可穿戴设备交互设计规范
让佩戴者知道设备是否可用、正在做什么、数据是否可信，并能在取下、充电、断连或更换设备后继续控制自己的任务与数据。
6 条原则 · 14 条规则 · 必须 0 · 应当 0
目录
让佩戴者知道设备是否可用、正在做什么、数据是否可信，并能在取下、充电、断连或更换设备后继续控制自己的任务与数据。
配套：Design Token · 参考来源。
1. 范围与读法
适用于有屏手表、腕带、智能戒指及无屏身体传感设备的交互，包括完成任务所必需的伴随应用。覆盖初次设置、日常佩戴、本端操作、感知反馈、取下充电、连接恢复和设备移除。耳戴、头戴设备可采用适用条款，但本文不宣告覆盖其全部体验，也不规定材料、结构或医疗认证要求。
产品须按实际能力声明适用画像，而不是仅按“手表／戒指”名称推定功能：
| 画像 | 必须明确 | 不作默认假设 |
|---|---|---|
| 有屏腕上设备 | 表盘／卡片／完整应用各入口、显示生命周期、触控与实体输入、字号与焦点 | 有屏不等于支持常亮、旋钮、独立网络或有效佩戴检测 |
| 无屏腕带／戒指 | 可用反馈、控制端、离线能力、状态查询、故障和退出路径 | 不强制配视觉 Token；伴随端不可达时不承诺即时查看或远程停止 |
| 伴随应用 | 所属设备与主体、数据时点、控制是否已送达、未完成操作的继续入口 | “已添加设备”不等于当前已连接或数据已同步 |
必须／须表示验收义务；不得／禁止是同等强度的禁止；应当／应默认遵循，偏离需记录理由和等效验证；可以为可选。以独立义务子句判断，适用与边界限定范围；示例与参数候选值不新增义务。
规则、合同与状态模型是项目设计。平台资料只支持注明的具体部分。每条规则分别验证用户能否理解并使用，以及实现是否提供了真实状态与控制。
2. 原则与规则
| 原则 | 对象与方向 | 规则 |
|---|---|---|
| WD1 佩戴可理解可调整 | 身体接触、佩戴选择与身份资格 | WD1-1、WD1-2 |
| WD2 能力与入口匹配 | 设备任务与入口信息 | WD2-1、WD2-2 |
| WD3 输入输出可控制 | 激活、操作路径及内容暴露 | WD3-1、WD3-2、WD3-3 |
| WD4 感知结果可判断 | 采集用途、测量质量和时效 | WD4-1、WD4-2 |
| WD5 生命周期可预测 | 显示、能耗与持续任务 | WD5-1、WD5-2 |
| WD6 连接与数据归属可恢复 | 设备关联、已形成进度和移除后果 | WD6-1、WD6-2、WD6-3 |
3. 完整规则
WD1-1佩戴位置与接触问题有可用的调整路径
适用任务依赖特定佩戴位置、朝向、身体接触或持续佩戴。
要求必须说明任务所需的佩戴条件，并提供实际可用的检查与调整路径。支持多个位置或朝向时，应当保留用户选择，并验证控制与呈现在这些条件下可用。接触不足影响任务时必须表达受影响部分，不得用要求更紧、更久佩戴替代合理调整或取下路径；不得把无法观测的舒适性或接触状态填成正常。
边界不要求设备具备不存在的接触传感器；无法自动检测时提供人工检查说明。不能仅从没有数据诊断具体佩戴问题。
设计应用检测到接触不稳定时提示检查位置；不知道原因时说明“暂无有效样本”，提供检查佩戴与稍后重试。
验证用户侧——左右腕、实际可用手、不同贴合条件下能理解并调整；实现侧——核对接触事实、设置生效、控制方向及未知分支。
两侧反例做不到——戴着却没有数据，也没有说明；做过头——每次查看都要求重新校准或持续勒紧设备。
依据WD-S1；调整路径为项目推导。
WD1-2在身、身份与权限分别判断
适用以佩戴、锁定或主体信息决定内容可见性和动作资格。
要求必须区分在身、离身与读数的有效性；佩戴不构成本人身份或授权证明。事实必须绑定设备；影响访问资格时还须绑定当前主体。离身、锁定、主体变更、过期或暂时失读须重新裁决受影响内容与未执行动作，未知不得扩大权限。乱序旧观测不得覆盖已确认的较新事实。
边界无佩戴检测时使用明确的身份与预览规则，不等待不存在的读数。公开内容不因此被迫反复认证。
设计应用重新戴上不自动恢复敏感详情；另一只设备的在身读数不解除本设备限制。
验证用户侧——理解受限原因及重新访问路径；实现侧——注入旧读数、无传感器、换账号、换人佩戴及乱序事件，核对未扩权。
两侧反例做不到——贴近皮肤即解锁账户；做过头——查看公开天气也反复登录。
依据WD-S2仅证明传感类型存在；身份裁决为项目推导。
WD2-1每个任务有明确的执行端与能力退路
适用所有核心任务，尤其是依赖手机、网络或本地存储的任务。
要求必须声明任务在哪个端执行、需要什么能力、缺失后可做什么。应当聚焦适合本端的任务；长输入或复杂判断须保存可保存进度，提供准确定位到同一对象的继续路径。交接须说明目标与接收结果，接收未确认前保留可恢复状态；目标不可达时仍须能退出或稍后继续。
边界无屏任务可以经伴随端查询和控制，但其缺席时的限制必须明确。不得把“请打开手机”当作交接成功，也不要求每个简单动作都去手机完成。
设计应用戒指能离线保存样本，手机负责查看；腕上暂停在本端可可靠完成时直接完成。
验证用户侧——知道哪些功能不依赖手机，去哪继续；实现侧——分别关闭蓝牙、网络、必要权限与接收端，核对成果和退出路径。
两侧反例做不到——离开手机后整个已保存记录不可解释；做过头——把手机全部编辑功能搬到手腕。
WD2-2各入口提供足够且真实的信息
适用表盘、卡片、通知、完整应用、指示灯／声音及伴随应用。
要求每个入口必须明确能显示的字段、允许动作、输入路径、详情目标、时效与隐私处理。有屏入口优先表达对象、关键状态、必要单位和下一步；不得截断关键否定或后果，不得用缩字抵消用户的字号设置。无屏反馈必须有明确含义；瞬时提示不能成为需要事后查询的结果的唯一证据。必要信息不得仅靠颜色、震动或动画表达。
边界只读入口可以没有主要动作；取消、退出、必要详情不受主要动作预算限制。不规定统一一瞥秒数。
设计应用一条状态指示说明设备需要处理，伴随应用可查具体原因；表盘打开对应活动，不回首页重找。
验证用户侧——在真实设备、文字放大及反馈受限时复述对象与状态；实现侧——核对入口跳转、内容语义、更新时间与实际业务事实。
两侧反例做不到——只有一次无法回看的闪灯就宣告同步完成；做过头——首屏塞满指标，必须持续举腕。
WD3-1唤醒与激活符合用户的当前意图
适用触控、实体键、设备手势、衣袖干扰、湿手和触控锁。
要求必须按平台说明唤醒时的输入是否也会激活控件，避免唤醒意图顺带执行未经确认的旧动作。一般单指操作须有避免误触、取消或适合任务的撤销机制；不可逆操作不得触下即执行，执行前必须有与后果相称的保护。设备动作触发须可关闭并有替代路径；触控锁须有实际可用的解锁／结束方式。
边界不规定所有平台第一次点按只亮屏。本质必要的触下响应须记录功能、原因和缓解，例外不适用于不可逆提交。已发出的业务操作如何核对见 WD6-2。
