Atemschutzueberwachung nach FwDV 7 ergaenzen

Phase 5: das sicherheitsrelevanteste Modul des Projekts. Ueber jeder Ansicht
steht dauerhaft, dass die analoge Atemschutzueberwachung fuehrend bleibt —
abschaltbar nur zusammen mit der Fundstelle einer Freigabe des Kommandanten.

Es gibt keinen Timer. In der Datenbank stehen Zeitstempel; wie lange ein
Trupp unter Atemschutz ist, rechnet jede Ansicht bei jedem Bild neu aus.
Damit ist die Anforderung "uebersteht Neuladen und Verbindungsabbruch" keine
Funktion, die gelingen muss, sondern eine Eigenschaft, die sich nicht
verlieren laesst. Server und Browser rechnen mit denselben Funktionen.

Der Rueckzugsdruck folgt dem doppelten Anmarschverbrauch: was der Weg hinein
gekostet hat, kostet der Weg zurueck noch einmal. Bis der Trupp das
Einsatzziel meldet, greift die Zwei-Drittel-Regel — sie liegt hoeher und ist
damit die vorsichtigere Annahme.

Das Protokoll ist doppelt gesichert: entzogene Rechte und ein Trigger auf
druckmessung und atemschutz_ereignis. Ein Fehler wird durch einen neuen
Eintrag richtiggestellt, nicht durch Aendern.

Verteilt wird ueber Server-Sent Events statt Socket.IO — es geht nur in eine
Richtung, und so bleibt das Deployment bei "next start".

Behoben: ein abgerissener Ereignisstrom meldete sich nicht. Die Anzeige haette
weiter "Verbunden" behauptet, waehrend der Draht tot war. Jetzt gilt Stille
von acht Sekunden als Abriss. Dazu zwei Altlasten: der Navigationseintrag
"Protokoll" fuehrte ins Leere, und die Startseite stand noch auf Phase 1.

68 neue Tests (51 Unit, 17 gegen eine echte Datenbank, 8 E2E je Browser).

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

CHANGELOG.md

@@ -8,7 +8,127 @@ Die Regeln dazu stehen in [docs/VERSIONIERUNG.md](docs/VERSIONIERUNG.md).
 
