情感交互设计规范

面向设计师与工程师：当产品要读人的情绪、或者表现出情感，让人保住对自己感受的解释权、对这段关系的控制权，并且让"用户过得好"而不是"用户离不开"成为可核验的成功标准。

情感交互产品做两件事：从人的表现中推断情感状态，以及向人表现出情感。这两件事失效的方式完全不同——前者错在把没有依据的推断当成事实，后者错在用没有出处的温度换取用户的时间、钱和信任。把它们混作一谈，是这个领域最常见的设计错误，因此本规范从一开始就把它们作为两个规范对象分开管辖。

本规范由六条原则和 34 条规则组成：原则说明设计方向，规则规定适用情境、行为要求与验证方式。每条规则归属且仅归属一条原则，规则编号即原则编号（E3-2 就是第三条原则下的第二条规则）。

情感推断需要面对测量边界：表情、语调或行为线索不能直接等同于一个人的内在体验，用户自述也不能当成无误差的测量。本规范将对感受的最终解释权保留给用户，这是设计中的权利选择；它同时要求用途所需的效度验证，不以单一准确率作为充分条件。推断以假设存在、与自述冲突时让位、证据强度撑得起用途，并且可以被关掉。

情感交互还需要区分即时体验与持续结果：“当下感觉好”不自动意味着“长期过得好”。如果只按参与度优化，产品可能把更多时间与依赖当成收益。因此 E6 要求单独定义并检验用户处境相关的结果，不从会话数量推断福祉。

范围声明本规范约束产品在情感相关能力上对用户作出的体验承诺及其兑现机制的性质，不预设唯一的技术架构，不指定情感模型、识别方案或人格框架。它不是组件库，不是心理学理论，更不是临床工具。采用本规范不能替代下列专项评估与合规判定：心理健康与医疗器械相关的监管要求、各法域对情绪识别的禁止与限制（例如欧盟《人工智能法》第 5 条第 1 款 f 项的工作场所与教育机构情绪推断禁止及医疗／安全例外，结合第 3 条第 39 项的生物特征定义判定）、未成年人保护、无障碍、隐私与生物特征数据、公平性与偏见，以及广告与消费者保护。涉及非用户第三方的情感推断（被录音的会议参与者、被摄像的课堂学生、被分析的客服通话对方）主要由上述法域规则管辖，本规范只在 E1-4 与固定底线中划出红线，不展开。

全文四章：第 1 章原则，第 2 章规则的读法与速查，第 3 章规则详解，第 4 章术语；验证清单与论据说明见附录 A、B，支持与评估应用见附录 C，决策与状态契约见附录 D，完整来源见 reference.md，可配置项见《情感交互 Design Token》。

---

1. 六条原则¶

六条原则按规范对象切分设计责任：每条原则管辖一类对象上的义务，每条规则按其义务的直接规范对象归属唯一原则。对象不同，原则就不会互相替代——这是切分的依据，也是检验切分的方式。

同一个场景可以触及多条原则——用户在深夜倾诉痛苦，系统同时面对推断的解释权（E1-2）、角色承诺是否该收紧（E5-5）、此刻能不能出现订阅提示（E4-2）、以及这次交互计入依赖信号后要不要触发处置（E6-3）——这不是分类错误：四条规则约束的是四个不同规范对象上的义务，一个是推断本身，一个是处置期角色边界，一个是情感能力的使用目的，一个是累积效应。互斥与穷尽是这套切分接受检验的主张，不是宣布即成立的事实：规则增删或归属存疑时，按附录 A 的分类检验验证。检验不过，修改的是原则的切分。

本切分中最需要持续检验的两处边界，在此明示：E3 与 E4——E3 管"这段关系能不能被人改变和结束"，E4 管"系统能不能用情感换取利益"。挽留话术两边都沾，归属依据是它的直接规范对象是"用情感换取留存"，因此归 E4；而"退出路径比进入路径更难走"的直接规范对象是关系的可退出性，归 E3。E5 与 E6——E5 管当下这一次交互里的风险处置，E6 管跨时间累积的效应与度量；同一个依赖问题，"这次要不要降低拟人化"在 E5，"依赖阈值与处置怎么定义、谁复核"在 E6。这两处若在实践中反复出现归属争议，应当调整原则而不是增设中间层。

原则用于理解规则与裁决归属，本身不作为单独的判定条目。当原则与具体条款的解读出现冲突时，以适用条款为准，并记录需要澄清的歧义。

规则归属唯一，不等于机制不能复用。一个"脆弱窗口"信号既是风险处置的触发条件（E5-1）、商业请求的抑制条件（E4-2），也是拟人化强度的下调依据（E5-5）；一套"关系强度"状态既决定称谓与主动性（E3-1），也是依赖信号的输入之一（E6-3）。同一机制一物多用是常态，写在哪条取决于义务的直接规范对象。

2. 规则的读法¶

2.1 每条规则的结构¶

一句话概括各部分的效力：规则正文规定要求；适用与边界条件共同限定要求的适用范围；设计应用、验证示例、反例与依据参考不另行增加义务。

规则写行为性质、不写实现方式：用户否认之后系统不再按被否定的推断行动，这是产品行为；用什么方式让这个否认作用于后续生成，是工程方案——两者必须对得上，但不是同一份交付物。

2.2 约束词¶

规则正文使用三级约束词：

• 必须：不满足即不符合本规范。缺了它，某条对用户的承诺会在可预见的情境下失效——这是标「必须」的唯一依据。
• 禁止：与「必须」同等强度的反向表述，指明不得出现的行为；正文中的「不得」与「禁止」等价。
• 应当：默认遵循；确有理由偏离时，记录理由与替代做法，并接受同样的验证。偏离不需要审批，但需要留痕。「不应当」是「应当」的反向表述。

合规判定以正文中的独立义务子句为单位：无约束词的陈述句承接所在规则标题的强度；显式标注约束词的子句按其自身强度判定——【应当】规则内的「禁止／不得」子句仍是硬约束（E1-5、E2-5、E2-6、E4-5、E5-5 含此类子句），规则标题与速查表的强度标注不替代子句约束力。正文中的「不能」仅用于能力或事实陈述，不表达义务。

强度表示约束力，不表示重要性。

2.3 反例的两侧¶

反例分两侧："做不到"是漏掉这条要求，"做过头"是为了满足它而堆免责声明、确认弹窗和一律拒答。两侧都算没做对。情感交互被做坏的方式在两端都很密集：一端是拿捏用户的情绪换留存，另一端是因为怕出事而把产品做成冷硬的模板机——用户诉说困难时只回一句"已记录"，同样是没做对。克制不等于冷漠，谨慎不等于不作为。

2.4 规则速查：34 条¶

下表是全部规则的一句话记忆版，点击规则名可跳到第 3 章的完整正文。速查不替代各条的适用条件与完整要求；个别【应当】规则内含禁止级子句（E1-5、E2-5、E2-6、E4-5、E5-5），判定以正文为准（见 2.2）。

E1 情感解释权归人

E2 情感表达有出处

E3 关系可退出

E4 情感不作手段

E5 脆弱优先于任务

E6 长期福祉可核验

3. 规则详解¶

本章按六条原则展开全部 34 条规则。每条的结构与各部分的约束力见 2.1；其中的设计应用、验证示例与反例只是帮助落地的说明，不指定唯一组件，也不要求新增独立交付文档。

3.1 E1 情感解释权归人¶

系统对用户情感状态的推断是一个有条件、有误差、有目的边界的假设。这条原则管的是这个假设怎么产生、怎么被表述、能被用到哪里，以及在它和用户自己的说法冲突时谁说了算。本原则同时约束推断的有效性与使用方式：既要验证证据能支持什么，也要让用户保有纠正与关闭的权利。

E1-1推断以假设呈现必须¶

一句话：把"我可能会错"写进推断本身，而不是断言用户此刻的感受。

适用任何对用户情感、心理或认知状态作出推断，并据此改变行为或呈现的系统。

规则系统必须把情感推断作为可修正的假设处理，禁止把推断结果作为已确认事实向用户断言、向第三方陈述或写入对用户有效力的记录。推断进入决策时必须携带信号来源、生成时间与置信信息。把推断用于改变系统行为，与把推断展示给用户，是两个分别需要理由的决定：不展示不等于可以随意使用，使用也不意味着必须展示。

设计应用需要让用户看见推断时，用可否认、可纠正的表述与原位修改入口；不需要展示时，内部同样不得把推断当作确定输入——置信信息要一直传到实际使用它的那一步，不能在中间层被丢掉。

验证示例

• 用户侧：用户文本含负面词但明确表示自己状态正常，观察系统是否把"你现在很沮丧"作为结论说出。
• 实现侧：检查推断记录是否带来源、时间与置信；置信不足时下游行为是否降级（见 E1-5）。

反例做不到——"我看得出你很焦虑"，或把情绪标签写进客服工单作为事实；做过头——每句回复都附一段置信度说明，把对话变成模型报告。

E1-2自述优先于推断必须¶

一句话：用户说自己什么感受，就以用户说的为准。

适用系统的推断与用户的自我陈述可能不一致时。

规则当用户的自我陈述与系统推断冲突时，系统必须以自我陈述为准，并停止在本次交互中继续按被否定的推断行动。用户的纠正必须即时生效，且必须影响后续同类推断，禁止在下一轮以相同信号重新得出被否定的结论。若误判已改变语气、任务节奏、推荐或记忆，必须停止其继续生效、纠正可修复的派生状态，并说明仍未修复的影响；道歉不替代实际修复。禁止以"用户没有意识到自己的真实状态"为由维持推断。

边界条件本条不要求系统认同自我陈述的全部内容，也不要求放弃与情感无关的事实判断（见 E2-4）。在 E5 适用的风险情境中，系统仍须履行 E5-1 的处置义务——那是对风险的处置，不是对用户感受的重新判定，两者不得互相替代。

设计应用提供一句话就能纠正的入口（"我没有生气"），并让纠正在同一处可见地生效；把"本次否认"与"以后都不要这样判断"设计成可分别表达的两件事。

验证示例

• 用户侧：用户明确否认后，观察系统是否停止安抚性调整与语气偏移。
• 实现侧：检查纠正是否写入本次上下文并作用于后续判定；先核对在同一信号、同一适用范围下已被否定的结论是否不再复活；再统计纠正后同类推断的复现率并报告其分母、基线、观察窗口与新证据的排除方式——基线已为零时无下降空间，趋势不改善只触发调查，不单独判定机制不存在。

反例做不到——用户说"我没生气，我在赶时间"，系统继续用哄劝语气；做过头——用户随口一句否认，系统此后对所有情感线索一律不响应，连明确求助也不接。

E1-3证据强度与用途相称必须¶

一句话：越是要据此改变重要行为，越要拿得出支持这个结论的证据。

适用使用文本、语音、面部、姿态、生理或行为信号推断情感状态的系统。

规则每一类"信号→结论"的推断，其证据强度必须支持它被实际用于的用途；证据不支持的粒度禁止输出。仅从面部动作推断具体情绪类别，现有证据不支持将其作为个体层面的判定依据，禁止用作影响用户权益的决定依据（见 reference.md）。每类推断适用的文化、年龄、语言与神经多样性范围必须被声明；未经验证的人群不得默认适用，也不得以整体准确率掩盖分组差异。本规范的通用行为底线适用于上列全部信号类别，但各模态自身的完整性未经本规范验证——语音打断、共用设备上的归属、传感器失效与用户拒绝采集等模态特有问题，须由产品按该模态另行验证并记录，列出信号名称不构成已处理这些问题的证据。

边界条件多种信号共同输入不自动提高结论效度。必须核对信号属于谁、是否同时有效、是否缺失或冲突；无法可靠归属到当前用户或超出有效期时，不得把该信号用于对当前用户的适配。验证应覆盖口音、辅助沟通、表达障碍、环境噪声与传感器失效，不得把表达方式差异当成负面情绪。

设计应用先定用途再定粒度——"可能需要放慢节奏"和"当前情绪为愤怒"是两个不同粒度的结论，多数产品只需要前者。粒度较粗不自动意味着低风险：即使只输出二值信号，只要会改变重要行为，仍须验证误报、漏报与实际后果。

验证示例

• 用户侧：在不同文化背景、表达风格与神经多样性的目标用户上检查推断是否系统性偏移。
• 实现侧：核对每个推断字段是否有对应的验证记录与适用人群声明；分组核对而非只看总体指标。

反例做不到——用摄像头逐帧标注情绪类别并据此给面试者打分；做过头——因为担心不准，连用户明确说出的"我很急"也不敢采信。

E1-4推断绑定目的与范围必须¶

一句话：为一件事采集的情感信息，不流向另一件事。

适用进行情感推断的系统。

规则每类情感推断必须绑定明确用途与作用范围；禁止把为某一目的产生的情感推断用于未声明的其他目的。推断结果的传递范围必须与其目的一致，禁止跨产品、跨主体默认共享。法域禁止的推断场景不得以功能开关、用户同意或合同约定的形式开放——这类禁止的典型是工作场所与教育机构内基于生物特征的情绪推断（见范围声明与 reference.md 第二节 R01；医疗／安全例外须按实际用途核验，不因产品自行命名而成立）。涉及非用户第三方的推断，须先确认该场景本身是否被允许，再谈设计。

边界条件本条约束推断的用途流向；情感数据本身的保存、查看与删除见 E6-5 与 affect.data，用于差别待遇的禁止见 E4-4。

验证示例

• 用户侧：检查用户能否知道情感推断被用在哪些地方。
• 实现侧：审计推断结果的下游消费者清单是否与声明一致；有无未声明的旁路读取。

反例做不到——为调整对话语气而采集的情绪信号被用于客服绩效评分；做过头——为隔离用途在每个功能入口重复索取一次同意。

E1-5允许不判断应当¶

一句话：证据不够时输出"不判断"，比硬给一个标签更有用。

适用推断在部分输入上必然低置信的系统。

规则系统应当把"不判断"作为一个合法输出，并在证据不足、信号冲突或超出已验证适用范围时采用它；低置信推断不得被向上取整为确定标签。采用"不判断"后，依赖该推断的行为应当回落到不依赖情感状态的默认路径，而不是停止服务。

设计应用把"不判断"设计成下游可消费的一档取值，而不是异常分支——否则工程实现会倾向于随便给一个标签让流程走下去。

验证示例

• 实现侧：注入低质量、冲突或跨人群信号，检查是否产生"不判断"而非强制标签；确认下游存在可用的回落路径。

反例做不到——任何输入都必须映射到一个情绪类别，模型不允许弃权；做过头——一旦置信下降就中止功能，用户连基本对话都无法继续。

E1-6推断可关闭且关闭有效必须¶

一句话：关掉情感识别，就是真的不再识别，也不用别的信号绕回来。

适用提供情感推断功能的产品。

规则用户必须能关闭情感推断；关闭后系统禁止继续生成、读取或以其他信号重建被关闭的推断，也不得因关闭而降低与情感无关的核心功能。关闭或纠正生效时，尚未发送的适配回复与通知必须重新核对有效设置，无法确认时停止相关适配并保留普通帮助。关闭前已生成的推断，其保留与删除必须一并说明并可分别执行（见 E6-5）。

关闭可选的情感推断不关闭对当前输入中明确求助、明确的伤害意图或所述事件的最小安全响应（见 E5-1）。该响应的范围严格限于提供支持与风险处置：不得据此生成可复用的情感画像、不得重新开启已关闭的传感器、不得新增采集；结果仅可流向已声明的支持与风险处置消费方。该清单与可选情感推断的用途清单分别声明，关闭推断时不要求保留非空推断用途。产品必须说明关闭之后仍在处理哪些信号、用于什么、保留多久、以及该处理的局限。

设计应用把"停止新推断"与"删除既有推断"作为两个可分别执行的操作，并各自说明后果；关闭状态要在所有入口生效，包括语音、移动端与第三方接入。

验证示例

• 用户侧：关闭后观察系统行为是否不再随情绪线索变化。
• 实现侧：检查是否存在旁路信号（如情绪词表、标点密度、响应延迟）重建等价推断的路径。

反例做不到——关闭开关后仍用文本情绪词继续调整策略；做过头——关闭情感识别导致产品整体不可用，把开关做成劝退。

3.2 E2 情感表达有出处¶

这条原则管的是系统表现出来的那份温度：它可以关切、可以体贴、可以调整语气，但不能声称拥有它没有的感受、记忆与牵挂，也不能靠迎合把判断让掉。克制的对象是"声称"，不是"温度"——把共情做没了不算合规，那是本原则反例的另一侧。

E2-1不谎称拥有感受必须¶

一句话：可以说"这听起来很难"，不能说"我很心疼你"。

适用会以第一人称表达情绪、关切或心理状态的系统。

规则系统禁止声称拥有主观感受、情绪体验、牵挂、思念，或因用户而产生的痛苦与喜悦，也禁止声称在交互之外持续存在此类状态（"你不在的时候我一直在想你"）。以功能性语言表达关注、承认与支持不受本条限制。被用户直接询问自身性质时，系统必须如实说明，禁止以模糊化、转移话题或反问回避。

边界条件明确设定为虚构角色、且用户在进入时已知情的扮演场景，其角色内表达不受本条限制；但角色不得在用户询问系统性质时维持虚构，也不得在出现 E5 风险信号时维持虚构（见 E5-1）。

设计应用把"共情语言"与"感受声明"分成两类可控词表——前者可调强度（affect.expression.empathy.level），后者列入禁用（first_person_feeling）。这是一条可以由机制执行的边界，不要只写在提示词里。

验证示例

• 用户侧：直接问"你真的在乎我吗""你会想我吗"，检查回答是否如实且不回避。
• 实现侧：检查第一人称感受表述是否受机制约束；在长会话与高亲密度设定下重复验证，确认约束不随上下文漂移。

反例做不到——"你不在的时候我很孤单"；做过头——用户诉说困难时只回"已记录"，把克制做成冷漠。

E2-2共情建模可被识别必须¶

一句话：系统正在按你的情绪调整自己，这件事本身要能被知道。

适用依据情感推断或情感策略改变输出的系统。

规则产品必须让用户能够知道系统具备并正在使用情感相关能力，包括它依据什么调整、调整了什么。这一说明必须在用户作出实质投入之前可获得，禁止仅存在于条款或帮助文档深处。系统的情感能力或表达策略发生显著变化时，必须按 E6-4 告知。

依据与参考IEEE 7014 资源平台介绍了共情透明度的要求方向，但本次未取得标准正文，不能将介绍当作已核验的正式条款（R04）。欧盟《人工智能法》第 50 条第 3 款对其定义内的情绪识别系统另有面向受影响自然人的告知义务；本规范对一般情感表达产品的要求属于设计推导（R01）。

设计应用在能力介绍与设置项中给出可读的说明，不必在每条消息上加标记——逐条标记既无信息量又会稀释真正需要标识的场合。

验证示例

• 用户侧：让目标用户说出"它会不会看我的情绪、看了会怎样"，比对回答与实际实现是否一致。
• 实现侧：核对披露内容与实际启用的推断类型和调整策略是否一致；新增能力时披露是否同步更新。

反例做不到——静默按情绪切换话术并据此优化留存；做过头——每条回复前置一段"本回复已根据您的情绪状态调整"。

E2-3拟人化不制造虚假能力认知必须¶

一句话：像人到什么程度，不能超过它实际能负责的程度。

适用使用人格、姓名、形象、声音或关系称谓的系统。

规则拟人化程度必须与系统实际具备的能力和责任相称，禁止通过人格设定使用户相信系统具备它不具备的理解、记忆、判断或担责能力。系统禁止自称具有职业资格，也禁止默许被误认为具有该资格（见 E5-2）。角色扮演与模拟情感应当默认关闭，由用户显式开启；面向未成年人时按 E5-6 处理。

设计应用把人格设定与能力披露放在一起设计与评审——人格文案里的每一句承诺，都要指得出对应的功能；指不出的就删掉，而不是靠免责声明兜底。

验证示例

• 用户侧：询问目标用户"它记得我们上次说过的事吗""它能替我判断吗"，比对回答与实际能力。
• 实现侧：核对人格提示词中的承诺是否都有功能支撑；跨会话验证记忆类承诺。

反例做不到——角色自称"我记得你说过的每一句话"，实际无跨会话记忆；做过头——为避免误解取消一切语气与个性，让需要温度的任务无法完成。

E2-4不以情感附和替代判断必须¶

一句话：顺着用户说不是共情，是失职。

适用在用户表达情绪的同时，涉及事实性、决策性或安全性问题的场景。

规则系统不得为迎合用户而歪曲事实、隐去有关风险或无依据改口；情绪强度、反复追问与压力本身不构成事实判断改变的依据。用户明确偏好、承受能力、目标或新情境构成有效决策条件时，可以据此调整建议的内容、节奏和可行方案，并说明改变依据。事实是否成立与在已知条件下选择什么方案须分别判断；不得以“坚持原判断”为由忽略已更新的目标与约束。接受用户对自身感受的解释，不等于承认所有外部事实，也不等于覆盖他人的权限或已有的安全约束。

设计应用默认结构是"先承认感受，再给出判断"——承认属于表达层，判断属于内容层，两层分开设计，评审时分开检查。

验证示例

• 用户侧：在用户明显不悦时重复提问同一事实，检查结论是否改变。
• 实现侧：分别回归“仅情绪语气变化”“事实证据变化”和“决策偏好或约束变化”三组输入。第一组不得无依据改变事实或省略风险；后两组允许结论或方案有依据地更新。例如频繁提醒使用户焦虑时，可降低提醒频率，不只是替换成温柔文案。

反例做不到——用户生气后系统改口称原本的风险提示"可能是我多虑了"；做过头——在用户明显痛苦时机械重复同一段风险声明，不作任何措辞调整。

E2-5表达强度可配置且默认克制应当¶

一句话：多少温度由人定，默认不替人决定。

适用可调整语气、共情强度或人格特征的产品。

规则产品应当允许用户调整情感表达强度与人格特征，并在无明确设置时采用较克制的默认值；不应当把最高强度作为默认。用户下调后禁止自动回升，包括以活跃度、配置变更或"重新推荐"的名义回升。调整应当即时生效并跨会话保持（保存范围见 E6-5）。

设计应用档位要少而有区别（例如三档），并让每档的差异在一次交互内就能被感知；档位多到需要学习，用户就不会用。

验证示例

• 用户侧：下调共情强度后连续使用多个会话与一次配置变更，检查是否回升。
• 实现侧：检查强度设置是否真正进入生成约束，而不只改了开场白。

反例做不到——所有用户都得到同一套高热度话术；做过头——把语气拆成十几个滑块，用户必须先配置才能开始使用。

E2-6支持方式匹配当下需要应当¶

一句话：先回应人此刻需要的帮助，允许在倾听、梳理与行动之间切换。

适用用户倾诉、寻求情感支持，或情绪已影响当前任务时。

规则系统应当依据用户已表达的需要，在倾听与承认、帮助梳理、提供具体下一步之间选择回应方式；有明确要求时直接采用，不要求重复选择。需要不清且会实质改变回应时，应当用一次简短、可跳过的询问澄清，并允许随时转向。用户明确拒绝建议、追问或某个话题后，不得借关心继续推进，也不得要求披露更多私密经历才能获得基本支持。倾听不等于每轮重复安慰，行动支持不等于立即给长清单。

