v0.2.1 - Doc fixes, icon generator sync, shared secrets-read hook

Patch-level changes, none touching production behavior:

• Committed tools/gen_icon.py and synced icons/*.png — the icons had been redesigned (gradient background, glow, drop-shadow bolt) and deployed straight to the Pi in a prior session, but the generator script was never saved and the icons in git still held the old flat design.
• Documented the Tailscale Serve setup and the decision not to enable Funnel in the architecture doc, plus show_control_url.sh usage and a CONTROL_TOKEN rotation runbook in the operations doc — previously only in the gitignored, environment-specific LOCAL_ENV.md.
• Committed .claude/settings.json, a PreToolUse hook blocking reads of tesla_tokens.json/tesla_config.json/*.pem, so it's shared across machines instead of staying local-only.

---

本番の動作には影響しないPATCHレベルの変更：

• tools/gen_icon.pyをコミットしicons/*.pngを同期。以前のセッションでアイコンを再デザイン（グラデーション背景・光彩・ドロップシャドウ付きの雷）してラズパイへ直接反映していたが、生成スクリプトを保存しておらず、Git管理下のアイコンは旧デザインのままだった。
• TailscaleのServe設定とFunnel不採用の判断をアーキテクチャ文書に、show_control_url.shの使い方とCONTROL_TOKEN漏洩時のローテーション手順を運用文書に記載。以前はgitignore対象・環境固有のLOCAL_ENV.mdにしか無かった内容。
• .claude/settings.json（tesla_tokens.json/tesla_config.json/*.pemへのReadを拒否するPreToolUseフック）をコミットし、ローカル限定ではなく他端末でも共有されるようにした。