 
-细节见 [deployment.md](../ops/deployment.md)「Podman（Quadlet）节点的更新」和「宿主机更新器」。
+细节见 [deployment.md](../ops/deployment.md)「Podman（Quadlet）的更新」（一行脚本装的节点另见「宿主机更新器」）。
 
 ### 4.1 回显的四个时间戳