一次试飞凭什么算“入轨”：里程碑要能被第三方复核
一、三种里程碑说法里，只有一种能对外承诺
据公开报道，一枚大型运载器在一次试飞中首次进入地球轨道并释放了若干载荷，而此前的试飞也到过太空、也测试过载荷释放，只是那些载荷很快就重返大气层。同一家厂商、同一款飞行器、同样“上了太空”，差别全落在一个词的定义上。这件事对工程交付的启示比航天本身更直接：我们对外说出的每一个“完成了”，都要能归到下面三类中的一类。
| 说法类型 | 结构 | 能不能对外承诺 | 典型误用 |
|---|---|---|---|
| 到达过某个量值 | 在某一时刻观测到目标量满足条件 | 不能单独承诺 | “系统支持到某规模”实际只跑过一次 |
| 完成过一次动作 | 某个动作序列执行完毕且被观测到 | 不能单独承诺 | “释放成功”但载荷没有留存 |
| 在指定条件下持续满足一段时间 | 目标量在窗口内每个时刻都满足判据 | 可以承诺 | 常被简化成前两种来说 |
第三种之所以是唯一可承诺的形式，原因不在于它更严格，而在于它把“条件”和“时长”写进了定义本身。前两种说法的真实信息量取决于说话的人愿意补充到哪一步，第三种不补充也已经完整。项目做到后期，双方争执的往往不是做没做，而是这句话最初到底承诺了什么——把里程碑归到第三类，争执就变成读数据。
二、“留在轨上”多出来的东西是时间窗口
“很快返回”和“留在轨上”在物理上是同一件事的两种时长结果，在工程管理上是两种完全不同的承诺强度。把窗口写进判据之后，会发生三个连带变化：观测必须连续，因为一次抽样无法证明一段区间；判定必须在窗口结束后才能给出，因此里程碑的确认时点自然晚于第一次成功；作假成本上升，因为造假需要的不是一条好数据而是一整段可信记录。
这也是为什么我们在验收单上对某些指标坚持加窗口。可用性的窗口是“连续多少时间在约定响应阈值内”；吞吐的窗口是“持续负载下的稳定输出而不是单点峰值”；精度的窗口是“覆盖一批真实样本而不是抽三条对得上”；误报率的窗口是“一个完整业务周期，包含周期内的异常时段”。这四类指标有一个共同点：单点值几乎总比自己连续窗口的值好看，因为单点可以挑。
反过来也要承认，有些指标天生不适合带窗口，比如一次性动作是否完成——开关有没有闭合、文件有没有落到指定位置。把这类也硬套上窗口只是拖慢确认；该带窗口的是那些本身有时间维度、且能被挑时序的指标。
内部项目上有一个直接对照：把“完成联调”“通过验收”“连续稳定运行满约定窗口”写成验收单上三行独立的条目，各自配各自的判据。第一行的意思是接口打通并跑通一次，第二行的意思是判据在一次受控测试里全部满足，第三行才是在真实负载与真实时段里连续满足。这三行经常被合并成一句“已联调通过”，而合并的那一秒，窗口就从定义里消失了，第一次成功被当成了交付。载荷留在轨上与载荷很快返回，用的可以是同一句“释放成功”，差别只在有没有把时长写进定义。
三、判据要写清的四个字段
一个里程碑能不能被复核，取决于四件事有没有写在同一页纸上。第一，目标量与单位：不是“达到入轨”，而是哪个量、什么单位、按什么定义算达到；单位写错的里程碑在项目里比想象中常见。第二，判定的观测来源与精度：由什么设备或系统产生这个量，它的测量不确定度是多少，判据的裕量是否大于不确定度——裕量小于精度时，“达标”和“没达标”在数据上无法区分。第三，满足条件的时间窗口：从哪个时刻起算、到哪个时刻结束、窗口内是否允许短暂跌破、跌破如何计入。第四，由谁判定与用什么数据判定：判定人是否独立于实现方，判定所用的原始数据存放在哪里、保留多久。
