Z1.01.2Legibility of invisible systems设计研究
不可见带来不可控与不可诊断
别名: 系统可读性 · silent failure · 静默失败
概念解释
技术消隐的另一面：一个不被察觉的系统，用户也无从控制它、无从诊断它。控制的前提是知道它在运行——不知道存在就没有开启、停止、配置可言；诊断的前提是系统行为可被观察——没有可观察的症状，故障无从归因。这个性质有时叫系统的可读性（legibility）：用户能不能从系统给出的表面读出它正在做什么。
最危险的形态是静默失败（silent failure）：自动化执行错误与执行正确对用户来说不可分辨，都表现为「什么都没发生」，错误直到后果在物理世界显形才被发现——地暖连开一周、门其实没锁、摄像头一直在录。
机制
控制是一个环路：感知状态 → 判断 → 行动 → 观察结果。消隐切断的是感知端——系统不给出现状与变化的可观察表达，判断与行动就没有起点。这不是可用性问题而是环路完整性问题：给再好的控制入口，用户不知道「现在正在发生什么」，入口形同虚设。
诊断的失效在另一层：故障定位要求把症状映射到组件（是传感器、网络、还是规则错了？），而映射需要系统暴露内部的分层结构。不可见系统不提供症状表面，用户被迫拿物理世界的后果反推系统内部的状态，中间隔着好几层推断，错误归因几乎必然。
还有一条慢性的通路：心智模型失去更新材料。用户对系统的模型靠反馈校准；不可见意味着没有反馈，模型停留在安装那一刻。系统却在演化——固件更新、规则叠加、家人改了配置——模型与实际的差距只增不减，直到某次故障把差距暴露出来，此时用户拿一个过时数月的模型去诊断现在的系统。
怎么研究
- 知晓率研究：请用户描述自家系统的当前行为（有哪些自动化在生效、各自什么条件），与后台日志比对，得出察觉基线。智能家居实地研究里，用户漏报自家电器的实际能耗与自动化的生效数量是稳定发现。
- 归因访谈：在故障后请用户复原「你当时以为是什么问题」，与真实故障层对照，度量错误归因率与定位路径长度。Edwards 与 Grinter 对家庭泛在计算挑战的分析把「不可见技术的管理负担」列为从原型走向家庭现实的核心障碍之一。
- 部署对照：同一系统给出「可查询状态」与「完全不可见」两个版本做长期部署，比较故障发现时延、用户干预成功率与信任量表的变化。
方法论注意点：故障场景不能只在实验室注入——真实家庭的故障是偶发、跨层、且与生活事件纠缠的，招募经历过真实故障的家庭做回溯访谈，比人为制造故障更接近实际的诊断过程。
边界
- 不可见的伤害集中在出错时。 正常运行时不可见几乎无代价，这正是消隐诱人的原因；评估不可见性的代价必须把故障场景包括进来，只测正常运行会得出「不可见没问题」的假结论。
- 不可控不可全归因于不可见。 复杂度与抽象是独立来源——系统可以完全可见但读不懂。两者叠加时（既看不见又读不懂）才最难救；写作与评估时别把两类混为一谈。
- 小系统靠记忆代偿。 单个设备、几条规则时，用户能凭安装记忆补全不可见的部分；设备与规则过了十几条，记忆代偿失效，不可见的账开始累积。
怎么落地
- 为每一条自动化保留一个可发现的运行入口：不主动打扰，但随时可查「现在正在发生什么」——当前生效的规则清单与各自的最近触发时间。
- 关键状态变化保留事后可查的历史，即使不做实时展示；故障定位靠的是时间线，不是靠当时的注意力。
- 在静默动作的后果显形处给出出口：用户发现「灯自己关了」的那一刻，现场就要能查到是哪条自动化做的、如何关掉它。事后隔小时的客服式排查等于没有出口。
- 验证办法：抽查用户「家里现在有几条自动化在生效」的答对率；做一次故障演练，度量从现象出现到正确定位层（设备/网络/规则）的时间。这两个数不达标，消隐就是在透支可控性。