设计应用锁定触控后用平台支持的实体输入解除；袖口碰触不会删除记录。
验证用户侧——区分唤醒、确认、取消和锁定；实现侧——测触下移开、唤醒边界、衣袖擦碰和锁定下的退出。
两侧反例做不到——抬腕误触即提交；做过头——所有可逆动作都加长按与两次确认。
依据WD-S7支持取消与动作替代；平台激活策略需逐设备验证。
WD3-2声明支持的输入能完成对应任务
适用有屏及无屏设备的触控、表冠、按键、手势和辅助技术路径。
要求主要动作、退出、停止与恢复入口必须在声明的佩戴和输入条件下可达。实际热区须满足适用平台要求，不与邻接目标争抢；圆屏裁切与系统区域不得挡住控制。平台接入须记录产品形态、分发要求、来源版本与实际单位：面向 Google Play Wear OS 应用质量要求分发时，WO-V2 的 48 × 48 dp 目标要求按该范围验收，不得用一般设计指导中的其他情形替代；watchOS、无屏设备与伴随端分别声明各自依据。非必要精细拖动、多指操作须有替代方式。焦点须对应实际对象，返回后恢复到有意义的位置；触点按下期间不得移动目标。
边界不要求不存在的硬件；戴在一只手上不证明另一只手可用。系统保留键不可被产品随意占用。
设计应用旋钮与读屏能到达列表首尾、暂停和返回；无屏设备明确本端能执行哪些控制。
验证用户侧——按实际辅助技术完成任务并退出；实现侧——检查命中框、焦点顺序、名称／角色／状态和独立激活路径。
两侧反例做不到——停止可见但辅助技术无法激活；做过头——为每种输入堆一套重复按钮。
WD3-3敏感展示与主动查看分别控制
适用抬腕、锁定、离身、常亮、通知、快照、读屏和音频输出。
要求敏感内容必须有预览级别与合法主动展开路径；文本、图像、辅助语义、应用可控快照和自动音频须执行同一资格裁决。失去资格后及时收敛，不等布局变化；耳机断开不得自动把敏感内容转外放。获授权用户仍须能通过辅助技术主动查看。平台不可控的输出限制必须如实说明。
边界佩戴不证明周围无人；读屏主动访问不等于未经请求的外放。不能承诺绝对防旁观或防截图。
设计应用公开摘要可读；主动解锁后详情可视也可听，离身后重新收敛。
验证用户侧——可合法展开与退出；实现侧——检查离身、主体变化、锁屏、快照及音频路由变化。
两侧反例做不到——屏幕遮住余额但自动念出；做过头——授权后的读屏用户也无法查看。
依据WD-S3、WD-S8支持隐私方向；输出裁决为项目推导。
WD4-1采集有用途、边界和停止条件
适用采集身体、位置、活动或其他传感数据。
要求必须明确用途、触发时机、权限、保存位置、期限与停止方式。请求应当出现在相关任务需要时；拒绝与撤权后停止本端可控制的相应后续采集，不阻断无关功能。取下、关闭无线、停止采集、解绑和删除数据必须分别说明后果。临时观测不得未经选择固化为长期偏好。
边界停止采集不自动删除历史数据；不能把关闭蓝牙说明成已停止设备本地采集。离线设备的停采请求未送达时须显示未生效；独立采集须有预先明确的本地授权边界及可执行停止条件，不得无限等待重连。仅展示设备状态不构成新增采集授权。
设计应用停止记录说明本地记录保留；无线断开时用户知道已授权记录是否继续。
验证用户侧——理解允许的采集与停止范围；实现侧——核对撤权后的监听、保存、上传和实际停采，而非仅检查开关。
两侧反例做不到——用户停用记录后仍采集上传；做过头——公开状态查询也索取全部传感权限。
WD4-2有效性、质量和估计性质不混淆
适用显示或使用测量、统计、估计及持续感知结果。
要求必须分别判断读数是否当前有效、质量是否满足用途、结果是测量还是估计。数据须绑定来源设备、对象、样本范围、单位与观测时间。缺测不得填零、正常或无异常；质量不足不得静默当作可靠输入。历史值须保留历史含义，估计或插补须有标识，不得伪装为实际测量。质量条件失效时说明受影响结论与可用下一步。
边界设备在身不推出接触良好，更不推出有效测量；无法判因时表达未知。不要求用户读原始传感日志，也不规定通用生理阈值。
设计应用图表显示缺失区间与最后有效样本，提供检查佩戴／等待采样路径。
验证用户侧——区分无数据与正常结果；实现侧——注入接触差、旧样本、质量受扰、混合估计和错误设备数据，核对图表及依赖结论。
两侧反例做不到——空白时段画成连续正常曲线；做过头——每次测量都要求用户审核底层采样。
依据WD-S1；质量模型为项目推导。
WD5-1显示生命周期不改变业务事实
适用有屏设备进入常亮、不可见或恢复前台。
要求显示状态必须与采集、保存和同步分开。常亮按字段选择保持、历史展示、占位或隐藏；更新受限且会被误读为实时的动态字段须占位或移除。敏感字段仍受隐私裁决。恢复后先核对状态再开放依赖新值的动作，公开静态信息与退出可先显示。
边界系统刷新和回表盘时机不能被产品写成实时保证；有效“记录中”也须有持续证据。无屏设备不适用本条，但仍须正确表达业务状态。
设计应用保留可靠的任务状态，瞬时配速改为占位；回前台后显示真实更新与中断。
验证用户侧——不把冻结值读为实时；实现侧——回放常亮、后台、恢复及混合隐私字段，核对事实未随主题改变。
两侧反例做不到——冻结数字仍标实时；做过头——变暗就重新开始记录或清空全部内容。
依据WD-S8。
WD5-2取下、充电和资源受限有明确后果
适用持续记录或受低电、存储、系统后台限制影响的任务。
要求必须分别定义采集、持久保存、同步的能力与状态，并明确取下、充电、关闭无线、低电、存储不足、再次佩戴时各自的行为。承诺改变时须说明受影响部分和缺口，保留可保留成果，提供停止或继续入口。停止反馈必须对应实际生效范围；无远端控制能力时不得承诺立即停采。
应当按用途控制采样、批处理和上传，避免无用传感监听与常亮。节能不得静默降低任务依赖的数据质量，没有可靠依据不得承诺剩余记录时长。
边界正在上传不证明采集完整；充电不意味着支持边充边戴。提醒不能迫使用户放弃必要的取下与休息。
设计应用“设备已保存，待连接后同步”；中断区间保留可识别缺口。
验证用户侧——能区分采集、保存与同步；实现侧——测试取下充电、资源不足、失联和进程终止，检查采样范围、持久化、停止回执及设备能耗。
两侧反例做不到——后台停止但界面一直显示记录中；做过头——为保一条状态提示持续点亮屏幕与全部传感器。
WD6-1关联、连接和同步分别可核对
适用配对、账号绑定、断连、重连及多设备使用。
要求必须区分发现、用户选择、设备关联、账号资格、当前链路与数据同步；发现同名设备不能直接替用户选定。每个控制与回执须绑定设备、主体与任务对象。连接恢复后须核对当前资格及未决状态，不能仅因已关联就宣告任务可用或已同步。
边界无连接时可以保留最后已知状态，但须表达其时点。不要求每次短时失联都重新配对。
设计应用显示“设备已添加，暂未连接；上次同步……”并给真实重连路径。
验证用户侧——能分清尚未发现、未连接与未同步；实现侧——测同名设备、账号切换、链路断开和迟到回执，确认不串设备。