 ## [Unveröffentlicht]
 
-Nächster Schritt ist Phase 5 (Atemschutzverwaltung nach FwDV 7).
+Nächster Schritt ist Phase 6 (Kartenmodule).
+
+---
+
+## [0.6.0] — 2026-09-03
+
+Phase 5: Atemschutzüberwachung nach FwDV 7. Das sicherheitsrelevanteste Modul
+des Projekts — und deshalb das mit dem höchsten Testanteil.
+
+Über jeder Ansicht steht: **Ergänzendes System — die analoge
+Atemschutzüberwachung bleibt führend.** Der Hinweis lässt sich nur abschalten,
+wenn zusätzlich die Fundstelle einer Freigabe des Kommandanten hinterlegt ist;
+ohne sie bleibt er stehen.
+
+### Hinzugefügt
+
+**Datenmodell**
+
+- `Atemschutzeinsatz` — eine Überwachung mit Überwacher, Abfrageintervall,
+  Warndruck und Sicherheitszuschlag. Hängt an einem Einsatz oder einer Übung,
+  kann aber auch für sich stehen: im Ernstfall wird zuerst überwacht und
+  später zugeordnet.
+- `Atemschutztrupp` mit Status (bereit, im Einsatz, Rückweg, draußen), den
+  Zeitstempeln dazu, dem errechneten Rückzugsdruck und dem Notfallzeitpunkt.
+- `Truppmitglied` — zwei oder drei Personen je Trupp, genau eine davon
+  Truppführer, optional mit dem verwendeten Pressluftatmer.
+- `Druckmessung` mit Art (Eingang, Einsatzziel, Zwischenmeldung, Ausgang).
+- `AtemschutzEreignis` — jede Zeile des Protokolls mit Zeitpunkt.
+- `G26Untersuchung` und `Belastungsuebung` als eigene Nachweise.
+
+**Die Zeit gehört dem Server**
+
+- Nirgends wird eine Restzeit heruntergezählt. Jede Dauer entsteht aus zwei
+  Zeitstempeln — einem aus der Datenbank und der aktuellen Uhr. Deshalb
+  übersteht die Anzeige ein Neuladen, einen zweiten Bildschirm und einen
+  Verbindungsabbruch: es gibt nichts, das dabei verloren gehen könnte.
+- Server und Browser rechnen mit **denselben** Funktionen aus
+  `lib/atemschutz/berechnung.ts`. Was das Tablet anzeigt, weist das Protokoll
+  später genauso aus.
+
+**Rückzugsdruck nach dem doppelten Anmarschverbrauch**
+
+- Der Trupp meldet beim Erreichen des Einsatzziels einmal seinen Druck. Daraus:
+  `2 × Anmarschverbrauch + Ansprechdruck der Warneinrichtung + Zuschlag`.
+- Solange keine Zielmeldung vorliegt, greift die Zwei-Drittel-Regel — sie liegt
+  höher und ist damit die vorsichtigere Annahme.
+- Maßgeblich ist immer der ungünstigste Wert im Trupp: der Trupp geht
+  gemeinsam zurück.
+- Ampel in drei Stufen mit Klartext daneben, Gelb schon zehn Prozent über der
+  Grenze. Bei Notfall zusätzlich ein erzeugter Ton — ausdrücklich eine Zugabe.
+
+**Überwachungsschirm**
+
+- Trupp anlegen mit Eingangsdruck je Person; daneben steht, ob die Person nach
+  FwDV 7 überhaupt einsetzbar ist. **Gesperrt wird nichts** — im Einsatz
+  entscheidet der Einheitsführer, und ein Programm, das ihm im entscheidenden
+  Moment eine Person verweigert, wird umgangen.
+- Druckabfrage für den ganzen Trupp in einer Zeile, Erinnerung im
+  konfigurierbaren Intervall (Vorgabe zehn Minuten).
+- Mayday je Trupp, ausdrücklich aufzuheben statt wegzuklicken.
+- Rückzug anordnen, Statuswechsel, Notizen ins Protokoll.
+- Die Überwachung lässt sich erst beenden, wenn alle Trupps als draußen
+  gemeldet sind.
+
+**Ereignisstrom über Server-Sent Events**
+
+- Ein Route Handler unter `/api/atemschutz/strom` meldet Änderungen; der
+  Browser holt daraufhin den Stand. Kein eigener Server nötig, `EventSource`
+  verbindet nach einem Abbruch von selbst neu.
+- Der Zustand der Verbindung steht sichtbar auf dem Schirm. Bleibt das
+  Lebenszeichen des Servers aus, gilt die Verbindung nach acht Sekunden als
+  tot — auch wenn der Browser keinen Fehler meldet.
+- Fällt der Strom ganz aus, bleibt die Ansicht bedienbar: sie fragt zusätzlich
+  im festen Takt nach.
+
+**Protokoll**
+
+- Lückenloses PDF mit Rahmen, Trupps und dem Verlauf aus Ereignissen und
+  Druckmessungen in einer gemeinsamen Zeitachse.
+- Entsteht beim Beenden im Hintergrundprozess und bei Bedarf beim Abruf — ein
+  Nachweis, den man nicht bekommt, weil ein Dienst einen schlechten Tag hatte,
+  wäre keiner.
+- Im Kopf steht, ob die digitale Überwachung freigegeben war. Wer das Blatt
+  später liest, soll wissen, was er in der Hand hält.
+
+**Tauglichkeit nach FwDV 7**
+
+- Drei Nachweise, die gleichzeitig gelten müssen: gültige G26.3,
+  Belastungsübung im laufenden Jahr, Einsatzübung im laufenden Jahr. Ein
+  Einsatz unter Atemschutz ersetzt die Einsatzübung.
+- Ampel mit **Klartext**, was fehlt — eine rote Ampel ohne Begründung hilft am
+  Fahrzeug niemandem.
+- Fristvorschlag für die G26 nach Alter: drei Jahre, ab fünfzig eines.
+- Nachweise pflegen: G26 je Person, Belastungsübung für die ganze Gruppe auf
+  einmal.
+- Kachel auf der Startseite: wie viele Träger heute einsetzbar sind und wie
+  viele davon knapp davor stehen, es nicht mehr zu sein.
+
+**Sonstiges**
+
+- Der Seed legt acht G26-Untersuchungen an — darunter eine abgelaufene und
+  eine bald ablaufende —, zwölf Übungsnachweise und eine vollständig
+  durchgespielte Überwachung mit zwei Trupps.
+- 68 neue Tests: 51 Unit-Tests zu Rückzugsdruck, Ampel, Restzeit, Statusfolge
+  und Tauglichkeit, 17 gegen eine echte Datenbank und 8 Playwright-Durchläufe
+  je Browser — darunter die beiden, um die es in dieser Phase geht: die Uhr
+  nach einem Neuladen und bei abgerissenem Ereignisstrom.
+
+### Geändert
+
+- Die Datenbank verweigert dem Anwendungszugang `UPDATE` und `DELETE` auf
+  `druckmessung` und `atemschutz_ereignis`; zusätzlich sitzt auf beiden ein
+  Trigger. Ein Fehler wird durch einen neuen Eintrag richtiggestellt, nicht
+  durch Ändern — sonst wäre jede Aufzeichnung nachträglich glättbar.
+- Neue Bedingungen: Druck zwischen 0 und 400 bar, kein Rückzug vor dem
+  Einstieg, kein Ende vor dem Beginn, genau ein Truppführer je Trupp.
+- Die Startseite stand noch auf dem Stand von Phase 1 („Als Nächstes kommt das
+  Prüfmanagement"). Sie nennt jetzt den tatsächlichen Ausbaustand.
+- Der Navigationseintrag „Protokoll" führte auf eine Seite, die es nicht gibt.
+  Die Ansicht des Audit-Logs gehört zum Löschkonzept in Phase 8; bis dahin
+  steht der Eintrag ausgegraut da statt ins Leere zu führen.
 
 ---