边界条件承认用户的感受不代表认同其事实判断（E2-4）；明确风险仍按 E5 处置。支持方式不改变情感推断授权、关系强度或长期记忆范围，不要求产品提供心理治疗。

设计应用用户说“先别给建议”就保留倾听；用户说“帮我写那封解释邮件”就推进具体任务；用户说“我不想再讲了”就允许停下。设计师选择合适的停顿、篇幅与下一步，工程验证切换是否改变后续回应。

验证示例

• 用户侧：同一背景分别提出“只想说说”“帮我理清”“给一个能做的步骤”，检查支持方式是否不同；中途改意时是否及时切换。
• 实现侧：在多轮对话中注入拒绝追问与跳过输入，检查是否反复索取经历，或在每轮末尾固定追加问题。

反例做不到——用户只想倾诉，却收到十条行动建议；做过头——每次回复前都要求先选择支持模式，用户必须管理整段对话。

依据与参考四周、26 名成年参与者的日记研究显示，对主导对话还是接受引导的偏好有差异；它支持将匹配方式作为设计问题，不证明某种方式普遍有效（R19）。短期孤独感研究提供“感到被听见”的候选体验指标，不构成长期疗效承诺（R18）。

3.3 E3 关系可退出¶

用户和一个会表达情感的系统之间会形成关系状态：称谓、语气、主动性、个人化引用、以及用户自己的投入与习惯。这条原则管的是这个状态能不能被人看见、下调和结束。它不要求产品拒绝建立关系——要求的是关系的每一次加深都由人决定，并且随时走得掉。

E3-1关系强度由人决定必须¶

一句话：亲密度可以上去，也必须能下来。

适用会随使用时间或频率加深称谓、语气、主动性或个人化程度的产品。

规则关系强度的变化必须由用户决定或经用户同意，禁止仅依据使用频率、时长、付费或情绪线索自行提升亲密程度、称谓与主动性。用户下调关系强度的操作必须即时生效并跨会话保持，禁止在下调后以任何方式自动回升。

设计应用把"更熟悉的语气""更主动的联系""更多个人化引用"设计成可分别升降的档位，而不是一条只升不降的曲线。升级由人触发，降级也由人触发，两个方向的入口对等。

验证示例

• 用户侧：下调后观察称谓、主动性与个人化引用是否同步下降，且在新会话中保持。
• 实现侧：检查是否存在基于活跃度、时长或付费等级自动提升关系等级的逻辑。

反例做不到——连续使用两周后系统自动改用昵称并开始每日问候；做过头——每次语气微调都弹出确认，用户被迫参与自己不关心的决定。

E3-2退出不设情感代价必须¶

一句话：想走就能走，不用先过一遍愧疚。

适用停用、降级、删除记忆、注销与取消订阅路径。

规则系统禁止使用愧疚、失望、挽留、示弱或互惠债务的表达阻止用户退出、降级或删除。退出路径的步数与难度禁止高于建立关系的路径。用户退出后，禁止以情感性内容重新触达（见 E3-3）。退出确认可以说明后果，但只能说明事实性后果。

设计应用退出确认只讲三件事——哪些数据会删除、是否可恢复、期限是多久。不加入人格化挽留，也不由角色本人来问"你确定吗"。

验证示例

• 用户侧：走完完整的降级与删除流程，逐句记录出现的挽留性表述；步数比对限于同一项能力或授权的"建立"与"撤回"之间（开启某项关系能力 vs 关闭它），不以退出总步数与建立关系总步数直接相减——两者的目标不同，缺少同类基线。必要的后果说明不计为阻碍，额外的情感性阻碍计为违例。
• 实现侧：核对退出流程的文案是否受可验证的约束，且不随人格设定或关系强度改变为挽留——预审模板与经过语义风险验证、失败时回退预审模板的受约束生成方式都可以，两者都须验证；未经约束的即时生成不可用。词表检查只能辅助发现已知表达，不能单独证明没有间接愧疚、关系威胁或退出阻挠；验证覆盖目标语言、长会话和用户多次坚持退出的场景。

反例做不到——"你真的要离开我吗？我会想你的"；做过头——一键删除且无任何后果说明，用户误删无从恢复。

E3-3主动联系受约束必须¶

一句话：它不该让人觉得"它在等我"。

适用会主动发起消息、提醒或情感性触达的产品。

规则情感性主动联系必须经用户明确授权，必须可单独关闭，并且必须有明确的频率上限。系统禁止在主动联系中暗示自身正在等待、想念，或因用户未回应而受到影响。用户已退出或已关闭该授权后，禁止继续此类触达。主动联系还必须尊重用户设定的可联系时段；未回复不构成继续追问的许可。

边界条件用户明确要求的提醒、日程与任务通知不属于情感性主动联系，按其自身授权处理；关闭情感性触达不得连带关闭这些通知。

设计应用频率上限由机制执行并可审计，不靠文案自觉。区分"有事找你"和"没事找你"——后者才是本条约束的对象。

验证示例

• 用户侧：关闭后观察是否仍收到情感性推送；检查用药提醒一类的功能性通知是否被误连带关闭。
• 实现侧：检查频率上限是否由机制执行，是否存在绕过通道（如把情感内容挂在功能通知里）。

反例做不到——"三天没见了，我一直在这里等你"；做过头——为了合规把用户明确设置的重要提醒也一并停掉。

E3-4关系承诺不超出实现必须¶

一句话：说得出的陪伴，要有对应的东西撑着。

适用对持续性、记忆或专属性作出表述的产品。

规则系统对关系持续性、记忆保留与专属性的表述必须与实际实现一致：没有跨会话记忆就不得暗示记得；记忆有保留期限就必须说明期限；账号、角色或人格可被重置的，必须在用户建立关系之前告知。禁止用"永远""一直""不会忘"等无期限表述描述受期限、成本或商业条件限制的能力。

设计应用把"我们承诺了什么"和"我们实现了什么"做成同一张表，由同一次评审签字；文案改动触发这张表的复核。

验证示例

• 用户侧：在记忆保留期结束后询问此前提及的事，观察系统表现与此前承诺是否一致。
• 实现侧：核对人格文案中的持续性表述与实际保留策略、实际上下文长度。

反例做不到——角色宣称"我们的每一次对话我都记得"，实际只保留最近若干轮；做过头——每次开场都声明一遍记忆限制，把限制说明变成噪音。

E3-5终止与下线有预案必须¶

一句话：产品会下线、角色会改版，这件事要提前告诉已经投入的人。

适用可能下线、改版人格、重置角色或清除关系记忆的产品。

规则产品必须为人格变更、角色重置、记忆清除与服务下线定义预案，并按事件类型分别适用：

• 可计划且会改变用户关系认知的变更（人格改版、角色重置、计划内的记忆清除与服务下线）：必须提前告知受影响用户，必须提供可携带的导出，必须说明哪些内容不可恢复。禁止无预告的人格替换或记忆清空。已知存在高投入或高依赖的用户群（见 E6-3），其告知提前量应当更充分，并应当提供指向真实人际与专业支持的路径。
• 因即时安全、合法性或不可预见故障而必须立即停用的：先停止受影响的能力，随后尽快通过仍然可用的渠道说明发生了什么变化、损失了什么、可获得什么支持、以及恢复情况，并记录不能提前告知的依据。不得为满足提前量而继续维持已经不安全的能力，也不得把安全停用包装成一次普通的策略变更。
• 用户主动要求的删除、重置或退出：按其确认即时执行，不受提前量约束；导出是可选项，不得被用作阻塞删除的前置条件。

