fix(guard): 心跳提前启动 + 首次同步写入 —— 启动竞态的 worker 侧根修

562ba6bd 修了 guard 侧（给旧 mtime 加启动宽限，不误杀），那只是防御。
**根因**在 worker 侧：心跳文件要等全部重型初始化完（原 main 尾部）才
首写，且首次写是异步（在 goroutine 里，与多模态空间/知识库重建竞争
调度）。停机 >30s 后重启时 mtime 停在上一代 worker，guard 的 5s ticker
先到就 SIGKILL。

两层独立生效：
  worker 侧（本提交，治本）：dataDir 一确定就启动心跳，首次写同步
  guard 侧（562ba6bd，防御）：保留启动宽限期容忍旧 mtime

## 改动

- main.go：startHeartbeat 从尾部（190）移到 dataDir 解析后（54），
  用 context.Background()（心跳生命周期=进程，与 agent ctx 解耦）。
- bootstrap.go：startHeartbeat 首次 writeHB() 提到 goroutine 之外
  同步执行——返回前 mtime 必已变新，main 往下做慢事之前 guard 看到的
  是新心跳。

## 判据（TestHeartbeatFirstWriteSynchronous，变异测试通过）

  (a) 返回后立即查 mtime：必须是新的（同步首写），不许等到第一个 tick
      首写移回 goroutine（异步）→ (a) 当场 FAIL，已实测
  (b) 5s 后 mtime 再变（ticker 在跑）
  (c) stop() 后不再更新（hbStop 生效，不泄漏 goroutine）

判据覆盖完整生命周期：启动即新 → 周期更新 → 停止即停。

cmd/homed 包全量测试通过；全仓生产编译 GREEN。

cmd/homed/bootstrap.go

@@ -834,17 +834,25 @@ func startSupervisorRuntime(sup *supervisor.Daemon, trk *tracker.Tracker, agent
 func startHeartbeat(dataDir string, ctx context.Context) func() {
 	// 心跳：每 5s 触碰 <data>/heartbeat，guard 据此判定工作进程是否存活/卡死
 	hbPath := filepath.Join(dataDir, "heartbeat")
+	writeHB := func() {
+		if f, err := os.OpenFile(hbPath, os.O_CREATE|os.O_WRONLY|os.O_APPEND, 0644); err == nil {
+			fmt.Fprintf(f, "t=%d\n", time.Now().Unix())
+			f.Close()
+		}
+	}
+	// ★ 首次写入必须**同步**（返回前落盘），不能丢进 goroutine：
+	//
+	// heartbeat 文件在 worker 侧的唯一职责是「让 guard 看到 mtime 变新」。
+	// 停机 >heartbeatTimeout 后重启时，文件 mtime 停在上一代 worker（已过期）；
+	// 若首次写是异步的，它可能与重型初始化（多模态空间/知识库重建，冷启动
+	// 5–8s）竞争调度，迟迟不落盘 —— guard 的 ticker 先到、拿旧 mtime 判 stale。
+	// （2026-10-12 生产部署实测：6 连杀 + failback 降级。）
+	// 同步首写保证：main() 继续往下做任何慢事之前，mtime 已经是新的。
+	writeHB()
 	hbStop := make(chan struct{})
 	go func() {
 		t := time.NewTicker(5 * time.Second)
 		defer t.Stop()
-		writeHB := func() {
-			if f, err := os.OpenFile(hbPath, os.O_CREATE|os.O_WRONLY|os.O_APPEND, 0644); err == nil {
-				fmt.Fprintf(f, "t=%d\n", time.Now().Unix())
-				f.Close()
-			}
-		}
-		writeHB()
 		for {
 			select {
 			case <-t.C: