高后果动作不得由单一传感器判定

概念解释

删除、支付、呼叫急救、解锁门这类高后果动作，不能只凭一路生理或情境传感器的一次触发就执行。单一通道上的噪声、脱落和语义歧义会直接变成不可逆结果。需要另一路独立证据，或一次明确的用户确认，把传感器从执行者降回提议者。

机制

单传感器的失败不是独立随机误差那么简单。运动伪迹可以同时抬高光学心率和腕部加速度；出汗可以同时改变皮电和电极阻抗——看起来像两路，其实共享共模（common-mode）扰动。真正的独立确认要换物理原理或换决策者：惯性之外再要用户按键，皮电之外再要口头确认。贝叶斯上看，高先验代价要求似然比足够大，一路信噪比有限的生理信号给不出这个比。把阈值调高只能少报，不能证明「这次不是伪迹」。

怎么研究

故障注入：单独弄坏一路（松脱、加热、振动），看高后果动作是否仍会发出。自变量：第二路的物理独立性、是否引入显式确认。因变量：共模扰动下的误执行次数、延迟、用户放弃率。实验室里两路都是同一腕表里的 PPG 与加速度，独立性会被高估。对照应包含「仅传感器」对「传感器 + 确认对话」。

边界

低后果的预加载、预亮可以单路。持续监测中的趋势提示（「今天活动偏少」）也不是动作。有的医疗警报法规要求单传感器也必须响，那是报警义务，不是允许它直接给药或锁门。独立确认会增加漏报：第二路失败时系统应降级到安全侧（不执行），并让用户知道为什么没动。

怎么落地

• 列出所有不可撤销或涉及他人安全的动作，禁止它们绑定到单路生理触发。
• 第二路优先换原理或换到用户自愿动作，而不是同一封装里的第二个芯片。
• 确认对话要短、可在当前姿势完成；不要为了「独立」把人赶到另一块屏幕。
• 验证：在振动台上或出汗协议中只扰动传感器，确认高后果动作零执行；再测加入确认后真实事件的漏过率是否仍可接受。

延伸

• 同组：C9.06.1 假阳性与假阴性的代价不对称 · C9.06.2 阈值选择是产品决定而非算法决定 · C9.06.4 医疗警报场景通常宁可假阳性也要避免假阴性，消费场景常反之 · C9.06.5 代价不对称应体现为分类阈值的具体取值，而非仅停留在原则声明 · C9.06.6 同一传感器在不同功能上复用时，两个功能可能需要不同的误报容忍取向 · C9.06.7 误报代价的评估需要包含用户信任流失这类长期成本，不只是单次错误后果
• 相邻：C9.08 传感器融合 · C8.04 注视加确认的组合
• 站内检索：common-mode failure · independent confirmation · high-consequence action