Decouple fatal logging from process termination

`LogLevel::kFatal` and the fatal logging macros unconditionally call `std::abort()`. `FatalHandler` runs before the abort, but it is process-global and cannot prevent termination.

This is unsafe for embedded and multi-tenant applications, where one failed Iceberg operation must not terminate the host process.

Logging should not control process lifetime. Recoverable failures should continue to use `Status`/`Result`, while termination for unrecoverable internal invariants should use a separate, explicit mechanism.

Inizia individuando le definizioni e i punti di chiamata di LogLevel::kFatal, delle macro di logging fatale e di FatalHandler. Leggi come i fallimenti recuperabili usano Status/Result e traccia dove viene invocato std::abort(). Il completamento deve essere dimostrabile registrando una condizione fatale senza forzare la terminazione del processo, mentre la terminazione dovuta a invarianti irrecuperabili rimane esplicita.

Scritto dal modello di indicizzazione a partire dal testo della issue.