feat: живой цикл M2M с НРД + мастер установки ключа на флешку

Инфраструктура M2M (живой обмен с НРД через ИШ):
- обработка M2MTransferResponse: ERROR(M2Mxx) → заявка Отклонена, сохранение
  ответа; INFO → ждём Decision; идемпотентность поллера
- fallback-корреляция ответов с нулевым GUID (M2M14/M2M17) по FIFO
- сырой XML ответа НРД в карточке заявки (для пересылки в ТП)
- тестовый пакет роботу приведён к эталону m2m_robot_samples (CostInfo=Yes,
  4 бумаги, IsolationStatus, DocumentSeries=сценарий); override паспорта
- редирект из теста сразу в карточку заявки

Мастер установки ключа Валидаты на флешку (admin/setup/keywizard):
- пошаговый: загрузка .7z+пароль → выбор флешки → запись → справочник
  сертификатов (CRL) → перезапуск+проверка ИШ → готово
- привилегированный воркер (bj-keymedia) в host-namespace через файл-обмен,
  bj-server остаётся в песочнице
- сохранение структуры профиля архива (spr<N>), перечисление съёмных USB

Прочее:
- пакет-доказательство для ТП НРД + форма регистрации участника M2M
- эталонные образцы робота (DOC/m2m_robot_samples)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

internal/m2mcore/deal.go

@@ -34,6 +34,7 @@ type Deal struct {
 	SignedClaim []byte
 	Request     *m2m.M2MTransferRequest
 	Response    *m2m.M2MTransferResponse
+	RawResponse []byte // точные байты ответа МОСТ от НРД (для пересылки в ТП)
 	Decision    *m2m.M2MTransferDecision
 	CreatedAt   time.Time
 	UpdatedAt   time.Time
@@ -169,6 +170,71 @@ func (d *Deal) ReceiveDecision(_ context.Context, decision *m2m.M2MTransferDecis
 	return nil
 }
 
+// ReceiveServiceResponse принимает M2MTransferResponse — ответ сервиса МОСТ
+// (НРД), а не контрагента. Это сервисный уровень: подтверждение приёма в
+// обработку (StatusCode=INFO) либо отказ сервиса (StatusCode=ERROR, код
+// M2Mxx — напр. M2M14 «код отправителя отсутствует в справочнике M2M»).
+//
+//   - INFO  — заявка принята МОСТ в обработку; состояние не меняем, ждём
+//     M2MTransferDecision контрагента. Сохраняем ответ для отображения.
+//   - ERROR — сервис отклонил заявку до контрагента; Decision уже не придёт,
+//     переводим сделку в Rejected. Сохраняем ответ, чтобы в карточке был
+//     виден код и текст отказа НРД.
+// raw — точные байты ответа (unpacked doc.xml от НРД); сохраняются как есть
+// для дословной пересылки в техподдержку НРД. Может быть nil (mock-режим).
+func (d *Deal) ReceiveServiceResponse(_ context.Context, resp *m2m.M2MTransferResponse, raw []byte) error {
+	d.mu.Lock()
+	defer d.mu.Unlock()
+	if resp == nil {
+		return fmt.Errorf("m2mcore: ReceiveServiceResponse: resp=nil")
+	}
+	d.Response = resp
+	if len(raw) > 0 {
+		d.RawResponse = raw
+	}
+	d.UpdatedAt = time.Now().UTC()
+
+	if resp.StatusCode != m2m.StatusError {
+		// INFO/приём в обработку — фиксируем, но не двигаем FSM.
+		d.recordEvent("service_ack", responsePayload(resp), "nsd")
+		return nil
+	}
+
+	// ERROR — отказ сервиса МОСТ. Если сделка уже в терминальном состоянии,
+	// повторный ответ игнорируем (идемпотентность поллера).
+	if IsTerminal(d.State) {
+		d.recordEvent("service_error_ignored_terminal", responsePayload(resp), "nsd")
+		return nil
+	}
+	if err := d.shiftTo(StateRejected, "service_error:"+firstCode(resp)); err != nil {
+		return err
+	}
+	d.recordEvent("service_error", responsePayload(resp), "nsd")
+	return nil
+}
+
+// responsePayload сворачивает M2MTransferResponse в компактную запись для
+// журнала событий (коды + тексты ответов сервиса).
+func responsePayload(resp *m2m.M2MTransferResponse) map[string]any {
+	codes := make([]map[string]string, 0, len(resp.Responses))
+	for _, r := range resp.Responses {
+		codes = append(codes, map[string]string{"code": r.Code, "text": r.Text})
+	}
+	return map[string]any{
+		"status": string(resp.StatusCode),
+		"guid":   string(resp.GUID),
+		"codes":  codes,
+	}
+}
+
+// firstCode возвращает первый код ответа (для reason перехода).
+func firstCode(resp *m2m.M2MTransferResponse) string {
+	if len(resp.Responses) > 0 {
+		return resp.Responses[0].Code
+	}
+	return "unknown"
+}
+
 // Timeout переводит сделку в TimedOut (когда не дождались Decision).
 func (d *Deal) Timeout(_ context.Context) error {
 	d.mu.Lock()