两侧反例做不到——关联成功即显示所有数据已同步；做过头——每次断线都让用户解绑重装。
依据WD-S9；对象与回执绑定为项目推导。
WD6-2恢复保存进度，提交后果不重复
适用任务承诺跨息屏、进程终止、断连、换控制端继续，或操作产生实际后果。
要求必须定义保存范围、时点、地点、期限和恢复入口。恢复须核对主体、设备、对象、权限与有效意图；未确认草稿不得自动执行。区分已授权待发、已发／已受理、成功、失败与未知。相同业务意图重投使用同一操作标识，防重覆盖并发和已执行未记结果窗口；独立连续操作不得被吞掉。
未知结果先核对；仅在可证明幂等且有有限重试条件时自动重试。无法核实也须保留查询或稍后处理出路。取消待发后重连不得补发，已发生后果的撤销必须按真实能力另行处理。
边界保存失败与期限到期须说明，不承诺所有临时状态永久保留。受理回执不代表任务完成。
设计应用手机发出停止记录请求后丢回执，重连先查同一任务，不盲目开关一次来“纠正”。
验证用户侧——理解恢复位置与可取消范围；实现侧——测并发重投、远端完成后杀进程、迟到回执、离线取消和独立两次操作。
两侧反例做不到——恢复时重放已发生操作；做过头——每次息屏都丢弃草稿要求重新开始。
依据项目推导；连接限制背景见 WD-S3。
WD6-3移除设备交代控制权与数据去向
适用退出账号、解绑、换设备、交还、恢复出厂或删除记录。
要求必须在操作前说明受影响的设备、主体、本地未同步数据与云端记录，并区分撤销关联、停止采集、清除设备和删除云端内容。不可逆损失须有事前保护；完成反馈须基于各项实际证据。设备离线、无法清除或结果未知时必须表达未核实，提供真实后续路径，不能声称所有数据已删除。
边界保留数据也须遵从用户选择；不得为了同步强制恢复用户已撤销的采集。换设备不自动授予新设备全部权限。
设计应用“已解除账号关联；设备尚未连接，设备内清除未确认”，附可执行处理方式。
验证用户侧——知道哪些结果已发生、哪些未完成；实现侧——验证离线解绑、未同步数据、主体变化和局部清除回执。
两侧反例做不到——仅删手机列表就宣称设备与云端清空；做过头——解绑时无选择地清除全部历史记录。
依据WD-S9支持关联清理边界；数据处置为项目推导。
4. 状态与事件
| 事件 | 必须核对的独立事实 | 用户可理解的结果 |
|---|---|---|
| 初次添加 | 用户选定设备、关联结果、账号资格、链路 | 已添加／待连接，不能混成已同步 |
| 佩戴或调整位置 | 在身、接触、样本质量、主体资格 | 可开始／需调整／暂无有效样本 |
| 唤醒与进入详情 | 平台激活语义、对象、权限、时效 | 当前摘要或待更新；不执行旧意图 |
| 进入常亮 | 每字段有效性与隐私、真实业务状态 | 静态状态、占位或隐藏 |
| 取下／充电／低电 | 采集、保存、同步分别能否继续 | 已保存范围、缺失区间与继续入口 |
| 断连后恢复 | 来源顺序、主体、设备、未决操作与回执 | 继续原任务或核实结果，不重放 |
| 解绑或清除 | 控制资格、本地数据、云端数据各自结果 | 已完成项与未完成项分别表达 |
5. 验收与交付
任务设计记录必须给出：用户成果、适用设备与入口、正常路径、必要事实与能力、替代／恢复、采用配置及理由、用户观察和机制证据。验证前明确通过条件与未覆盖范围，按规则记录通过、失败或不适用理由。
| 必测组合（按声明能力适用） | 用户侧证据 | 实现侧证据 |
|---|---|---|
| 无屏 × 无手机 × 关无线 | 知道查看／停止何时可用 | 采集、保存、控制送达分别正确 |
| 在身 × 接触差 × 新鲜样本 | 不误认为有效正常测量 | 质量与时效独立裁决 |
| 左右腕 × 放大文字 × 旋钮／读屏 | 主要任务、首尾项、退出可达 | 命中框、焦点及激活对象正确 |
| 湿手／衣袖 × 唤醒／触控锁 | 能取消、解锁或结束 | 误触不导致未经确认后果 |
| 敏感展开 × 离身 × 音频切换 | 收敛后仍有合法再访问路径 | 各输出资格同步处理 |
| 低电 × 失联 × 常亮／取下充电 | 分清采集、保存、同步与缺口 | 持久化、功耗和实际采样范围有证据 |
| 远端成功 × 丢回执 × 杀进程 | 理解核实与恢复位置 | 同一意图仅一次后果，旧回执不串对象 |
| 离线解绑 × 本地未同步数据 | 理解已移除与尚未清除的差别 | 清除各范围实际结果可核对 |
| 普通静止使用 | 简单任务不被过度确认拖慢 | 正常任务与异常恢复业务语义一致 |
敏感泄露、重复后果、假成功、丢失已承诺保存内容及必要控制不可达不能用平均分抵消。可读性、误触、完成率、恢复成功率、举腕负担和能耗由产品预定目标；记录分母、失败／中断计法、样本与设备条件，不只报平均耗时。记录舒适性与实际能力差异，不能以模拟器截图替代佩戴与辅助技术测试。
文档完整、机制生效和用户会用须分别证明。本文提供设计与验收要求，未执行设备实验、用户实验或领域认证。
实施验收场景
以下场景把已有条款转成可复核的验收输入，不另设通用性能阈值。按产品适用能力选取，补充真实设备、用户、输入序列和证据；不适用记录原因，未执行不得记为通过。
| 条款 | 测试输入与异常 | 预期行为与失败判据 |
|---|---|---|
| WD3-2 | Wear OS 入口采用较小控件并放大系统字号。 | 按实际发布范围检查热区与文本，不用其他形态例外通过。 |
| WD1-2 | 设备换人佩戴，旧主体身份仍缓存。 | 佩戴读数不解除身份限制，敏感详情按当前资格处理。 |
| WD6-3 | 设备离线时从伴随应用移除并请求清除。 | 关联移除、设备擦除、云记录删除分别给出真实结果。 |
每个场景分别核对配置的有效值、执行记录与用户可理解的结果。保留版本、目标、事件时点、失败范围和恢复结果；外部结果未知不填作成功或失败。
对应 设计规范。本字典记录设备任务的设计决定，配置齐全不等于硬件、后台、保存或删除机制已经实现。
1. 分层与格式
| 层 | 前缀 | 内容与边界 |
|---|---|---|
| 视觉 Token | wearable.visual | 有实际显示界面时的颜色、字体、间距与焦点；无屏设备本端不必填 |
| 交互参数 | wearable.interaction | 实际用于呈现的动作与信息预算；不是通用人体阈值 |
| 策略配置 | wearable.policy | 设备画像、输入、感知、生命周期、恢复和移除决定 |
| 运行事实 | wearable.runtime | 来源设备真实报告的状态；不是 Design Token，主题不得赋值 |
必选是适用任务须明确，可以继承可解析决定；条件必选在启用对应能力时完整配置；无能力或不适用须写理由，不造占位值。默认不允许 null；省略不同时表示未知、关闭与无限。
