Z2.06.3Personal and shared context设计
个人情境与共享情境的采集边界不同
别名: 个人情境 · 共享情境 · 采集边界
概念解释
按情境描述的对象分：个人情境描述一个人——某人的位置、活动、状态；共享情境描述一个空间或一群人——客厅的气氛、在场的人群、正在进行的共同活动。两者的采集边界不同：个人情境原则上可以由本人同意、在本人设备上完成；共享情境物理上就涉及多人，任何一个人的同意都覆盖不了其余的人。
边界划分是一个设计决策，不是自然事实：「这间屋子有人」可以由空间传感器测（共享情境），也可以由在场每个人的手机汇总得出（个人情境的聚合）——同一件事有两种采集方式，隐私性质完全不同。
机制
共享情境的信号在物理上不可分割。房间麦克风收到的是混合声场，毫米波雷达看到的是「三个人」，摄像头拍到的是整个沙发——没有办法只采集「我的那一份」。空间级设备一旦开启，采集范围就是整个空间和其中所有人。
由此产生同意结构错配：签用户协议的是账号主人，被空间传感器覆盖的是配偶、孩子、来访的朋友——同意者与被采集者不是同一群人。个人情境没有这个错配：谁的数据谁同意。
边界还决定了撤出的可能性。个人情境可以单方面退出（关掉自己的定位）；共享情境里的非主人想退出，只能物理离开空间或要求主人拆设备——退出权不在被采集者手里。这两条性质（不可分割、不可单方撤出）是共享情境采集边界必须比个人情境收紧一档的原因。
边界
- 个人/共享可以互相转化。 伴侣间共享位置是自愿把个人情境变成共享情境；关系结束后撤回，系统必须支持这种收回，否则「暂时共享」变成永久记录。
- 家庭内的权力不对称让「个人同意」失真。 孩子对家里装摄像头没有否决权，经济依附者的「同意」未必自由。把协议签署当作采集正当性的全部依据，在共享空间里会系统性高估同意质量。
- 聚合不自动去敏感化。 三个人的位置拼在一起能推出第四个人的行踪（总有人不在场记录里却是室友关系网）——「只采个人情境」做得很干净，拼出来的共享图景照样泄露他人。
怎么落地
- 采集优先级：能从个人设备推断的，不用空间设备。「家里有没有人」先试在场手机的聚合，空间传感器只做兜底（防盗场景确实需要时再上，并配可见指示）。
- 空间级传感默认范围最小化：感知「有人/无人」用存在传感器就够了，不上摄像头；判定「安静/嘈杂」用声级计，不录音频内容。
- 共享情境的采集状态对在场所有人可见——包括没有账号的访客；撤出路径写给被采集者而不只是给账号主人。
- 验证办法：给每条自动化列数据源清单，逐条检查「是否存在只经一人同意、却覆盖多人的信号源」。清单里每出现一条，要么补齐告知与可见性，要么降级为个人设备采集。