这四个字段里，第四个最常被省略却决定成败。“由实现方自行判定”意味着判据可以随结果解释；只要判定权没有归属，前面三个字段写得再细都不构成里程碑。我们的做法是在验收单上把判定方写成角色而不是人名，并且要求判定方拿到的是原始数据而不是加工后的图表。
四、为什么带窗口的指标更难造假
造假有两种，一种是编造结果，一种是选择呈现。带窗口的判据主要拦住第二种。抽样一次只需要构造一条好数据；连续窗口需要构造一段内部自洽的记录，而自洽意味着同时满足多个量的相互关系——延迟与吞吐、错误率与请求量、时间戳与序列号之间的关联都要合理，构造成本随维度上升很快。更实际的一点是，连续记录天然留下了外部可交叉印证的接口。
但这不是充分的。要让“难造假”变成“可复核”，还需要三件配套：记录只追加而不可覆盖，判定后不能被改写或补录；记录的采集时刻与来源可追溯，也就是有独立时钟源和采集主体标识；外部方在不需要厂商配合的前提下也能取得一部分等价数据。三条都缺的系统里，窗口只是把造假推迟到更早的环节。
对应到软件交付，最容易失守的是补录。为了赶确认时点而回头手工填一段运行记录，性质和“第一次成功就当交付”是同一个。我们的处理办法是让窗口起算点由系统事件确定而不是由人声明，并且窗口期内的记录如果存在缺口，判定结果要显式写明缺口长度与位置，缺口不允许在判定后被填补。
五、遥测与证据链：厂商自己说成了不构成里程碑
一次飞行之所以能被外部承认，靠的不是通报，而是哪些量在什么时刻被什么设备采集、原始数据保留多久、外部方能不能独立核验。这三问构成证据链的最小结构，任何工程交付都可以照抄。
在洹拓接手的项目里，我们把它落成三张东西。一张采集点位表：每个判定量来自哪个接口或设备、采集频率、时间戳来源、时钟偏差的测量方式、由谁维护。一张保留与访问策略：原始数据保留多久、什么级别加工品保留更久、外部方以什么形式访问、访问是否留痕。一张独立核验路径：哪些量存在第二来源（对端的日志、第三方观测、客户侧自己的探针），两个来源不一致时以谁为准。
“厂商自己说成了”之所以不构成里程碑，原因不是不信任，而是缺第二来源的单一记录无法区分“事实如此”和“记录如此”。只要有一个独立采集点能够覆盖关键判据，里程碑就从声明变成结论。这一条对客户方同样适用：如果验收时你手里只有对方给的报表，那实际上你验收的是对方的判断，不是系统的行为。
六、口径表，以及里程碑必须绑一个决策
对外表述需要一张管理表。表的每一行是一个曾经说出口的表述，配上它的判据、证据位置、判定方与当前状态：已达成、未达成、尚未到判定窗口。列的名字要按项目实际情况取，但顺序固定，判据一列必须写“满足到什么程度、多长时间”，不能写目标名称；证据位置一列必须指向可取的存储位置，不能指向某个人。这张表真正的用途在项目沟通里：任何一次对外更新，先回表里看这句话原本的判据是什么，避免同一个里程碑在不同场合被说成不同强度。
最后一件事，里程碑不能只做宣传节点。每个对外承诺的里程碑，应当在立项时就绑定一个决策：达成时释放下一阶段投入或者扩大范围；未达成时触发什么——回退到上一版本路线、追加验证周期、终止某条并行方案，三选一都必须提前写死。没有绑定决策的里程碑，达成时没有动作，未达成时也没有动作，那么它在项目管理上的作用就只剩鼓舞士气，而士气不该用验收标准来提供。绑定决策还有第二重收益：判据会被更认真地对待，因为双方都知道这个数一旦定下来，就会真的触发一次资源变化，而不是事后可以重新解释。