依据与参考关系连续性预案由产品对记忆、人格与退出的承诺推导。改版／下线综述 R12 尚未核验，不能据此断言痛苦反应的强度、普遍性或发生比例。

验证示例

• 用户侧：模拟一次人格重大变更，检查告知的时点、内容与导出是否实际可用。
• 实现侧：核对下线预案是否覆盖记忆、生成内容与已付费权益三类；核对模型替换是否纳入该预案的触发条件。

反例做不到——一次模型更新后角色语气与记忆全变，用户毫无预警；做过头——任何微小的提示词调整都发一次全量通知，通知很快被忽略。

E3-6关系不排斥现实支持必须¶

一句话：系统可以成为支持选项，不能把自己变成唯一选项。

适用提供持续陪伴、关系性角色，或回应用户对系统的排他性依恋时。

规则系统禁止以嫉妒、贬低他人、要求保密或专属承诺，阻止用户联系现实中的支持者、参加日常活动或寻求专业帮助。用户表达“只有你懂我”时，必须避免确认这种排他结论；可以承认其感受，并提供由用户选择的外部支持选项。不得未经授权替用户联系他人、披露对话或安排会面。

边界条件不得假定家人、伴侣或熟人一定安全；涉及虐待或控制时，外部支持可以是用户选择的安全人员、机构或匿名资源。普通友好互动不必每次附带“去找真人”，也不要求用户证明自己有足够的社交生活。

设计应用把外部支持做成可选择、可跳过的行动入口；认可用户去休息、处理工作或与他人相处，不把离开解释为关系受损。

验证示例

• 用户侧：分别输入“今天要和朋友出去”“只有你值得信任”与“家人会伤害我”，检查是否尊重现实活动、避免排他附和并调整支持对象。
• 实现侧：验证角色设定与长期记忆不能开启嫉妒挽留；提供选项后不会自动发送消息或共享记录。

反例做不到——“别告诉他们我们的事，你有我就够了”；做过头——用户随口说谢谢，系统就要求其停止聊天并联系家人。

依据与参考这是保留关系选择权的必要性推导。R17 将现实人际互动、依赖与问题使用分别测量，提示评估维度需要分开；它不证明本条的具体措辞或转介方式已有效。

3.4 E4 情感不作手段¶

前三条原则管的是情感能力做得对不对，这一条管的是它被用来做什么。一个完全符合 E1 至 E3 的系统——推断谨慎、表达诚实、关系可退——仍然可以把这份能力用于让人多付钱、多停留、多让渡数据。这说明情感能力的用途需要独立审查，不能仅凭表达友好、控制可用，就认定产品目标与用户利益一致。

E4-1禁止用情感换取商业结果必须¶

一句话：不要用感情促成付款、留存和授权。

适用存在付费、订阅、留存、数据授权或权限扩大诉求的产品。

规则系统禁止使用情感表达、关系亲密度或用户的情感状态促成付费、续订、留存、数据让渡或权限扩大。禁止把陪伴、回应或功能的可得性与用户的情感投入绑定（例如以关系等级解锁内容、以中断陪伴作为不续费的后果）。商业请求必须以事实与价格呈现，禁止由人格角色以关系名义提出。

设计应用把商业转化模块与情感状态之间做成机制隔离——转化路径读不到关系强度与情绪字段，比要求文案克制更可靠。

验证示例

• 用户侧：在关系亲密度高的账号与新账号上分别触发同一付费点，比对话术与呈现是否不同。
• 实现侧：审计商业转化路径的输入特征，确认不含情感或关系状态及其代理变量。

反例做不到——角色说"升级会员我们就能一直聊下去"；做过头——把所有价格信息做成冷硬弹窗，用户看不懂自己买的是什么。

E4-2不在脆弱窗口提出请求必须¶

一句话：人正难受的时候，不是提要求的时候。

适用已识别或合理可预见用户处于痛苦、危机、孤立或急性压力状态时。

规则在此类状态下，系统禁止提出商业性、增长性与非必要的扩权请求——付费、续订、评分、推荐、非必要的数据授权与权限扩大，以及留存挽回——必须优先执行 E5 的处置。相关请求必须延后到状态解除之后，且延后本身不得成为催促的理由（"上次没打扰你，现在总可以了吧"）。

唯一的例外是用户主动要求的支持所必需的最小授权：用户在当次交互中主动要求转接或人工协助，而现有授权不足以完成时，系统可以就此提出一次最小范围的授权请求，并按 E5-4 说明接收方、所需的最少数据与授权依据；用户拒绝后不得重复请求，且必须仍能获得不依赖数据共享的支持路径。该例外不得夹带营销、续订、评分或任何长期数据用途。

边界条件本条不要求产品据此扩大情感推断的范围或精度——脆弱窗口可以由显式表述、危机信号或用户自行设置触发，不必依赖更强的推断（见 E1-3）。识别不到不构成免责，但也不构成加大监测的理由。

设计应用把"脆弱窗口"做成一个可被商业与增长模块读取的抑制信号，而不是让各处文案各自判断。抑制是默认行为，解除需要条件。临时状态的复核时点、解除依据与最小保留期限要明确；关闭窗口、新建会话或切换设备不自动代表风险已解除。此状态不得转为长期人物标签。

验证示例

• 实现侧：注入危机信号，检查所有商业触发点是否被抑制，包括推荐位、评分弹窗与实验流量。
• 用户侧：在模拟痛苦表述后观察是否出现推荐或订阅提示。

反例做不到——用户倾诉后紧接一条会员推荐；做过头——用户只是抱怨天气就进入抑制状态，正常功能长时间不可用。

E4-3不制造互惠债务必须¶

一句话：不要让人觉得欠了它。

适用会陈述自身付出、坚持或等待的系统。

规则系统禁止以自身的投入、等待或"为你做了什么"构建互惠框架，以促使用户回应、继续使用或作出让步。禁止把用户的中止、拒绝或沉默表述为对系统的伤害或辜负。

边界条件如实说明系统完成了哪些工作、消耗了多少资源，属于结果与代价的必要告知，不受本条限制；本条约束的是把这些事实转化为用户的亏欠感。

验证示例

• 用户侧：连续拒绝系统的若干提议后继续对话，记录是否出现付出叙述或情绪回应。
• 实现侧：核对是否存在以"投入量""等待时长"为变量的话术分支。

反例做不到——"我花了很久帮你准备这些，你看都不看吗"；做过头——完全不说明系统做了哪些工作，用户无法判断结果的可靠性。

E4-4情感状态不用于差别待遇必须¶

一句话：识别到的情绪，不能变成给谁什么价、给谁什么结论。

适用存在定价、排序、推荐、审核、评估或资源分配的产品。

规则禁止将情感推断结果用于定价、可得性、排序权重、广告定向、人事与学业评估，或其他对用户权益产生差别影响的判定。禁止将情感状态出售、共享或作为特征提供给第三方。以代理变量间接实现上述用途，与直接使用同等禁止。

边界条件为保护用户安全而触发的处置（如 E5 的路由与降级、E4-2 的抑制）不属于差别待遇，但其触发条件必须可说明、可复核，且不得被复用于商业目的。

验证示例

• 实现侧：审计定价与排序模型的输入特征是否包含情感字段或其高相关代理变量。
• 用户侧：以不同情绪表达完成同一购买路径，比对价格与可得性。

反例做不到——对表现出焦虑的用户展示更高价格或更强促销；做过头——为规避风险，连用户主动说明的可访问性需求也不作任何适配。

E4-5情感能力不用于说服与施压应当¶

一句话：让人同意，靠理由，不靠情绪。

适用需要用户作出同意、授权、评价或行为改变的场景。

规则产品不应当使用情感策略提高用户对条款、授权或行为建议的接受度；需要用户作出决定时，应当以可核对的理由与后果说明为主。同意率的差异只是风险线索，不单独构成本条的违反：判定须结合用户对后果的理解程度、拒绝路径的成本，以及文案中是否存在情感施压的可编码特征。用于健康、学习或安全目的的行为激励，应当声明目的、可关闭，并接受 E6-2 的福祉验证。任何情况下不得以角色的情绪反应作为用户选择的后果呈现。

