隐私感受与实际数据流并不一致
别名: 感受隐私 · 心智模型错位 · always-on mental model
概念解释
家里的音箱整天开着，人形成的「它现在在干什么」是感受隐私（felt privacy）：灯是暗的所以没在听、它没出声所以话还在空气里、厨房是自己家所以这段对话没有第二听众。真正的数据流（data flow）是另一张图——芯片上的唤醒词环形缓冲、过门限后的云端识别、可能的人工抽检、写进账号的历史。两张图对不齐是家庭常开麦克的常态。这里问的是「觉得」和「流过」是否同一件事，不是指示灯能否被关掉，也不是街上说话被旁人听见。
机制
感受靠社会上可观察的线索：有没有人在对它说话、它有没有开口、灯是不是那种安静的暗。数据流靠不可观察的状态机：缓冲里有没有几秒波形、有没有擦过唤醒门限、过门限之后音频进了哪一个桶。家庭空间把错位放大——人把厨房音量当成私下，远场麦克的工作区正好覆盖这间厨房。灯灭只排除「正在播报」，排不掉「环形缓冲还在转」。人还会把「我没叫它」当成「它没有我的这句话」；近唤醒、电视对白擦边、会话窗还开着时的插话，都会在感受仍是闲置时把内容送到另一侧。
错位有两个方向。高估（以为每句都进云）会让人过度封麦；低估（闲置等于零采集）会让人在看病、钱、关系的话题上不设防。设备被做成家具之后，低估更常见：家具不需要被盯着。
怎么研究
用心智模型外化：请家里的人画出「刚才那句话去了哪」，把闲置、本地唤醒检测、正在识别、已上传、有人抽检做成卡片来分类。把图纸和产品架构并排，错位点就是要处理的对象。智能音箱访谈里有用的问法是「你以为它在干什么」，不是「你在不在意隐私」——后者测的是态度，前者测的是数据流模型。
行为上配封麦日记：记下盖住、拔掉、把音箱转过去的时刻，以及当时是否真有一次唤醒后的上传。防护动作若系统性地落在数据流并未打开的时刻，错位就被测到了。一般隐私态度量表测的是态度与行为的缝，替不了这张图。
边界
音频从不离芯片的本地检测，低估的伤害面变窄，但环形缓冲仍在；感受仍可能把「完全没在处理」安在「只在本地滑过」上。读过架构说明的人错位会小，不能当家庭用户的代表。错位朝高估时，封麦行为要另解释，不是感受偏松。新拆箱、还没变成家具的几天，人会盯灯，错位暂时缩小。
怎么落地
- 把状态写成用户对得上号的表：本地检测、唤醒后上传、人工质检各占一行，每行对应可感知的差别（灯、音、历史里能不能查到），不要用同一颗灯覆盖三行。
- 请未参与设计的人分别画出闲置、一次真唤醒、一次没出声的近唤醒。画成「灯灭等于云里没有」就还没对齐。
- 文案不要写「我们不监听」。「不监听」是感受用语；要写缓冲停在哪一层、唤醒后去哪、历史里留下什么。
- 验证：对着架构走三句话（闲聊、呼唤、叫完继续闲聊），问家里每个人每句有没有离开房间。与架构不一致的那句，就是要改指示或改默认上传的句。