fix(tci): ревизия — потоки, валидация, арбитраж и синхронизация клиентов

Разбор семи проходов ревью ветки. Ниже — по сути, а не по списку.

Потоки. Сетевые потоки больше не читают модель контроллера напрямую. Слайсы
снимаются в потоке контроллера (RefreshSlices → FSliceSnap, на событиях
rfSliceFreq/rfSliceState/rfDevice/…), железо — тоже (RefreshDev → TTCIDevSnap:
имя платы, границы, число панов, HasTX). Копия TCtrlSlice из чужого потока
портила счётчик ссылок managed-строк, а BackendCaps и BoardDisplayName смотрят
в FNetwork, который UI освобождает на смене устройства. По той же причине
ActiveTXFreqHz переведён на GetSliceView. Sync-методы читают живую таблицу: они
уже в потоке контроллера.

Жизненный цикл. Stop ждёт выхода клиентских потоков БЕЗ таймаута, прокачивая
очередь Synchronize: выйти по таймауту нельзя — следом освобождаются и клиенты,
и сам сервер. OnDisconnect зовётся и при остановке (иначе захваты параметров
ушедших клиентов доживали до следующего запуска). Отправка переехала на поток
самого клиента (recv с TCI_POLL_MS): общий поток задерживал всех на таймаут
записи в один медленный сокет. WebUtils.SockSend шлёт с MSG_NOSIGNAL — SIGPIPE
убивал headless-процесс.

Транспорт. Слот протокола выдаётся только после Upgrade, а сокет до него живёт
по таймауту handshake: восемь молчащих соединений закрывали дверь настоящим
клиентам. Handshake с заголовком Origin получает 403 — авторизации в TCI нет, и
без этого открытая вкладка браузера дотягивалась до TRX и VFO. Заголовки
разбираются построчно, текстовые кадры проверяются на UTF-8, close длиной один
байт отвергается, на close отвечаем close.

Валидация. Все установки ходят через TCITryArg* — «vfo^0~0~abc» больше не
превращается в честный ноль. Частота проверяется дважды: в потоке клиента по
снимку и в SyncSetVfo/SyncSetCenter по живым границам (устройство успевают
сменить между разбором и исполнением). Границы теперь из ОДНОГО источника
(FreqLimits поверх VisibleFreqBounds) — тот же, что уходит в VFO_LIMITS; сами
VFO_LIMITS переобъявляются при смене железа, и их кэш ведётся независимо от
того, подключён ли кто-то. Слайс двигается только TuneSliceInBand, как у CAT:
прямой SetSliceTarget уводил TX-слайс в DUC на чужой диапазон без антенн и
фильтров. Параметры потоков сверяются со списками спецификации, а IQ_START и
прочие запуски честно отвечают ошибкой вместо молчания.

Синхронизация клиентов (§3.5). Появился захват параметра на 200 мс: два логгера
больше не перетягивают частоту. Пачка инициализации уходит под FClientLock —
изменение между строкой снимка и READY терялось навсегда. Глобальные величины
(tune_drive, cw_macros_*, split_enable, mon_volume) рассылаются всем, а правки
оператора приходят событиями: rfTXProfile, rfActiveVfo, rfMonVolume и новый
rfCWSettings. Создание и удаление слайса рассылается по rfDevice (сравнение
расстановки), у живого пана без слайсов канал A показывает центр — иначе клиент
навсегда оставался с частотой удалённого слайса.

Прочее. SliceFreqChanged переехал внутрь SetSliceTarget — один путь для мыши,
CAT и TCI (перетаскивание флага мимо клиентов проходило молча). VOLUME и
MON_VOLUME развели: SetVolume правит АКТИВНУЮ громкость, поэтому команда на
DUP-передаче уезжала в монитор — добавлен адресный SetRxVolume. Настройки
сохраняются только после успешного применения, при отказе поднимается прежний
слушатель. Время спота — UTC. Подписки на измерители читаются и пишутся под
локом клиента.

Проверено стендом (сырой WS-клиент + живой TRadioController без железа):
73 проверки, включая изоляцию медленного клиента, остановку под Synchronize,
арбитраж до и после 200 мс, отбраковку по живым границам и переобъявление
VFO_LIMITS. На реальном железе и с реальным клиентом по-прежнему не гонялось.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

WebUtils.pas

@@ -64,6 +64,11 @@ procedure SockSetSndTimeout(S: TSocket; Ms: Integer);
   накопившиеся команды): recv возвращает -1 по таймауту, соединение живо. }
 procedure SockSetRcvTimeout(S: TSocket; Ms: Integer);
 
+{ SockRecvTimedOut — последняя ошибка SockRecv означает «данных пока нет»
+  (истёк SO_RCVTIMEO или сигнал), а не разрыв. Без этой проверки поток,
+  просыпающийся по таймауту, не отличит тишину от закрытого сокета. }
+function SockRecvTimedOut: Boolean;
+
 { ── SHA-1 ─────────────────────────────────────────────────────────────────── }
 
 type
@@ -135,6 +140,13 @@ begin
   setsockopt(S, SOL_SOCKET, SO_RCVTIMEO, @T, SizeOf(T));
 end;
 
+function SockRecvTimedOut: Boolean;
+var E: Integer;
+begin
+  E := WSAGetLastError;
+  Result := (E = WSAETIMEDOUT) or (E = WSAEWOULDBLOCK) or (E = WSAEINTR);
+end;
+
 {$ELSE}
 
 function SockClose(S: TSocket): Integer;
@@ -157,7 +169,10 @@ end;
 
 function SockSend(S: TSocket; Buf: Pointer; Len, Flags: Integer): Integer;
 begin
-  Result := fpSend(S, Buf, Len, Flags);
+  // MSG_NOSIGNAL обязателен: запись в сокет, который клиент уже закрыл, иначе
+  // приходит SIGPIPE, а он по умолчанию убивает процесс целиком. С ним send
+  // просто возвращает -1/EPIPE, и вызывающий штатно выбрасывает клиента.
+  Result := fpSend(S, Buf, Len, Flags or MSG_NOSIGNAL);
 end;
 
 procedure SockSetNonBlock(S: TSocket; NB: Boolean);
@@ -185,6 +200,13 @@ begin
   fpSetSockOpt(S, SOL_SOCKET, SO_RCVTIMEO, @TV, SizeOf(TV));
 end;
 
+function SockRecvTimedOut: Boolean;
+var E: Integer;
+begin
+  E := fpgeterrno;
+  Result := (E = ESysEAGAIN) or (E = ESysEWOULDBLOCK) or (E = ESysEINTR);
+end;
+
 {$ENDIF}
 
 { ═══════════════════════════════════════════════════════════════════════════