下表短键拼接前缀为完整字段。数量为整数；持续时间为带定义的非负整数毫秒；时间戳带时区。原生尺寸保留 dp／pt 等真实单位与平台，不与 CSS px 互换。视觉部分可用 DTCG 类型与别名，其 dimension 使用 px 或 rem；策略、原生设备参数与事实不冒充 DTCG 类型。
每项决定须说明负责人、适用范围、理由、生效点、执行依赖及验证证据或计划。引用目标至少具备 id、owner、appliesTo、decision；可以定位到明确文档段落。别名或合同缺失、循环、类型错误、未知枚举须报具体字段。停止依赖错误配置的能力，保留已保存成果、公开查询和可用退出，不使用更宽权限兜底。
2. 视觉与设备画像
2.1 视觉 Token
前缀 wearable.visual。仅对配置范围内实际存在且由产品控制的显示界面适用；无屏设备的伴随应用如在本配置范围内，其自身仍须有视觉接入。
| 条件 | 字段 | DTCG 类型 | 语义别名示例 | 规则 |
|---|---|---|---|---|
| 有主要文字 | primary | typography | {product.typography.bodyStrong}，关键对象与状态 | WD2-2 |
| 有辅助文字 | secondary | typography | {product.typography.body}，单位和时效不因次级而不可读 | WD2-2 |
| 有文字／背景 | foreground、surface | color | {product.color.textPrimary}、{product.color.surface}，成对检验 | WD2-2、WD5-1 |
| 有异常呈现 | statusAttention | color | {product.color.attention}，还须有文字或形状 | WD4-2 |
| 有相邻操作 | actionGap | dimension | {product.space.controlGap}，避免热区争抢 | WD3-2 |
| 有内容边缘 | contentInset | dimension | {product.space.contentInset}，结合圆屏和系统区域 | WD3-2 |
| 有焦点操作 | focusIndicator | color | {product.color.focus}，轮廓与尺寸由组件定义 | WD3-2 |
这些别名是接入位置，需映射到实际集合才可导入；也可由明确的平台原生样式提供对应角色。主题不修改权限、事实、输入保护和最小热区。字体随用户设置，放大后减少次要信息或滚动，不缩字硬塞。
2.2 平台与能力 profile
deviceProfile 定义设备部位、可用输入输出、显示能力、采样与存储能力、控制端和任务范围；实际运行能力仍须探测。surfaceProfiles 定义每个入口显示字段、可执行动作、输入路径、返回对象、刷新与隐私条件。无屏状态通道也属于入口。
有屏 profile 须明确组件、字体缩放、实际热区、圆屏／安全区域、焦点及辅助语义。面向 Google Play 相应 Wear OS 应用质量要求的触控目标，按 WO-V2 至少 48 × 48 dp 验收；一般设计指导中其他情形的较小尺寸不能作为该要求的豁免。平台 profile 记录产品形态、分发要求、核验日期和具体条目，不把不同适用范围合并成一个默认值。设计指导见 WD-S6，应用质量要求见 WD-S11。其他平台使用核验后的组件依据与设备测量，不从 dp 推算 pt；字号与常亮刷新不设跨设备统一值。
3. 交互参数
前缀 wearable.interaction。仅在实际渲染或交互逻辑消费时配置；步骤数、举腕时间与完成率属于评审指标，放在应用指南。
| 条件／字段 | 类型与合法值 | 候选与理由 | 生效与验证 | 规则 |
|---|---|---|---|---|
快捷有屏入口／primaryActionBudget | integer ≥0，单位：个，同时突出的主要动作上限 | 原型候选 1，聚焦单一任务；只读取 0 | 安全布局边界生效；取消、退出、必要详情不计入且不可被隐藏 | WD2-2 |
可精简的辅助信息／previewFields | integer ≥0，单位：字段 | 原型候选 2，减少举腕阅读；0 表示省略可选辅助项 | 必要对象、异常、单位和时效不受限；放大文字实测 | WD2-2 |
候选不是行业最佳值，合法不代表适合设备。无屏反馈不得被硬套为“几个视觉字段”；反馈语义与实际机制在 inputOutput 合同定义。
4. 策略字典
前缀 wearable.policy；字段均为合同引用，surfaceProfiles 为非空引用数组。各合同的失效只限制受影响任务，不清空其他已保存成果。
| 条件 | 字段 | 最低决定与缺失处理 | 规则 |
|---|---|---|---|
| 必选 | deviceProfile | 实际设备、佩戴部位、能力、控制端；缺失不能宣告设备可用 | WD1-1、WD2-1 |
| 必选 | surfaceProfiles | 逐入口的对象、信息、动作、返回与可用条件；无屏也须定义状态与控制路径 | WD2-2、WD3-2 |
| 有受控显示 | visualSystemRef | 字体、主题、组件及尺寸／焦点依据；不能用“任意原生组件”充数 | WD2-2、WD3-2 |
| 必选 | capabilityContract | 逐任务必要能力、本端／伴随端／网络分工、替代／保存／交接及接收确认 | WD2-1 |
| 依赖佩戴条件 | fitGuidance | 支持的佩戴位置、可检测问题、人工检查、调整与取下路径；无观测不假报正常 | WD1-1、WD4-2 |
| 有输入或输出 | inputOutput | 激活／取消、唤醒语义、锁定退出、辅助路径、反馈意义与回看；缺可靠路径不承诺控制 | WD2-2、WD3-1、WD3-2 |
| 有敏感数据／操作 | privacy | 主体与资格依据、预览级别、合法展开、失效后的各通道收敛；未知不扩权 | WD1-2、WD3-3 |
| 采集传感数据 | collection | 用途、触发、权限、范围、保存位置／期限、停止与删除；撤权立即收紧本端可控采集，离线停采未送达须说明边界 | WD4-1 |
| 消费测量或时效数据 | dataValidity | 逐类时效、质量门槛、估计／缺测表达、时钟比较与依赖动作限制；不足时不当有效结果 | WD4-2、WD5-1 |
| 控制常亮显示 | ambient | default 和 fieldOverrides；每字段 keep／timestamped-static／placeholder／hidden | WD5-1 |
