Z2.05.1Physical indication of capture设计研究
采集状态需有物理可见指示
别名: 采集指示 · recording indicator · 采集可见性
概念解释
采集的正当性依赖一个最低条件：被采集者能察觉采集正在发生。看不见的采集无法被质疑、协商或回避——知情的社会机制以可见性为前提。因此带麦克风、摄像头的设备应有一个不依赖软件的物理层可见指示：不打开任何 app、不需要任何账号，站在房间里就能看出它在不在工作。
这是一条原则而非工程细节：它要求采集行为与空间内所有人可感知的信号绑定。指示装置具体怎么做、何时亮、如何防规避，是另一层工程知识的事；这里立的是「必须存在」与「为何必须」。
机制
为什么必须是物理层：软件指示（屏幕图标、app 状态页）的可达性随观察者身份坍缩——它要求观察者持有设备、装着 app、屏幕亮着、软件没坏。对空间里的其他人（访客、家人、被临时观察的人），这四条通常不同时成立；断网与故障场景下全部不成立。物理指示（LED、机械快门）不经过这套依赖链，对房间里所有人同等可达。
更深一层：采集与指示分离后，理性的旁观者只能假设一直在采集。用户无法区分「没在录」与「在录但没显示」，不确定性下的保守策略就是默认不信任——一条物理指示的价值不在它亮着时告知「在录」，而在它熄灭时可信地传递「没在录」。没有它，设备买进家门的那一刻就永久损失了「不在工作」的表达能力。
怎么研究
- 可见性与感知的研究：对带摄像/录音设备的研究与公开讨论普遍发现，人们对「看不见是否在录」的设备表现出持续的不安，而硬件指示的存在显著改变感知与使用意愿（智能家居隐私研究可泛引，Zeng、Mare 与 Roesner 2017 的调查即记录了用户对采集可见性的诉求）。
- 合规基线：采集告知在多数数据保护框架下是法定义务（泛写），但「隐私政策里写了」不构成空间内的有效告知——研究 关注的是现场可见性（in-situ notice）这一独立层次。
边界
- 指示解决的是诚实的设备。 可被刷掉固件、贴掉的指示灯防不了恶意改造；物理指示是社会信任的基础设施，不是反恶意的技术防线。
- 常亮的指示没有信息量。 永远亮着的灯很快被读成装饰，指示必须与实际采集状态联动——「何时该亮」的严格性是工程层的独立问题。
- 可见性不等于同意。 看见在录只是知情的最低形态；被动进入空间的人没有做出过同意，那是同组另一条的事。
怎么落地
- 任何带麦克风或摄像头的设备保留硬件层指示，作为不可卸载的产品要素，与采集同源驱动——采集电路工作，指示就在。
- 指示不可被 app 设置永久关闭（可暂时遮蔽用于演示，不可静默禁用）。
- 采购侧把「有无硬件指示」当验收项：新设备进门时，站在房间任何位置应能直接回答「它在工作吗」。
- 验证办法：随机时刻比对指示状态与实际采集日志的一致率——指示说在录时确实在录、说没录时确实没录，两个方向的错位都要记。