【锚点】这一篇只钉一个判断：MTBF 不是「寿命」，它是【失效率的倒数】；把它当「平均能活多久」读，是一个率/时间的范畴错误。这个错误的代价，在删失数据里会被放大到 19 倍。

【显式】恒定失效率 λ 下 MTBF = 1/λ。取 MTBF = 100,000 h，则 λ = 1e-5/h。 【流程节点链路】λ = 1e-5/h → 生存函数 R(t) = e^{(-λt) → MTBF = ∫₀}∞ R(t)dt = 1/λ = 100,000 h → 令 R(t) = 0.5 → t_med = ln2/λ = 0.693 × MTBF = 69,315 h → 令 t = MTBF → R = e^{(-1) = 0.368 → 终点：中位寿命只有 MTBF 的 69%，且在 MTBF 之前失效的概率是 63.2%。}

所以「MTBF 10 万小时」的正确读法是「到 10 万小时这个时间点，还有 37% 的设备没坏」，不是「平均能撑 10 万小时」。这两个说法之间差了一个 ln2 和一个指数。

【隐式】可加性的方向也是反的。10 个各自 MTBF = 10⁶ h 的部件串联，系统 MTBF = 10⁵ h——【失效率相加，MTBF 不相加】。 【流程节点链路】10 个独立部件串联 → λ_sys = Σλ_i = 10 × 1e-6 = 1e-5/h → MTBF_sys = 1/λ_sys = 1e5 h → 终点：每多一个串联件，系统 MTBF 按 1/n 掉，这就是冗余不是可选项的原因。 但冗余也打折：两个相同部件并联（都坏才失效），R_sys = 1-(1-e(-λt))² = 2e^{(-λt) - e}(-2λt)，∫R_sys dt = 2/λ - 1/(2λ) = 1.5/λ。买到的是 1.5 倍，不是 2 倍——因为并联系统的失效率从 0 开始单调上升，它已经不是指数分布了，而 MTBF 这个单一数字在这里第一次开始失真。

【细微】MTBF 不是寿命分布的充分统计量。固定 MTBF = 100,000 h，只改 Weibull 形状参数 β： 【流程节点链路】均值 = ηΓ(1+1/β) → β=0.5（递减风险）：Γ(3)=2，η=50,000，中位数 = 50,000×(ln2)² = 24,024 h，t=100,000 时失效概率 75.7% → β=1（指数）：η=100,000，中位数 69,314 h，失效概率 63.2% → β=3（递增风险）：Γ(4/3)=0.893，η=111,984，中位数 = 111,984×(ln2)^(1/3) = 99,106 h，失效概率 50.9% → 终点：同一个 MTBF，中位寿命从 24,024 到 99,106，差 4.1 倍；t=MTBF 时的失效概率从 50.9% 到 75.7%。 一个数字无法同时编码「位置」和「形状」。报告 MTBF 而不报告分布族，等于报告了一个没有定义的量。

【极难发现】删失数据偷走的不是分子里的失效，是分母里的时间。 【流程节点链路】100 台设备各运行 1000 h → 10 台在 500 h 失效，90 台到 1000 h 仍未失效（右删失）→ 朴素做法：只对 10 台失效取均值 = 500 h → 正确做法（指数模型 MLE）：总暴露时间 = 10×500 + 90×1000 = 95,000 台时，除以 10 次失效 = 9,500 h → 终点：朴素估计把 MTBF 低估了 19 倍，被扔掉的正是 90 台幸存者贡献的 90,000 台时。 这不是算术错误，是【风险集 risk set】的定义错误：t 时刻的分母应该是「当时仍在运行的所有设备」，不是「最终失效的那些设备」。Kaplan–Meier 与 Nelson–Aalen 的全部意义就是让分母随删失动态收缩；把它换成「失效样本均值」，等于在每次删失时偷偷把幸存者从分母里删掉一次。

【极难发现·二】顺带拆一个更老的迷信：浴盆曲线。它在 1970 年代的电子管与机械件上也许成立，但在现代半导体和经过筛选的电子组件上，大量可靠性数据集呈现的是单调下降或基本平坦的风险函数，磨损段在预期寿命内根本到不了。Klutke、Kiessler & Wortman（2003, IEEE Trans. Reliability）的批评是：浴盆曲线更多是被假设进模型的，而不是被数据观测到的。如果这是对的，那么上面那条「MTBF 高估中位寿命」就不是偶发偏差，而是一个有固定符号的系统偏差——而且用指数模型做备件与保修预测，会在早期失效段系统性低估失效数。

【结尾的问题】既然 MTBF 既不是寿命也不是可靠度，为什么采购合同里还在用它？我的答案是：合同需要的是【可仲裁性】，不是正确性——MTBF 是唯一一个能在不做分布假设的前提下写进条款、并能在零失效验收试验里被单边检验的单一数字。真正值得辩论的是：当一个可靠性指标被写进合同时，它优化的到底是产品，还是争议解决的成本？