3. 长期运行稳定性验证指标体系
长期运行稳定性验证不能只凭“跑得久、没崩”来下结论，必须把观测到的现象转化为可比较、可复现、可判定的量化指标。星载计算机的稳定性指标与地面服务器有一个根本差异：它面对的是单粒子翻转、总剂量累积、温度循环等空间环境应力，很多故障是瞬态的、可恢复的，因此“故障”与“失效”必须分开统计。本节围绕六个核心指标，说明它们的定义、量化公式、数据来源与使用边界。
一、可用性与可靠性：一对容易混淆的指标
可用性（Availability）描述系统在任意时刻处于可服务状态的概率，量化式为 A = MTBF / (MTBF + MTTR)，其中 MTBF 为平均无故障时间，MTTR 为平均修复时间。它关心的是“能不能用”，把故障频次和修复速度合并成一个比值。星载场景下 MTTR 往往不是人工维修时间，而是自主复位、模式切换、冗余接管所需的时间，因此可用性对恢复机制的设计非常敏感。
可靠性（Reliability）描述系统在给定时间区间内不失效的概率，通常用 R(t) = e^(−λt) 表示，λ 为失效率。它关心的是“能撑多久不出错”，是一个随时间单调下降的函数。两者的区别可以用一个例子说明：某设备每小时复位一次、每次 3 秒恢复，可用性仍高达 99.9% 以上，但可靠性很差，因为它在任务周期内频繁中断。星载计算机通常要求可用性达到 0.999 以上，同时要求关键任务段内可靠性满足 R(t) ≥ 0.99。
二、平均无故障时间（MTBF）与软错误率（SER）
MTBF 是失效率的倒数，MTBF = 1/λ。工程上不直接测“平均”，而是用总运行时间除以故障次数：MTBF = T_total / N_fault。这里必须明确故障判据——是整机复位算一次，还是单比特纠错也算一次。建议按严重度分层统计：可纠正错误（CE）、不可纠正错误（UE）、复位、任务中断分别计数，再给出各自的 MTBF。示例：某星载计算机连续运行 2000 小时，记录到 8 次可纠正单粒子翻转、1 次需复位恢复的异常，则 CE 级 MTBF 为 250 小时，复位级 MTBF 为 2000 小时。这两个数字含义完全不同，混在一起会严重误导结论。
软错误率（SER）衡量单位时间、单位存储或逻辑资源上发生单粒子翻转的概率，常用单位为 FIT（1 FIT = 10⁻⁹ 次/小时）或 errors/bit/day。量化式为 SER = N_SEU / (T × N_bits)。例如 4 Gbit 的 SRAM 在轨运行 1000 小时累计发生 120 次翻转，则 SER = 120 / (1000 × 4×10⁹) = 3×10⁻¹¹ 次/(bit·h)，即约 0.03 FIT/bit。SER 是评估 EDAC、三模冗余、刷新周期是否足够的直接依据，也是地面加速试验（质子/重离子）外推到在轨环境的核心参数。
三、性能退化率：把“变慢”变成可判定的数字
星载计算机长期运行后，性能下降可能来自时钟漂移、存储器读写裕量减小、热控效率下降或软件资源泄漏。性能退化率定义为 D = (P₀ − P_t) / P₀ × 100%，其中 P₀ 为初始基准性能，P_t 为第 t 次测量值。基准必须在同一温度、同一供电、同一负载条件下采集，否则退化率会被环境波动淹没。
实操中建议选取三类基准量：一是计算类，如固定基准程序的执行周期；二是存储类，如 1 MB 连续读写的平均带宽；三是响应类，如中断响应到任务恢复的时延。以某示例任务为例，初始基准周期为 100 ms，运行 3000 小时后测得 104.5 ms，则退化率 D = (100 − 104.5)/100 × 100% = −4.5%，即性能下降 4.5%。若任务允许的最大退化率为 5%，此时已接近阈值，应加密监测并准备降级策略。注意退化率是趋势量，单次测量受温度影响可能波动 ±1%，应使用滑动平均或同温区对比来抑制噪声。
四、恢复时间（MTTR）：可用性的另一半
恢复时间指从故障发生到系统重新进入可服务状态所经历的时间，包含故障检测、复位或切换、自检、任务重同步四个阶段。星载计算机的恢复通常由看门狗、EDAC 中断或健康管理模块触发。量化时不能只记录“复位成功”，而要分段计时：检测延迟 t_d、切换/复位耗时 t_r、自检耗时 t_c、任务恢复耗时 t_s，MTTR = t_d + t_r + t_c + t_s。
示例：某平台看门狗喂狗周期 500 ms，检测延迟最坏 500 ms；复位与引导 1.2 s；自检 0.8 s；任务重同步 0.5 s，则 MTTR ≈ 3.0 s。若可用性目标为 0.999，且 MTBF 为 2000 小时，则允许的 MTTR 上限约为 MTBF × (1/A − 1) = 2000 × 0.001 ≈ 2 小时，3 秒远低于上限，说明恢复速度不是瓶颈；但若 MTBF 降到 10 小时，同样的 MTTR 仍可满足 0.999，真正需要关注的是降低故障频次。这个反推关系是设定指标时最实用的工具。
五、指标之间的耦合与使用边界
六个指标并非独立：SER 升高会拉低 MTBF，MTBF 下降会拉低可用性，恢复时间变长同样拉低可用性，而性能退化率过高会迫使系统降频或降级，间接影响可靠性与恢复能力。因此验证报告中应给出指标矩阵，而不是孤立数字。同时要明确每个指标的统计口径：故障判据、观测窗口、样本量、置信区间。例如 2000 小时只观测到 1 次复位，MTBF 的点估计为 2000 小时，但 90% 置信下限可能只有约 400 小时，样本不足时不能把点估计当作设计裕量的依据。
综上，可用性与可靠性回答“能不能用、能撑多久”，MTBF 与 SER 回答“多久出一次错、错从哪来”，性能退化率回答“是否在悄悄变差”，恢复时间回答“出错后多快回来”。量化方法的核心不是公式本身，而是统一判据、统一基准、统一观测窗口，让不同批次、不同阶段的验证结果可以横向比较、纵向追踪。