Z2.01.2Sensor fusion and inference creep设计研究
融合可提高置信但放大隐私暴露
别名: 多传感器融合 · 推断蔓延 · inference creep
概念解释
多传感器融合（sensor fusion）让多种模态互相印证，判断置信高于任何单源——这是环境计算提高可靠性的主要手段。但同一次融合也在放大隐私暴露：每加一种传感器都扩大采集面，且组合数据的可推断内容超出各单源之和。置信收益与隐私代价出自同一个动作，这个捆绑是融合的固有性质，不是实施不当。
「放大」有专门的名字可查：推断蔓延（inference creep）——单项数据看起来无害，组合起来推断出的东西是任何单项都不包含的：位置 + 时间 + 用电曲线 = 作息与在家规律；加速度 + 位置 = 身份与健康状况。
机制
置信从哪来：不同模态的失效条件不重叠。摄像头怕黑，热释电不怕但无身份；麦克风怕噪声，门磁不受噪声影响但只有开合。互补的模态联合后，单源的盲区被彼此覆盖——这是统计意义上的增益：近似独立的信息源合并时，联合后验比任何单源尖锐。
暴露从哪来，三层。其一，泄露面是并集：融合系统各自保存每一路原始数据，任何一路泄露都是全部泄露。其二，关联即增值：各源数据只要可关联（时间戳对齐、同一账号体系），组合推断就产生新数据——「用户晚间在卧室走动」这条新事实比任何单路原始数据都敏感。其三，用户预期失锚：用户能预期「摄像头看到画面」，无法预期「电流曲线推出我今晚没睡」——对组合推断没有形成同意的基线，这正是隐私争议的爆发点。
怎么研究
- 融合增益测量：多传感器活动识别研究的标准做法是对比单模态与融合的分类性能，增益普遍存在且随模态互补性增加。Bao 与 Intille 2004 年的工作也属此类——多个身体部位加速度计联合识别优于单部位，说明增益来自信息源的多样而非数量。
- 组合推断的感知研究：智能家居隐私实地研究发现，用户对「数据被组合推断出超出预期内容」的担忧显著高于对任何单一设备的担忧（Zeng、Mare 与 Roesner 2017 年对智能家电用户的调查），且用户普遍缺少对数据流向组合的可见性。
- 最小化对照：同一功能在「全量原始数据上云」与「本地融合、仅上传事件」两版间比较功能损失与暴露面，是数据最小化研究的常见设计。
方法论注意点：融合的置信增益要在跨家庭数据上测，不能只在与训练集同分布的数据上测——增益可能在个体差异下消失。
边界
- 增益取决于失效条件的互补性，不是传感器的数量。 两个摄像头是同类冗余，光照变化下同时失明；热释电加毫米波才是真互补。
- 隐私放大以可关联为前提。 时间戳对齐、统一账号、集中云存储是关联的管道；各源本地隔离处理时，组合推断被物理截断——设计上有真实的调节手段。
- 融合推断的产物本身是新数据。 「睡觉了」这条推断即使原始音视频不出家门，也随事件上报离开了采集现场——粒度决定剩余暴露，本地处理不等于零暴露。
怎么落地
- 按「决策需要什么证据」倒推传感器组合，不按「还能加什么」堆；每加一个传感器，写下它覆盖哪个失效条件，写不出来就不加。
- 融合在本地网关完成，只上传事件级结果（「无人」而非视频流）；各路原始数据独立保留期，到期删除。
- 给用户一份「这条自动化用到哪些传感器、各自看到什么」的清单，让组合推断可被审视。
- 验证办法：逐条自动化做减法测试——依次砍掉每个传感器看功能是否仍成立。砍到不能砍的最小集合才是必要的；剩下的都是纯暴露。