| 必选 | lifecycle | 取下、充电、关无线、资源不足、恢复的行为；采集／保存／同步分开，无持续任务则说明 | WD5-2 |
| 有设备关联 | association | 发现、选择、关联、账号资格与连接的独立状态，重连与换控制端校验 | WD6-1 |
| 有实际后果操作 | submission | 意图标识、目标绑定、成功证据、防重窗口、有限重试、未知出口与取消语义 | WD6-2 |
| 承诺恢复／离线队列 | resume | 保存范围／时点／期限、主体设备对象绑定、恢复检查、待发授权期限、撤回与过期处置 | WD6-2 |
| 可解绑／清除／交还 | deviceRemoval | 资格、本地未同步内容、设备内数据与云端记录分别处置，损失保护及各项证据 | WD6-3 |
合同不仅写“按需处理”：须可判断输入条件、允许行为、禁止行为、异常下一步和实施证据。产品开启测量时，dataValidity 须明确质量判据来自何处；不因字典有 quality 字段就凭空制造传感器质量分数。
ambient.keep 仅保留仍有效且可准确理解的字段；timestamped-static 显示原观测时间并具有历史含义；placeholder 保留字段名称与缺当前值说明；hidden 隐去字段及未获资格的辅助内容。隐私和数据有效性先于该策略。缺失配置不启用自定义常亮保留；系统快照按平台可控能力处理。
4.1 能力依赖
| 承诺 | 必须具备 | 不足时 |
|---|---|---|
| 无屏设备可查询／控制 | 实际控制端、输入输出合同、关联与链路证据 | 说明控制未送达及真实本端／稍后路径 |
| 持续记录 | collection、dataValidity、lifecycle、持久保存与 resume | 说明未开始或中断，保留已有成果 |
| 敏感详情 | 当前主体资格、privacy、实际输出通道 | 保留允许摘要与合法再访问路径 |
| 常亮动态信息 | 显示能力、逐字段 dataValidity、ambient；敏感时还需 privacy | 占位或隐藏，不伪造刷新保证 |
| 离线队列执行 | submission、resume、授权范围与期限、防重覆盖 | 只保留草稿或待核实，不盲发 |
| 远程清除 | deviceRemoval、资格、实际送达与清除证据 | 明确未确认，不冒充完成 |
5. 运行事实
5.1 统一封装
事实必须按具体键分别记录。capabilities、continuity 等集合不再用一个总 known 掩盖内部未知。
| availability | 必需内容 | 语义 |
|---|---|---|
known | value、source、deviceId、observedAt、receivedAt、ordering | 仍有效的观测；known 不等于状态正常 |
stale | known 的原始字段及 reason | 保留原值与原时点，仅为历史，不改成当前 |
unknown | source、deviceId、checkedAt、reason；无 value／observedAt | 能力存在但当前不能判断 |
unavailable | source、deviceId、checkedAt、reason；无 value／observedAt | 无能力或当前不可访问；reason 区分 unsupported／permissionDenied／systemRestricted |
涉及访问绑定 subjectId，内容和操作绑定 objectId，必要时绑定 targetSnapshotId。ordering 提供同来源同会话序号或可信时间排序；设备重启区分会话。跨设备时钟无可信映射时不按本地时间或到达顺序猜新旧，保留待核实；时效仍独立判断。检查时刻不是观测时刻，重连不让旧值重新新鲜。
5.2 事实目录
前缀 wearable.runtime。按任务需要取用；不适用在 profile 记录，不能伪造 unknown 填满。
| 字段 | value 或集合内容 | 使用限制 |
|---|---|---|
wear | onBody／offBody | 不表示身份或测量有效 |
contactQuality | acceptable／poor，附证据与检查对象 | 仅有可靠观测时填；无检测能力为 unavailable |
measurementQuality | valid／degraded／invalid，附数据类型、样本范围和 reason | 与数据时效独立；不得由在身推导 |
identity | 主体、锁定、权限范围 | 无法核验不扩权，换主体旧资格失效 |
display | interactive／ambient／hidden | 无屏不适用，不影响采集真实状态 |
capabilities | 每能力分别封装；如网络可达 boolean、电量 0–100 number | known+false 表示已知不可达，不能混成缺检测能力 |
association | unassociated／pending／associated，带设备与关联主体 | 不自动推出链路存在或业务权限有效 |
connection | disconnected／connecting／connected，带端点 | connected 不证明业务服务可达 |
sync | idle／queued／syncing／synced／failed，带数据范围与证据 | synced 仅证明所指范围，不表示采集完整 |
continuity | capture 与 storage 各自事实；capture=running／paused／stopped，storage=pending／saved／failed | 每项带任务与时间范围；缺失区间另记录，不用插补冒充样本 |
content | 对象、字段、单位、测量／估计性质、有效性依据 | 原观测时间与展示更新时间分开 |
preference | 佩戴侧／朝向、预览选择、范围、来源与生效时间 | productDefault 与 user 明确区分，布局安全边界生效 |
operation | 下节操作对象 | known 表示本端流程已知，可以包含远端结果 unknown |
removal | 每项移除动作的操作引用、受影响范围、证据 | 不设一个“全部清空”布尔值代替局部未知 |
5.3 操作合法组合
每次意图须有 operationId、objectId、deviceId、适用 subjectId／targetSnapshotId、submission 与 outcome。确认结果有 receiptRef 或可验证的本地证据。
