安全上限须按最敏感人群设定
别名: 最弱用户假设 · 弱势人群安全裕度 · vulnerable population safety margin
概念解释
按健康成年人实验室阈值定出来的安全上限，对相当一部分真实用户并不安全——任何触觉或温度输出的上限，都必须按目标用户里知觉最容易出问题的那部分人来设定，而不是按典型可用性测试招募到的被试来设定。这两类人群往往完全不重叠：可用性测试倾向招募健康、专注、愿意配合的成年被试，恰恰是风险最低的那一端。
机制
几个互相独立的因素会在设备输出完全不变的情况下，让某些用户的实际受伤风险明显更高：周围神经病变（比如糖尿病、部分老年人常见）会削弱痛觉与温度警示信号，使损伤在被感觉到、被报告之前就已经悄悄累积；皮肤本身更薄、更脆弱（婴幼儿、老年人、某些疾病或用药状态下）意味着同样的力度或温度，达到组织损伤所需要的强度比实验室常用的健康年轻成年人皮肤更低；注意力或反应能力受限（分心、认知负荷高、某些障碍）意味着从刺激开始到用户主动移开或干预所经过的时间，比阈值实验里专心配合的被试要长得多。这些因素设备本身都看不见，一条统一的上限，其安全程度取决于它是否覆盖了最弱的那种假设。
怎么研究
这条的证据基础更多来自临床与职业安全领域，而不是常规的人因可用性测试：糖尿病神经病变患者的烫伤病例报告、活动能力受限或感觉减退人群的压疮风险研究、儿童与老年人皮肤耐受性的临床数据，这些人群系统性地不会出现在典型的可用性招募样本里，导致常规测试得到的"用户接受度"天然偏向低估风险。
边界
"最敏感的可能用户"是一个受目标用户范围约束的判断，不是要求任何产品都按人类能想到的最极端个案设计：一款明确面向糖尿病患者使用的医疗设备，必须把神经病变导致的感觉减退当作大概率会遇到的情况来设计；而一款用户群体经过筛选、范围很窄的小众爱好者产品，需要覆盖的最坏情况相应更窄。但这里的边界是"产品实际的、可以合理预见的用户群体"，而不是"招进可用性测试房间的那几个人"——后者本身就是被筛选过的、偏健康的样本，不能替代前者。
怎么落地
- 在设定任何强度、温度或持续时间的上限之前，先列出目标用户里可能存在的知觉减退人群（老年人、糖尿病等神经病变人群、儿童、术后或用药导致触觉/痛觉减弱的人群），把上限设在覆盖这些人群已发表安全数据的一端，而不是取健康年轻成年人实验室数据的中位数。
- 不能只靠"用户说疼就停"作为唯一的安全机制——知觉减退人群的反馈本身可能延迟或缺失，需要独立于用户主动报告的工程硬上限，在强度、温度、持续时间三个维度上分别设定，并用软件强制执行。
- 验证办法：在设计评审阶段，对照目标用户中已知感觉最弱子群体的临床或职业安全数据，而不仅仅是内部可用性测试里健康被试的反馈，专门做一次"按最弱用户假设复核"，确认当前上限即使套用这个假设也仍然留有余量。