fix(memory): 面板调优引入的两处运行期写入面收口（-race 修前红 → 修后绿）

一、审查档（preinsert.go / preinsert_gate.go）：面板调优会在**运行期**改 cfg 的
两个字段（DisableIngestGate / TempTTL），而读这两个字段的两处不持锁
（gateEnabled 在同步入库闸上、deferDeadline 在第五态 defer 上）。
- 读侧改走新的 tuningSnapshot()（r.mu 由 Mutex 换成 RWMutex，读锁下取整份快照）；
- **只**收这两个字段的读点：其余读点读的是构造期冻结的字段，不与写方交手，
  故刻意不给入库热路径加无谓的锁；注释写明「将来面板再接管别的字段，那些读点
  必须与它一起收」；
- 锁序：写方持锁期间只做字段赋值、不取任何别的锁（normalize/回落都在取锁之前
  跑完）⇒ 不引入新锁序。

二、整理档（tidy_service_tuning.go）：修掉我自己的那条真竞争 —— 原顺序是
「Stop → Start → 写 cfg」，而新起的循环**立刻**读 s.cfg 重算下一拍，与写入并排
（那一拍还可能按旧配置算出来）。改成「Stop → 写 → Start」。
顺带去掉 Stop 的超时分支：超时意味着 wg 的 Wait 仍在飞，紧接着 Start 的 Add 会
踩上 M3 在 tidy_service.go 明文写下的 WaitGroup 复用纪律（-race 下 panic）；`Stop`
期间也不持 runMu，避免与「心跳正要开跑一轮」互相等死。

证据（全部逐条跑过再还原，还原用 diff 逐字校验为 0 差异）：
- 审查档：撤回读侧修复 ⇒ 2 处 DATA RACE（写 preinsert_tuning.go 的两个字段 × 读
  gateEnabled / deferDeadline）；恢复 ⇒ 绿。
- 整理档：把顺序改回「先起后写」⇒ DATA RACE（写 applyTidyConfig × 读 nextDelay）；
  恢复 ⇒ 绿。
- 新增两条只在 -race 下有意义的回归哨兵（tidy_service_tuning_test.go）：审查档真
  并发读写；整理档用**真心跳**当读者（不伪造生产不存在的调用方，那个入口在包里
  只有心跳 goroutine 会调）。

热路径成本：新增的同步是「一次无竞争 RLock + 整份小结构体快照」，隔离实测约
4ns/次（5e6 次共 22.9ms）；入库闸那条测量用例的批均值在 2.62ms → 2.71~2.81ms
之间波动，落在那条用例自身的运行间噪声里（同一份代码连跑两次，纯写入基线就从
39µs 飘到 60µs）。

internal/runtime/memory/preinsert.go

@@ -174,7 +174,20 @@ type PreInsertReviewer struct {
 	// 推进时钟（见 preinsert_t1_limit.go）。
 	t1Gate *t1RateGate
 
-	mu      sync.Mutex
+	// mu 保护 running / cancel 两个生命周期字段，以及**运行期可变的那两个配置
+	// 字段**（`DisableIngestGate` / `TempTTL`，面板调优会改它们，见
+	// preinsert_tuning.go 的 ApplyPanelTuning）。
+	//
+	// 它用 RWMutex 而不是 Mutex，是因为后者在**写入路径**上被高频读：同步入库闸
+	// 每写一条记忆就要问一次 `gateEnabled()`，第五态 `defer` 还要问一次
+	// `deferDeadline()`；读锁之间不互斥，因此这两处不会因为面板保存而互相排队。
+	//
+	// 🔴 口径（切片 MEMPANEL / M4 立）：**谁在运行期写 cfg，谁就必须让读它的地方
+	// 也持这把锁**。今天运行期只写上面那两个字段，因此只有读这两个字段的两处
+	// （`gateEnabled` / `deferDeadline`）走 `tuningSnapshot`；其余读点读的是构造期
+	// 冻结的字段，不与写方交手，故**没有**一并加锁（不给热路径加无谓的锁）。
+	// 将来面板再接管别的字段，那几处读点必须与它一起收。
+	mu      sync.RWMutex
 	running bool
 	cancel  context.CancelFunc
 	wg      sync.WaitGroup
@@ -208,10 +221,32 @@ func NewPreInsertReviewer(cfg ReviewConfig, deps ReviewDeps) (*PreInsertReviewer
 	}, nil
 }
 
+// tuningSnapshot 在读锁下取一份配置快照。
+//
+// 为什么需要它（切片 MEMPANEL / M4）：面板调优（preinsert_tuning.go 的
+// `ApplyPanelTuning`）会在**运行期**改 `cfg` 的两个字段；在这条特性之前 `cfg` 是
+// 构造期冻结的，读侧无锁本来安全。凡是读这两个字段的地方因此都必须与写方同步，
+// 否则就是「写方持锁、读方不持锁」的数据竞争（`go test -race` 可复现）。
+//
+// 取**整份**快照而不是逐个字段读，是为了让一次判定看到的是**同一个版本**的配置
+// （两个字段分别读可能落到两次不同的写入之间）。
+//
+// 它只做一次字段拷贝、**不调用任何别的函数**，因此不会引入新的锁序：写方
+// （ApplyPanelTuning）持写锁时也只做字段赋值，不会再去等别的锁。
+func (r *PreInsertReviewer) tuningSnapshot() ReviewConfig {
+	r.mu.RLock()
+	defer r.mu.RUnlock()
+	return r.cfg
+}
+
 // gateEnabled 报告**同步入库闸**是否生效（任务书规格 3 的开关）。
 // 总开关关闭或闸被显式关掉时它都为 false，此时写入路径逐字回到「只插不审」。
 func (r *PreInsertReviewer) gateEnabled() bool {
-	return r != nil && r.cfg.Enabled && !r.cfg.DisableIngestGate
+	if r == nil {
+		return false
+	}
+	cfg := r.tuningSnapshot()
+	return cfg.Enabled && !cfg.DisableIngestGate
 }
 
 // gateScanLimit 返回同步闸实际使用的候选上限：配置值与其默认值的较小者 ——