| submission | 合法 outcome | 含义 |
|---|---|---|
| draft | notApplicable | 未确认，不自动执行 |
| queued | pending | 已授权未发出，可取消；执行前核对资格与期限 |
| sent | pending／succeeded／failed／unknown | 已交给执行端，可能尚未收到受理或最终回执 |
| accepted | pending／succeeded／failed／unknown | 执行端已受理，不等于成功 |
| cancelled | notApplicable | 证实发出前取消，不会重连补发 |
sent 可直接收到最终结果而不经过 accepted；本地执行同样需要可靠完成证据。超时不自动 failed。已发取消保留原 submission，另记录 cancelRequest=requested／confirmed／rejected，独立核实原结果。撤销已发生结果是新操作。
重试保留同一意图标识；独立输入使用新标识。防重有效范围覆盖允许离线与重试期限，超过可保证范围先核实；旧对象或另一操作的回执不更新当前任务。停止／删除等未知结果不能因耗尽重试次数就宣告失败。
6. 覆盖与生效
先解析任务与能力依赖，再取实际事实，求身份、权限、隐私和数据限制的共同允许范围，最后解析入口与呈现。用户选择高于产品默认，但不放宽限制；主题只处理视觉。
离身收敛、撤权和主体失效立即作用于相关输出与未执行动作；布局、朝向和普通信息预算等到触点释放、编辑安全保存后生效。安全取消当前输入须有反馈。常亮依次经过 privacy → dataValidity → ambient，不用主题恢复被隐去内容。配置回退不清除已发生结果、不重放业务动作。
7. 完整设计配置示例：无屏设备的离线记录
这是设备本端记录任务的自包含设计配置，不含伴随应用的界面主题。伴随端的查询与停止入口在 profile 内明确；实际集成仍须实现并验证，不能把示例当成已可运行的固件。policy 的短键对应字典，值在 contracts 中可解析；合同内键描述具体决定，不是新增 Token。这里没有视觉、常亮和信息预算，因为本端无屏。
{
"task": "ring-local-recording",
"policy": {
"deviceProfile": "device", "surfaceProfiles": ["control"],
"capabilityContract": "capability", "fitGuidance": "fit",
"inputOutput": "io", "privacy": "privacy", "collection": "collect",
"dataValidity": "validity", "lifecycle": "life", "association": "association",
"submission": "submit", "resume": "resume", "deviceRemoval": "remove"
},
"contracts": {
"device": { "id": "device", "owner": "设备负责人", "appliesTo": ["ring-local-recording"], "decision": {
"bodySite": "finger", "display": "none", "inputs": [], "localFeedback": [],
"controlEndpoint": "paired-phone.device-detail", "requiredCapabilities": ["sampleCapture", "sampleValidityFlag", "persistentStorage", "pairedControl", "localAuthorizationExpiry", "localRetentionExpiry"]
} },
"control": { "id": "control", "owner": "体验负责人", "appliesTo": ["ring-local-recording"], "decision": {
"endpoint": "paired-phone.device-detail", "object": "selected-device.current-recording",
"fields": ["capture", "storage", "sync", "lastObservedAt"], "actions": ["start", "stop", "query", "remove"],
"input": "phone-native-controls-with-screen-reader", "return": "device-list",
"refresh": "query-on-open-and-after-command", "privacy": "privacy",
"whenDisconnected": "显示带原时间的最后状态；控制不可送达，提示连接设备后继续"
} },
"capability": { "id": "capability", "owner": "设备负责人", "appliesTo": ["ring-local-recording"], "decision": {
"start": "须有有效授权、设备连接和持久保存能力", "offline": "授权范围内本地采集保存，连接后同步",
"unavailable": "不开始新的记录；保留已有成果和稍后查询入口", "handoff": "不转移采集任务"
} },
"fit": { "id": "fit", "owner": "设备负责人", "appliesTo": ["ring-local-recording"], "decision": {
"position": "采用硬件提供的佩戴位置说明", "contactDetection": "未承诺自动检测接触质量",
"invalidSample": "显示无有效样本，提供检查位置与取下调整，不诊断具体原因"
} },
"io": { "id": "io", "owner": "体验负责人", "appliesTo": ["ring-local-recording"], "decision": {
"activation": "伴随端抬起激活，可移出取消", "wake": "本端无显示唤醒",
"stop": "连接后发送停止，取得执行证据后显示已停止", "exit": "返回设备列表不新增命令",
