C4.25.1Predefined recognition fallback设计研究
识别失效时系统应有预先定义好的降级行为，而非停止响应
别名: 降级行为 · 识别失效 · 停止响应
概念解释
当当前这套空中识别在这次会话里已经靠不住——连续低置信、反复跟丢、环境突然变差——系统应走进一条预先定义的降级行为，而不是从「还能用」直接掉进停止响应。降级是运行时的应急剧本：还让用户把眼前这步做完。它不是「产品里永远要备一条非手势功能」的设计清单，那是另一件事；这里问的是识别正在垮掉的这几秒，界面做什么。
机制
失效很少是干净的开关。分数会先变脏、跟踪会先碎，然后才完全沉默。若产品只实现了快乐路径，中间这段没有状态可去，看起来就是随机失灵：有时灵、有时不灵、没有下一步。预先定义的降级把「识别不可靠」写成一等状态：缩小正在监听的词汇、改要一个更粗的确认、或把焦点交给已经在场的另一条通道。剧本必须在出厂前写好，因为失效现场没有产品经理可问「现在该怎么办」。停止响应把决策推给用户的猜测，而用户猜的通常是设备坏了。
怎么研究
在任务做到一半时注入可重复的失效：降低关键点质量、加遮挡、把置信度人为压到中间带。比较「无剧本（自然失灵）」和「进入预定义降级」。因变量是任务完成率、从失效到下一次成功操作的时间、以及用户是否报告系统死机。观察者要编码用户的第一反应（重做手势、拍屏幕、寻找按钮、放弃）。不要在任务开始前就降级，那测的是备用通道的平时可用性。
边界
演示用的短任务还没做到会失效的长度，实验室会低估无剧本的代价。完全离线、没有第二条通道的装置，降级可能只剩「暂停并说明」，做不到继续完成任务，但暂停加说明仍优于无声死机。安全联锁在识别失效时应进入安全态，那是一种特殊的预定义降级，不是「继续用更松的识别把吊车开完」。偶发的单次低置信应由阈值政策处理，不必每次都进入降级模式，否则模式会抖。
怎么落地
- 写一份失效剧本：何种连续信号算「识别不可靠」，进入后做什么，怎样退出。把它当成与快乐路径同级的状态，而不是错误日志里的一句话。
- 禁止快乐路径之外只有「无响应」；至少要有暂停加原因，哪怕暂时还没有第二条输入。
- 用任务中途注入失效来验收：系统应在数秒内进入剧本，而不是让用户空挥直到放弃。