高后果动作不得由注视单独提交
别名: 注视提交限制 · 高后果眼控 · gaze safety
概念解释
删除、付款、发送、用药剂量、驾驶相关切换这类高后果动作，不能只靠注视提交。即使已经用停留或参与条件减轻了迈达斯冲突，注视通道的假阳性仍高于按键：校准漂移、一次过长的阅读、一次未预期的反射性注视，都可能凑满提交条件。高后果要求第二条、与“看”独立的证据。这是后果分级，不是在发明一种新的停留，也不是在讨论组合输入怎么做得更快。
机制
注视作为命令的错误不对称：假阳性的代价随动作后果指数上升，假阴性通常只是再看一次。支付、不可逆删除、向错误联系人发送、在医疗界面上确认剂量，一次假阳性的损失无法用“眼控很酷”抵消。注视估计本身带空间误差和时间误差，参与条件只能切断会话外的命令，切不断会话内一次认真的误看。
独立证据的意思是：第二条通道的失效模式与眼动不同。手指捏合、硬件键、语音口令、二次停留在明确写着后果的确认控件上，都是在要另一套肌肉或另一套语义。若所谓确认仍是“再看同一个按钮一会儿”，两条证据相关，一次漂移会把它们一起带走。
怎么研究
把动作按后果分级（可撤销导航、可撤销编辑、不可逆、涉及资金或安全），在同一套眼控界面上注入已知的追踪扰动（眼镜滑动、光照变化、指示被试去读标签），统计各级动作的假阳性。 比较：注视单独提交、注视加同按钮再停留、注视加独立通道。 关键不是平均完成时间，而是高后果级上的假阳性是否降到与键鼠相当，以及独立通道是否被绕过。伦理上，真实资金和真实医疗剂量不能拿来做实验室自变量，要用明确标记的代理任务，并在报告里写清代理与真实后果的差距。
边界
对只能使用眼控、且生命安全依赖某条命令的人（呼叫护理、触发呼吸机界面的报警应答），“不得由注视单独提交”与“必须能独立完成”冲突。这时要保留一条被保护的眼动路径：更大的目标、更长的显式确认、或扫描式开关，而不是把高后果命令藏到他们够不着的键上。低后果、高频率、可一键撤销的动作，强制双通道只会制造疲劳。法律和安全认证（医疗、车载）往往已经禁止单通道确认，产品不能用“我们测过大学生误选率很低”来覆盖。
怎么落地
- 给动作标后果等级；不可逆、资金、隐私外发、安全相关默认禁止注视单独提交。
- 第二条证据必须与眼动失效模式不同：键、捏合、语音、或一个空间上分开、标签写明后果的确认控件。
- 验证：在校准被故意扰动后做一次完整任务，确认高后果动作没有被注视单独发出，且撤销入口仍然可用。