Decouple fatal logging from process termination

`LogLevel::kFatal` and the fatal logging macros unconditionally call `std::abort()`. `FatalHandler` runs before the abort, but it is process-global and cannot prevent termination.

This is unsafe for embedded and multi-tenant applications, where one failed Iceberg operation must not terminate the host process.

Logging should not control process lifetime. Recoverable failures should continue to use `Status`/`Result`, while termination for unrecoverable internal invariants should use a separate, explicit mechanism.

まず、LogLevel::kFatal、fatal logging マクロ、および FatalHandler の定義と呼び出し箇所を探します。回復可能な失敗で Status/Result がどのように使われているかを読み、std::abort() が呼び出されている箇所を追跡します。完了したことは、プロセスの終了を強制せずに fatal な条件をログ出力できることで示せる必要があります。一方で、回復不能な不変条件による終了は引き続き明示的にします。

索引モデルが issue の本文から書いたものです。