yarn を使っているのに ng update すると package-lock.json が生成されてしまう

下記を実行すれば良さそう。これで次のバージョンアップは大丈夫なはず。グローバルに指定しているのが若干気になるが、たぶん既存プロジェクトでも有効だろう。

ng config -g cli.packageManager yarn

公式ドキュメントによると普通は ng new する時に指定するようだ。