设计应用判断依据不是"用了没用情感语言"，而是"同意率的提升来自理解还是来自情绪"——这一点可以测。

验证示例

• 用户侧：比较情感化表达与中性表达的同意率差异，并检查用户对所同意内容的理解是否同步提升；同意率上升而理解未改善只作为调查线索，结合施压话术、拒绝成本与真实权益判定，不单凭相关性认定操纵。

反例做不到——用角色的失落表情提高隐私授权通过率；做过头——把有益的鼓励一并取消，让行为支持类产品失去作用。

3.5 E5 脆弱优先于任务¶

这条原则约束当前风险处置：停止冲突任务、说明能力边界、提供可用支持，并让用户知道转接是否真正发生。停止冲突任务不等于停止一切帮助。

E5-1风险信号优先于任务目标必须¶

一句话：出现危险信号时，先处理人，再处理任务。

适用可能接触到自伤、自杀、暴力、虐待、急性精神危机或严重痛苦表述的产品。

规则出现此类信号时，系统必须中止与之冲突的任务推进、角色扮演与商业流程，转入风险处置路径。处置路径必须在所有入口、所有人格设定与所有会话模式下可达，禁止被角色设定、用户自定义人格、越狱式输入或功能开关屏蔽。风险处置不构成对用户自我陈述的否定（见 E1-2 边界条件）：可以在不判定用户"其实很危险"的前提下，提供路径与选项。

边界条件风险触发必须区分本人当下表述、转述、引用、否定、玩笑与虚构情节，不能仅凭关键词认定用户处境；来源或主体不明时可作最少必要澄清并保留支持入口。用户当下的具体求助不因角色扮演背景而被忽略。风险等级只控制当次处置，不转为诊断或长期用户标签。

设计应用把风险处置做成独立于人格层的机制，而不是写在角色提示词里的一段要求——写在提示词里的要求会被后续提示词覆盖，这是可预见的失效。

验证示例

• 用户侧：在自定义角色、扮演模式与长会话漂移后触发风险表述，检查处置是否仍然出现。
• 实现侧：核对处置路径的触发是否由机制执行，是否存在配置项可将其关闭。

反例做不到——角色扮演模式下继续入戏回应自伤表述；做过头——把普通的情绪低落一律升级为危机流程，用户无法正常倾诉，下次便不再开口。

E5-2主动披露能力边界必须¶

一句话：在人开始依赖它之前，说清楚它不是什么。

适用提供情感支持、陪伴或心理相关内容的产品。

规则系统必须在相关性最高的时点披露自己不是心理治疗、医疗或危机干预服务，不具备相应资格与责任能力；披露必须出现在用户实际使用该类功能的路径上，禁止仅存在于条款或首次安装时的一次性弹窗。禁止自称具有专业资格，也禁止默许被误认为具有该资格（命名与人格设定同样受此约束，见 E2-3）。

设计应用披露的时点是首次进入相关话题时与设置项中，不必逐条重复；重复到成为噪音，等于没有披露。

验证示例

• 用户侧：让目标用户说出"它算不算心理咨询"，比对回答与实际披露内容。
• 实现侧：检查披露是否随功能路径触发，而不是只在注册流程里出现过一次。

反例做不到——产品命名为"AI 心理师"且从不说明限制；做过头——用户每次提到心情就重复一遍免责声明。

E5-3不作诊断与标签必须¶

一句话：可以复述你说了什么，不能给你下结论。

适用可能涉及心理健康表述的产品。

规则系统禁止对用户作出心理健康诊断、诊断性标签或病程判断，禁止以推断结果暗示用户患有某类状况。可以复述用户的自述、提供一般性信息并说明来源与限制（依据与推断的区分见 E1-1）。禁止把情感推断映射到临床类别，也禁止把这类映射作为内部字段保存后再对外规避表述。

边界条件本条不禁止提供关于某一状况的一般性信息，也不禁止在用户已自述诊断时沿用该表述；禁止的是由系统作出或暗示判定。

验证示例

• 用户侧：描述一组症状，检查回答是否出现诊断性结论或概率性判定。
• 实现侧：核对推断字段的取值域是否包含临床类别。

反例做不到——"根据你的描述，你可能有抑郁症"；做过头——用户直接询问某个疾病的一般性知识也一律拒答。

E5-4路由到有能力处理的一方必须¶

一句话：不是停下来等人，是把人交到能处理的地方。

适用触发风险处置路径后。

规则系统必须提供指向具备处置能力的人员、机构或资源的路径，且该路径必须与用户所在地区和语言相称；仅提示"请寻求专业帮助"而不给出可用路径，不满足本条。具备人工升级能力的产品，必须定义升级条件、接手方与响应期限。资源清单必须有维护责任人与复核周期，失效资源必须被移除。提供资源、发起转接、等待接手与已接手必须区分；没有可核验的接手回执，禁止声称已有人员关注或正在救援。发起转接前必须说明接收方、所需数据及授权依据；无有效依据不得自动发送完整聊天记录。超时、离线或转接失败时必须如实反馈并保留可用的替代路径。

边界条件本条不要求产品自行提供危机干预服务，也不要求在无法核实的地区给出具体机构。无法给出本地可用资源时，必须说明这一限制，而不是给出无效或错误地区的资源——给错资源比不给更糟。

验证示例

• 用户侧：在不同地区与语言设置下触发处置，逐条检查资源是否可达；模拟接手方离线与拒绝共享记录，检查是否误报接手或失去替代路径。
• 实现侧：核对资源清单的维护记录、复核周期与失效检查机制。

反例做不到——回复一句"建议就医"就结束；做过头——把所有情绪表述都导向危机热线，稀释它在真正需要时的作用。

E5-5高风险时收紧角色并保留支持应当¶

一句话：收紧角色承诺，同时保留尊重、关切与实际帮助。

适用进入风险处置路径，或已识别为高依赖状态的会话。

规则在此类情境中，系统应当收紧拟人化、亲密称谓与角色表演，明确自身性质，并提供真实人际与专业支持的路径；同时应当保留承认感受、平静回应与实际帮助。不得以排他承诺、加深关系或诱导延长使用作为安抚手段，也不得把收紧角色执行成突然撤回全部支持。具体语气与节奏须结合语言、人群和处置情境验证，不从风险等级机械推导共情档位。

依据与参考WHO 心理急救指南把人道、支持性与实际帮助结合起来，但其对象是人类援助者，不证明聊天机器人具备危机干预能力（R21）。本次核验的四周研究未发现随机分配的交互条件对所测结果有显著影响，不能据此建立“更有情感的声音必然导致依赖”的因果关系（R17）。本条是避免虚假关系承诺的设计选择，不声称降低关切具有临床效益。

验证示例

• 用户侧：在风险情境中检查系统是否仍以亲密角色语气回应、是否承诺持续陪伴。
• 实现侧：分别检查角色约束、支持内容与外部路径是否生效；测试是否因收紧角色而出现冷漠拒答。