"result": "伴随端保留可回看的记录，支持读屏；断连不承诺即时停止"
} },
"privacy": { "id": "privacy", "owner": "数据负责人", "appliesTo": ["ring-local-recording"], "decision": {
"subject": "当前有效绑定账号", "publicPreview": "hidden", "reveal": "账号资格有效且主动打开",
"onIdentityLoss": "收敛敏感内容并阻止未执行控制；本端按既定采集授权期限处理", "automaticAudio": "不播报敏感内容"
} },
"collect": { "id": "collect", "owner": "数据负责人", "appliesTo": ["ring-local-recording"], "decision": {
"purpose": "用户主动开始的一次记录", "data": ["timestamped-samples", "quality-flags"],
"authorization": "有结束时点的显式采集授权；启动前须成功写入设备",
"stop": "有效停止命令、设备内授权到期或持久存储不足时停止新采集",
"storage": "按绑定主体隔离的设备存储", "retention": "用户开始记录时分别确认采集结束时间与晚于该时间的样本保存截止时间，成功写入设备；保存到期清除所指本地样本"
} },
"validity": { "id": "validity", "owner": "数据负责人", "appliesTo": ["ring-local-recording"], "decision": {
"quality": "仅硬件有效性标记通过的样本作有效测量；缺标记为未知",
"time": "样本始终按原观测时间展示；链路断开后不把最后采集状态当当前状态",
"ordering": "同设备会话内序号；会话改变重新核对", "gaps": "标出缺测，不填零或伪造插补测量"
} },
"life": { "id": "life", "owner": "设备负责人", "appliesTo": ["ring-local-recording"], "decision": {
"offBody": "不产生有效身体样本；不能检测离身时仅按样本有效性判定",
"charging": "本示例停止采集并保存；不支持边充边戴", "radioOff": "仍按既定授权采集保存，同步等待",
"storageFull": "停止新采集并保留已保存范围", "powerLoss": "恢复后读取持久检查点，缺口如实记录",
"restart": "保留历史记录；新采集需用户重新开始"
} },
"association": { "id": "association", "owner": "连接负责人", "appliesTo": ["ring-local-recording"], "decision": {
"select": "用户确认具体设备", "states": "关联、主体资格、链路分别查询", "reconnect": "核对主体和设备后查询原任务与未决操作"
} },
"submit": { "id": "submit", "owner": "执行负责人", "appliesTo": ["ring-local-recording"], "decision": {
"intent": "每次用户命令分配稳定操作标识", "dedup": "设备端防重覆盖并发和已执行未回执；不满足则停用重复执行路径",
"autoRetry": "不自动重发；先查询原操作", "success": "执行端回执与实际记录状态一致",
"unknown": "保留未核实及连接后查询入口", "cancel": "未发命令可取消，已发取消独立核对"
} },
"resume": { "id": "resume", "owner": "执行负责人", "appliesTo": ["ring-local-recording"], "decision": {
"checkpoint": "采样块持久化后才显示已保存，命令发出前持久记录意图",
"scope": "已保存样本、绑定主体与设备、采集授权、操作与回执", "retention": "样本按 collect；未决操作保留至核实或用户确认结束处理",
"restore": "核对主体、设备与授权后读取同一记录，不重放未确认意图",
"expiry": "样本到期按约定清除并说明；未决结果不伪称成功", "offlineQueue": "不排队执行离线控制"
} },
"remove": { "id": "remove", "owner": "数据负责人", "appliesTo": ["ring-local-recording"], "decision": {
"before": "说明未同步样本和云端历史的去向，用户分别选择", "association": "撤销账号控制资格",
"deviceErase": "连接设备执行并核对清除回执；失联为未确认", "cloudErase": "独立请求并核对实际结果",
"recovery": "显示已完成项和待连接处理项，不因移除列表项宣告全清除"
} }
},
"validation": {
"status": "pending-device-and-user-tests",
"cases": ["无手机且关无线", "质量标记缺失", "取下充电", "存储不足", "停止丢回执", "离线移除"],
"failIf": ["假成功", "重复命令后果", "敏感暴露", "承诺已保存内容丢失"]
}
}
该配置选择不自动重发、不排队离线控制，因而没有重试期限数值；它仍依赖真实防重和查询机制。若产品改为允许重投或排队，须补齐对应期限并保证防重覆盖。validation 是设计证据记录，不进入运行事实。
8. 配置验收
- 启用能力的条件必选完整；无屏本端没有被迫提供视觉值，伴随界面的责任范围明确。
- 所有合同、别名、平台 profile 可解析；单位正确，候选数值有依据与测试计划。
- 在身、身份、接触质量、测量质量和新鲜度独立；不适用不造读数。
- 关联、连接、同步与采集／保存逐项有证据；离线时不伪称即时控制。
- 状态封装及操作组合合法；乱序、跨时钟、换主体与设备重启有处理。
- 隐私收紧及时，布局安全生效，常亮逐字段裁决；必要控制不受预算限制。
- 恢复、防重、停止和清除都有用户反馈及实际结果证据。
上述检查验证设计可解释性；设备行为、功耗与实际使用仍须按规范执行验证。
