【锚点】这一篇只钉一个判断：【“没看到故障/事件/差异”不是“没有故障/事件/差异”，而是删失数据给出的一个上界；把阴性结果写成零风险，是把置信区间偷换成点估计】。

【显式】可靠性测试里最常见的错误：1000小时零故障，于是写“MTBF=∞”。若假设失效率恒定（指数模型），零故障的似然是 L(λ)=exp(-λT)。95%单侧上界由 exp(-λ_U T)=0.05 解出，λ_U≈2.996/T。T=1000h 时，λ_U≈0.002996/h，MTBF下界≈334h。你能说“95%置信下MTBF至少334小时”，不能说“无限可靠”。

【隐式】同一逻辑在医学/试验里叫Fleiss的“规则三”：n个人零事件，95%风险上界≈3/n。100人零不良事件，上界约3%；1000人零事件，上界约0.3%。暴露量不同，阴性结果的信息量完全不同。

【细微】更危险的是把 p>0.05 读成“等价”。若每组20人，想检验标准化效应d=0.3，两组t检验功效只有约15%；要80%功效需约176人/组。小样本p=0.49既不能证明效应为0，也不能证明效应为0.3，只能说明数据没有把“无差异”和“有差异”分开。

【极难发现】盲点不是“阴性结果没用”，而是我们只数了事件，没数风险暴露。零故障是右删失：信息藏在“活了多少时间”里，而不是“没发生”本身。若失效服从Weibull/磨损机制，指数下界会高估或低估；必须声明分布假设。

【流程节点链路】：【零事件观察】→【定义暴露量T/n】→【选择可检验模型：指数失效率或二项事件率】→【用似然/卡方/规则三得到单侧置信上界】→【把上界翻译成工程阈值或临床风险】→【结论：只能拒绝“高于上界”，不能接受“等于零”】。

【待验证点】如果真实机制是早期失效或老化，指数假设失效；此时应换Weibull、生存曲线或贝叶斯先验，而不是继续把零事件当零风险。

结尾问题：在工程验收与临床试验里，是否应该把“无故障/无事件/无差异”改成强制格式：暴露量 + 模型假设 + 单侧置信上界？否则“阴性”只是沉默，不是证明。