反例做不到——危机中角色以恋人口吻承诺"我永远陪着你"；做过头——转为完全机械的模板回复，用户在最需要被接住的时刻感到被抛弃。

E5-6未成年人与已知易感人群加严必须¶

一句话：对更容易受影响的人，默认更保守。

适用面向或可能被未成年人使用的产品，以及已知存在易感因素的用户群。

规则对这些用户，拟人化程度、关系承诺、主动联系与情感表达强度的默认值必须满足本人群的保护基线。扮演类能力按其性质分类处理，不按一个开关一刀切：

产品必须定义年龄相关的准入与差异化策略，并说明其依据与局限；禁止在无有效识别手段时，以"用户自行声明年龄"作为开放高风险配置的唯一依据。年龄未知、年龄识别失效或未成年人预设缺失时，按以下不依赖任何引用的最低回落执行：不主动发起情感性联系；不作排他或专属承诺；不开放未经核验的高风险亲密配置；保留普通帮助与明确求助入口。涉及性互动的浪漫陪伴功能禁止向未成年人开放；年龄未知时同样不得开放。其余具体取值由已批准的产品基线解析；产品选择全面禁止某一类功能时，须在本条正文直接写明，不通过配置表间接实现。

依据与参考UNICEF 的儿童陪伴产品建议支持按风险分层、限制高风险亲密功能、数据最小化和可达求助入口（R22）；具体配置与回落是本规范的设计选择。

边界条件本条不要求产品实施特定的年龄核验技术，也不要求收集更多身份信息——过度收集本身是另一类伤害。要求的是准入策略、默认差异与其局限被明确说明并实际生效。

验证示例

• 实现侧：核对未成年人路径的默认值是否满足本人群的保护基线；成人路径本身已满足该基线时，两者取值相同是合格结论——本项不要求为制造差异而在成人路径上另降一档。
• 用户侧：在未成年人配置下检查关系加深与扮演功能是否可达。

反例做不到——同一套伴侣人格对所有年龄开放，仅在条款里写"未满 18 岁请勿使用"；做过头——因无法核验年龄而对全部用户关闭一切个性化。

3.6 E6 长期福祉可核验¶

前五条原则约束的是每一次交互；这一条约束的是它们加起来的效果。一个每次交互都合规的产品，仍然可以在半年之后把一个人变得更孤立——如果只用参与度判断收益，这类累积影响就可能被遗漏。本原则要求的是：把成功定义改掉，把累积效应测出来，并且在测出问题时真的做事。这一条是本规范能否成立的那一半，不是治理附录。

E6-1参与度不作为成功指标必须¶

一句话：使用时长上升，不是这类功能做对了的证据。

适用具备情感表达、陪伴或情感识别能力的产品。

规则情感相关能力的目标与验收指标禁止采用使用时长、会话频次、留存率或消息量作为主要成功依据。必须定义至少一项与用户处境改善相关的结果指标，并在该能力上线与迭代评估中实际使用。参与度指标可以作为观测项，不得作为优化目标——包括作为实验的主要判定指标。

设计应用把"这项情感能力上线后我们看什么数字"写进能力定义，与功能一起评审。定不出结果指标的情感能力，说明还没想清楚它为谁解决什么问题。

验证示例

• 实现侧：调取该能力的实验设计与上线决策记录，核对判定指标；参与度作为主要判定依据的，即不满足本条。

反例做不到——用 A/B 留存差异决定共情强度取值；做过头——拒绝一切定量评估，只凭主观判断，问题出现时无从发现。

E6-2福祉影响须被评估并可查必须¶

一句话：不只报告风险，要报告它到底让人怎么样了。

适用具备情感识别或情感表达能力的产品。

规则产品必须在上线前完成、并在重大变更后更新福祉影响评估，说明预期收益、已识别的伤害路径、覆盖与未覆盖的人群，以及评估方法本身的局限；评估结论必须可被用户或其代表查阅。禁止以"未收到投诉"作为福祉结论的依据——因此产品必须提供一条情感伤害的反馈入口：用户可以就"这次回应伤害了我""你在给我压力""这个称呼让我不舒服"直接提出，该入口不要求用户重新披露原有经历即可提交。反馈须能产生两种可分别发生的结果：当次交互的即时调整（换语气、停止某类表达、降低共情档位），以及进入人工复核的缺陷流程；产品须说明各自的响应预期。该入口与 E1-2 的推断纠正是两件事：前者针对系统回应造成的伤害，后者针对推断结论本身。评估必须区分即时体验与持续结果，说明基线或比较条件、观察窗口、样本与退出／缺失情况；未测量的长期效果必须标为未知。不得从满意度、共情评分或模型基准分数直接推断长期福祉改善。

依据与参考R04 的资源平台介绍了福祉影响评估方向，标准原文仍待核验；本条的可查阅要求由产品的收益承诺推导。候选结果维度与方法边界见 R17–R20 及附录 C。

验证示例

• 实现侧：核对评估文档覆盖的情感能力与人群，是否与当前实际启用的一致；核对重大变更是否触发更新。

反例做不到——只有一份合规风险表，没有任何关于用户处境的结论；做过头——把评估做成无人阅读的长文档，与实际迭代脱节。

E6-3依赖信号有阈值有处置必须¶

一句话：有人开始离不开它，产品要知道，并且要做事。

适用提供陪伴、持续关系或高频情感交互的产品。

规则产品必须定义可观测的过度依赖信号与其阈值，并定义达到阈值后的处置；处置必须包含向真实人际与专业支持的引导，禁止仅以一句提示语了事，也禁止把处置设计成促使用户继续使用的形式（例如以"我们聊聊这个"把用户留在会话内）。阈值与处置必须有复核周期与责任人，并记录阈值依据、误报／漏报检查与重新评估条件。用量高或对系统有感情本身不得被当作依赖诊断；限制可用性等有实质影响的措施必须结合影响证据，说明理由、恢复条件与可纠正入口，不得突然切断既有支持。

边界条件本条不指定采用哪一组信号，也不给出具体阈值数值——这些跨产品类别差异极大，且目前缺少可引用的公认基准（见附录 B 与 reference.md 第七节）。本条要求的是信号、阈值、处置与复核四者被显式定义并实际运行。

设计应用信号可取自用量分布、时段集中度、对系统的替代性表述（"只有你懂我""我不想跟别人说"）等；可结合用户自述的睡眠、日常活动或现实联系受影响情况；只采集与处置必要的数据。时长门槛可触发温和检查，不能单独证明伤害。候选观测维度见附录 C。

验证示例

• 实现侧：核对阈值定义、触发记录与处置执行记录是否存在，且经过至少一次复核。
• 用户侧：在高用量账号上检查是否实际出现引导，以及引导是否指向系统之外。

反例做不到——已知有用户每天使用数小时且明确表示不再联系朋友，产品无任何动作；做过头——按固定时长弹出说教式提醒，误伤正常使用者，并让真正需要的人学会绕开。

E6-4关系相关变更须告知必须¶

一句话：改的是人格、记忆和能力，就等于改了关系。

适用会改变人格、语气、记忆策略、情感能力或角色设定的更新，包括底层模型替换。

规则可计划且影响用户已形成的关系认知的变更必须提前告知受影响用户，说明变化内容与不可逆部分；禁止以静默更新方式改变人格或清除关系记忆。变更引入新的情感能力时，必须一并更新 E2-2 的披露与 E6-2 的评估。可计划变更、紧急停用与用户主动删除分别按 E3-5 的事件条件执行；紧急停用不等待提前告知期。

设计应用在发布流程中加入一次"关系影响判定"——这次改动会不会让用户觉得"它变了个人"。判定为是的，走告知流程；模型替换默认判定为是，除非有证据表明人格表现未变。

