Z1.05.2Uncertainty about sensing activity设计研究
用户难以判断设备是否仍在采集或运行
别名: 运行状态不可判 · is it on · 采集状态不确定
概念解释
「关了没有」在普通家电上是一个可回答的问题——开关有物理位态，灯亮即是开。隐形设备把这个判断拆掉了：语音音箱用常亮待机电路等唤醒词，传感器安静地周期上报，摄像头的「关闭」可能只是「不推送」。用户面对的不是一个开关状态，而是一串无从验证的承诺：厂商说隐私模式下不录音，但此刻它有没有录，没有任何可观察的证据。
这不是偏执，是认识论上的真空：运行与采集状态对用户原则上不可判读，用户只能选择信或不信，无法选择去查。术语上有用 "is it on?" problem 概括这类困境的做法。
机制
为什么状态变得不可判读？三个来源叠加。
待机与工作物理上无差别。 传统设备的「开」伴随可感知的副作用（声音、光、热），副作用就是状态的免费证据。隐形设备把工作态的物理痕迹压到环境噪声以下——无风扇、无光、微热——证据链断了。
「关」是一个软件承诺而非物理断开。 软开关关掉的是功能层，采集硬件可以仍在供电仍在感知；深度睡眠、固件唤醒、云端远程唤醒都在「关」之后仍可能发生。用户按心智模型把「关」理解为物理断路，系统实现的是策略声明。
状态语义分裂。 一台设备同时有电源态（通电）、感知态（传感器采样）、网络态（连网）、服务态（云端功能）四个维度，「开/关」一维标签覆盖不了四维实况——摄像头可以「开着但不录像」「关着但仍在动侦测」。用户问的「它在运行吗」没有单一答案，而设备很少把这四个维度分开呈现。
怎么研究
- 感知与实况的对照研究：入户测量用户对「哪些设备正在采集/联网」的判断，与流量监测或固件状态对照。智能家居隐私研究的稳定发现是用户判断与实况系统性偏差——既有漏报（不知道在采），也有多报（对已断电设备的持续不安）。
- 「关」的语义访谈：请用户解释某设备「关掉之后」他们认为发生什么，与实际固件行为比对，暴露软关/硬关的心智模型缺口。
- 信任与补偿行为研究：考察不可判读状态下的行为代偿——物理遮挡摄像头、拔电源、路由器断网——这些行为本身就是「状态不可判、只能物理化」的证据。
方法论注意点：这类研究对参与者技术素养敏感，招募要分层；自报告偏差大，尽量配网络层实测。
边界
- 不可判读是程度问题。 有物理快门的摄像头、有继电器硬断的插座，把「关」重新变成物理事实——判读性可以买到，成本是电路与结构设计。
- 厂商的透明声明部分有效。 定期发布透明度报告、第三方审计的存在能改变「信不信」的基础，但改变不了「此刻」的不可验证性——声明降低的是期望风险，不是观察不确定性。
- 多报的代价也是代价。 用户对已关闭设备的不安会驱动过度补偿行为（频繁断电），这本身损耗体验；不可判读性的代价两侧都要算。
怎么落地
- 把「关」做成可分级的物理事实：至少给采集通路一个硬断档（摄像头物理遮蔽、麦克风继电器断路），让「关」回到用户心智模型里那个词的含义。
- 状态维度分开呈现：供电、感知、联网、云端服务四个状态各自可查，别用一个「开/关」覆盖四维实况。
- 用环境副效应重建证据链：采集时留一个可感知痕迹（哪怕微弱），让运行状态像传统家电一样「自带证据」。
- 验证办法：随机时刻入户抽问「现在哪些设备在采集」，与实测对照；正确率与过度补偿行为发生率（拔电、遮挡频率）两个数一起看。