配置交付与校验
主要动作预算仅限制快捷入口同时突出的主要动作；取消、退出和必要详情不能被挤掉。无屏设备不套用视觉字段数量；伴随端“已发送停止”不等于离线设备已停采。示例合法只说明这个计数类型成立。
随附的可执行样例只覆盖 wearable.interaction.primaryActionBudget，其余字段按本字典逐项校验；未覆盖不等于不适用或已通过。样例是所选字段的格式正反例，不是可直接启用全部能力的产品预设。完整产品交付另外包含适用性、依赖、证据、执行映射及进行中操作的生效边界。
字段名、类型或含义变更时更新引用方与验收样例；仅修改说明且不改变合法行为的，保留已有字段名。调用方读取解析后的有效配置，不由 UI 控件、动画或模型文字反推权限、测量或完成事实。参见对应场景。
参考来源
供 设计规范 和 Design Token 核对依据。平台文档支持特定平台行为，厂商说明支持具体设备案例；本文的规则编号、合同、状态模型、组合测试与候选参数是项目设计，不宣称由来源逐字规定。
1. 身体佩戴与感知
WD-S1 · Oura：心率记录缺口
官方说明：Troubleshooting Gaps in Heart Rate Graphs
- 阅读范围：记录缺口、佩戴与接触、运动及其他影响因素的说明。
- 支持内容：在身不等于持续得到有效测量；应提供具体且可操作的佩戴检查路径。对应 WD1-1、WD4-2。
- 适用边界：这是特定设备的故障排查依据，不证明所有戒指有接触质量传感器，不据缺测诊断身体状态，也不提供通用佩戴松紧参数。
WD-S2 · Android：离身检测传感器
Sensor：TYPE_LOW_LATENCY_OFFBODY_DETECT
- 阅读范围：该传感器类型的语义与能力描述。
- 支持内容：离身检测是一类具体观测能力，适用时用于在身／离身事件。对应 WD1-2。
- 适用边界：设备不一定提供该传感器；在身观测不证明身份、权限、舒适性或样本质量。这些事实分别建模是本规范的设计决定。
2. 入口、输入与设备生命周期
WD-S3 · Google：Wear OS 设计原则
- 阅读范围：腕上任务的聚焦、快速理解与使用情境。
- 支持内容：围绕腕上任务取舍信息与操作，减少不必要的交互负担。对应 WD2、WD3。
- 适用边界：不把有屏腕上设计直接当作无屏设备方案，不从原则推导统一步骤数、触控尺寸或持续盯屏时长。
WD-S4 · Oura：飞行模式
- 阅读范围：无线连接关闭后采集与保存、重新连接和同步的相关说明。
- 支持内容：具体设备可以在不与手机通信时继续记录，因此连接、采集、保存和同步不能当作同一事实。对应 WD2-1、WD5-2、WD6-1。
- 适用边界：不外推其他硬件的离线时长、存储容量、退出方式或远程控制能力。应用指南的限时记录方案需要本产品设备实际支持，不是对 Oura 功能的复述。
WD-S5 · Apple：watchOS 设计入口
Design and build apps for watchOS
- 阅读范围：面向腕上应用的设计概览与关键内容呈现。
- 支持内容：把必要内容与腕上任务放在前面，并按平台入口设计。对应 WD2-2、WD3-1。
- 适用边界：概览不能代替具体控件、输入路由或设备实测；“首触只唤醒”的统一规则不能由此成立。本文不声称完整阅读所有关联 HIG 页面。
WD-S6 · Google：Wear OS 无障碍
- 阅读范围：文字、目标、语义及辅助技术支持的设计建议。
- 支持内容：腕上有限空间仍需保障可读、可操作和可访问路径。对应 WD2-2、WD3-2。
- 适用边界：尺寸、单位和平台适用条件须按实际组件核对；不是所有佩戴位置、输入设备或无屏产品的通用阈值。
WD-S7 · W3C WAI：输入意图与替代操作
Pointer Cancellation · Motion Actuation · Dragging Movements
- 阅读范围：指针取消、设备动作输入替代和拖动替代的说明及例外。
- 支持内容：保护有意激活，避免把完成任务绑定到单一精细动作。对应 WD3-1、WD3-2。
- 适用边界：以上为解释性页面；规范文本见 WCAG。原生设备应依据实际输入语义验证，不能仅凭采用相似原则宣告符合全部 Web 成功准则。
WD-S8 · Google：常亮与环境显示
Keep your app visible with always-on
- 阅读范围：交互与环境显示状态、更新与能耗约束。
- 支持内容：环境显示不同于持续交互显示，更新能力与生命周期需要专门处理。对应 WD5-1。
- 适用边界：不从某个平台行为推导所有设备相同刷新频率。本规范逐字段定义保留、带时点静态、占位或隐藏，属于项目的表现策略。
3. 关联与配置表达
WD-S9 · Android：伴随设备关联
- 阅读范围：伴随设备关联与连接的职责。
- 支持内容：关联操作本身不建立持续连接；已关联不能替代已连接或已同步。对应 WD6-1。
- 适用边界：解绑、账号归属、设备擦除及云端删除仍要核对实际系统。WD6-3 的分别核实要求是项目推导，不能从解除关联推断所有数据已清除。
WD-S10 · Design Tokens Community Group：格式
- 阅读范围：类型、值、组、别名及 dimension、color、typography 的表达。
- 支持内容：视觉 Token 可采用明确类型与可解析别名；dimension 的格式单位为 px 或 rem，颜色遵循对应结构。
- 适用边界：这是社区组格式，不称为 W3C 推荐标准；设备原生单位、策略引用和运行事实不由此成为标准 Token 类型。本字典不是全量 DTCG 文件，示例是任务设计配置。
WD-S11 · Google：Wear OS 应用质量要求
- 核验日期与阅读范围：2026-09-19，Visual Experience 的 WO-V1、WO-V2 及页面说明的应用质量适用范围。
- 支持内容：对应范围的应用尊重系统字号；WO-V2 要求触控目标至少 48 × 48 dp。用于 WD2-2、WD3-2 和平台 profile 的发布验收依据。
- 适用边界：平台分发质量要求与一般设计建议分别记录；不外推为 watchOS、Web、无屏设备或所有可穿戴形态的统一尺寸。目标应用发布前重新核对当时适用条目。
4. 证据使用纪律
- 规则强度依据用户成果与失败后果确定；外部材料只支持其实际涉及的事实和设计原则。
- 厂商示例不能证明目标硬件能力，平台说明不能代替真实设备与辅助输入验收。
primaryActionBudget、previewFields等候选值需要项目验证，不作为人体能力常数。- 文档、链接和配置检查只能证明表达一致；佩戴舒适性、测量质量、能耗、离线控制和删除结果仍须实际证据。