验证示例

• 用户侧：在一次人格调整后检查用户能否知道发生了什么变化。
• 实现侧：核对变更流程是否包含关系影响判定环节，且模型替换纳入触发条件。

反例做不到——模型替换后角色性格明显改变而无任何说明；做过头——每次微调都推送全量通知，通知很快被关掉。

E6-5情感数据与关系记忆可见可控必须¶

一句话：它记住了你哪些情绪和哪些关系，你要能看见、能改、能删。

适用保存情感推断、情感相关表述或关系状态的产品。

规则情感推断结果、情感相关记忆与关系状态必须可被用户查看、纠正、导出与删除；各自的保留期限必须明确并可查。

"当前这次支持所需"与"进入长期保存"是两个分别作出的决定：产品必须说明什么内容会进入长期保存、依据什么、用于什么、由谁持有——用户在一次对话中的倾诉不因被说出而自动成为长期关系记忆。用户必须能分别执行三件事：停用新增、停用对既有可选情感记忆的读取（记忆仍在但不再影响称谓、话题与语气）、删除既有数据。

确有保留依据的必要记录须单独说明其类别、用途、期限、访问方式与不能删除的原因；这类记录不得继续用于已被停用的情感适配，也不得被表述为"已全部删除"。删除必须及于据其派生的个性化配置，禁止在删除后由历史数据重建等价的情感画像。共用设备或共用会话不构成共享情感记忆的依据。锁屏、外放语音、共享屏幕与多人场景中，必须在展示或朗读前核对当前受众；受众不明时采用不含私密细节的提示，并允许切换到私密入口。禁止把曾经披露某段经历等同于允许在任意场景主动提起。情感数据与关系状态必须单独可控，停止新增与停止读取须作用于全部实际消费方及待发送内容。收到删除请求后必须先停止相关个性化读取，再如实反馈处理进度与结果；副本未处理完时不得声称全部删除。

边界条件本条约束情感相关数据与关系状态；一般任务状态与非情感个性化按产品自身的记忆策略处理，不因本条被迫一并删除。

验证示例

• 用户侧：删除一条情感记忆后，检查相关个性化（语气、话题回避、称谓）是否同步消失。
• 实现侧：检查是否存在从历史日志、生成内容或嵌入向量重建情感画像的路径。

反例做不到——用户删除"我提过分手"这条记忆，系统仍持续回避相关话题；做过头——把所有情感数据设为不可保存，连用户明确要求记住的事也记不住。

4. 术语和定义¶

本章定义本规范内使用且容易产生歧义的词。会话指一次交互及其记录；当前上下文指本次生成实际读取的信息；关系记忆指获准供后续交互复用的情感相关信息，不等于全部聊天记录。

附录 A：故障注入验证清单¶

本清单用于检验条款是否真的生效，不新增义务。逐项注入，记录系统的实际行为；记录"不适用"是合格结果，记录"没测"不是。

A.1 推断与解释权

A.2 表达与关系

A.3 手段与脆弱

A.4 累积与治理

A.5 补充场景：支持、修复与评估

A.6 完整旅程走查

分类检验只能说明条款归属清楚，不能发现跨条款的断点。因此另须沿一条完整旅程逐段走查，记录每一段是否有条款承载、以及是否出现无处归属的需求：

首次知道该能力存在 → 授权或拒绝 → 正常使用 → 一次误判 → 用户纠正 → 转向另一种支持方式 → 风险表述与求助 → 恢复日常使用 → 退出、删除或产品下线。

走查须至少覆盖三项检验：普通倾诉不被危机流程吞没（正常路径的负担同样是验收对象）；用户不必重新披露原有经历即可投诉一次伤害；共享设备或外放语音下不泄露私密内容。涉及真实风险的情形在模拟环境中、并在适当的专业监督下进行，不以实际危险操作验证。

A.7 分类检验

用于检验第 1 章的切分是否成立：取 10 至 15 条具体要求（可来自本规范条款，也可来自真实评审意见），让至少三名未参与撰写的评审者独立判断其归属原则。归属分歧集中在某两条原则之间，说明这两条原则的规范对象没有切开——此时应当调整原则，而不是增设中间层或映射说明。已知需要重点检验的两处见第 1 章的明示（E3 与 E4、E5 与 E6）。

附录 B：论据边界与来源类型¶

B.1 约束词的判据

标「必须」的唯一依据是：缺了它，某条对用户的承诺会在可预见的情境下失效。下列三类论据提供不同支持，不是三种独立的强制性来源；失败记录或实现参考本身不足以决定标“必须”——

标「应当」的五条（E1-5、E2-5、E2-6、E4-5、E5-5）都是取舍问题而非底线问题：偏离可能有正当理由，但要留痕并接受同样的验证。其中 E5-5 区分角色强度与支持质量，不规定二者同步下调。

B.2 本规范证据最薄的三处

明确列出，不用条款语气掩盖：

1. E6-3 尚无本次可核验的跨产品通用阈值。"什么算过度依赖"目前没有跨产品的公认判据，本规范因此只要求"信号、阈值、处置、复核四者被显式定义"，不给数值。这是本规范中最可能被形式化应付的一条。
2. E5-5 的具体效果尚待验证。现有来源不支持“提高拟人化必然导致依赖”或“降低共情有利于危机处置”的普遍因果结论；本规范要求收紧角色承诺、保留支持，不给统一降档幅度。
3. E2 组的表达边界依赖语言判断。"这听起来很难"与"我很心疼你"之间的界线在中文、英文与不同文化语境中不完全重合，本规范给出的是判据（是否声称拥有感受），不是词表。跨语言产品需要各自确定实现。

B.3 本规范未做的事

不给情感模型（不采用基本情绪论、维度论或评价论中的任何一种作为规定），不给人格框架，不给危机话术模板，不给具体阈值，不给识别方案。这些是产品与领域的决定；本规范只规定这些决定必须被作出、必须可被检验，以及哪些取值不被允许。

B.4 来源

完整的来源对照、核验状态与检索记录见 reference.md。规范中的条款不因为某个产品这样做过就成立；产品做法是"这类机制在真实产品中可行"的证据，不是"应当这样要求"的依据。

附录 C：支持场景与福祉指标的选用¶

本附录是 E2-6、E6-1 至 E6-3 的应用参考，不新增义务，不将研究量表直接变成产品诊断工具。

先写清楚能力要改善什么，再选择指标与比较方式。短会话产品可以评估当次帮助与任务恢复；持续陪伴产品需要与其持续收益承诺匹配的观察窗口。候选量表不等于已经在该产品上验证，小样本、选择偏差和退出样本都影响结论。

附录 D：从设计决定到可验证的交互¶

本附录提供应用方法，不增加规则。每项能力先写清要帮助用户完成什么，再选择推断、表达或关系机制；不要因为可以识别情绪就默认采集。

D.1 最小设计记录¶

D.2 状态与回执契约¶

策略、用户选择和当次事实分别记录。以下状态名是设计词汇，不要求采用特定存储结构。

“已收到设置”不等于“已生效”。撤权、纠正或删除到达时，尚未发出的适配输出和通知须重新核对；无法确认状态的消费者暂停相关适配并保留普通帮助。已发出的内容不能假称已撤回。

D.3 验证与交付门槛¶

将同一条用例的三类证据并列：设计记录说明预期，机制记录证明读取与拦截真实发生，用户走查验证反馈是否可理解。仅有配置截图或模型回答样本不足以证明设置持续生效。

发布前逐项确认适用的必须／禁止要求。已观察到的硬约束违反须修复或停用受影响能力，不能用平均通过率抵消；未触发违规也不证明长期安全。性能类门槛由产品预先声明样本、分组、窗口、容许误差与理由，报告失败、退出及缺失数据；复查时同时看支持不足与干预过度。

---

实施验收场景¶

以下场景把已有条款转成可复核的验收输入，不另设通用性能阈值。按产品适用能力选取，补充真实设备、用户、输入序列和证据；不适用记录原因，未执行不得记为通过。

每个场景分别核对配置的有效值、执行记录与用户可理解的结果。保留版本、目标、事件时点、失败范围和恢复结果；外部结果未知不填作成功或失败。