Z2.07.4Explanation granularity trade-off设计研究
解释粒度过细会暴露超出必要的传感器细节
别名: 解释粒度 · 解释的暴露代价 · granularity of explanations
概念解释
解释要求具体，但具体有上限：解释粒度过细，会顺带暴露超出判断所需的传感器细节。「你被判定在睡眠」解释到「卧室麦克风检测到鼾声」这一层，用户（以及听见的任何人）同时得知：卧室有麦克风、它在采声音、它听得出鼾声——这三条信息对理解判断没有必要，对绘制监控地图却非常有用。
可解释性与隐私在粒度这一维上直接交易：粒度从粗到细大致分四层——功能层（睡眠监测在运行）、信号类层（依据声音信号）、设备层（卧室的麦克风、装在床头）、原始数据层（昨晚 23:14–6:32 的鼾声录音）。越细越可证伪、越可纠正，也越暴露。
机制
为什么暴露随粒度非线性增长？因为细粒度解释泄露的不只是「这一条判断」的信息，而是系统能力的底牌：
- 设备层解释暴露传感布局。「床头麦克风」三个字同时交代了设备类型、位置、灵敏度——听者无须任何探测就完成了本来需要侦察才能获得的监控地图。对访客、保姆、维修工这类临时在场者，一句解释就是一份设备清单。
- 原始数据解释暴露保留能力。 能回放「23:14 的鼾声」说明系统存了音频——这比「在监测」严重一个量级：监测是现在时，留存是无限将来时。用户对「被记录」的敏感度远高于「被感知」，解释失手把前者抖出来，信任损失加倍。
- 粒度一旦给出收不回。用户界面没有「遗忘解释」——看过设备层解释的人不可能退回到只知功能层。粒度选择是不可逆的信息披露决策，每次都按「最少够用」给。
反向的力同样真实：粒度不足则解释不可证伪（对照同组关于具体信号的要求），用户纠正无门。所以这是一个真实的双向约束，不是「越粗越安全」——粗到功能层，解释名存实亡。
怎么研究
- 隐私文献里的隐私边界管理理论（communication privacy management）给出分析工具：信息披露的规则随关系（主人/访客）、情境（日常/故障）变化——粒度策略本质是一套边界规则，可借用其研究方法（不同关系受众对粒度的接受度测量）。
- 可解释系统研究的评测可平移：同一判断配不同粒度的解释，按受众分组量三件事——可证伪性（用户能否对照现实发现错误）、纠正命中率、隐私不适感。三条曲线随粒度的走势不同，交点即给该受众的合理粒度。
- 泛写方向：智能家居用户研究里反复出现「用户不知道设备在采什么」的发现——粒度研究的另一半问题是默认粒度该定在哪，及向谁提供细化路径。
方法论注意点：受众要含非账号持有人。多数研究只测主人；对访客与儿童，「家里有什么传感器」本身就是新信息，同一句解释的伤害量级完全不同。评测设计里把受众当自变量，不当控制变量。
边界
- 故障时刻例外。 排障确实需要设备层甚至数据层细节——粒度策略要给「故障模式」开白名单：验证身份后展开细粒度，日常解释停在信号类层。风险与诊断需求在这里倒挂，别用一把尺子。
- 最小够用因动作而异。 目的是「知道系统在想什么」时功能层够用；目的是「纠正一个错判」时需要信号类层；目的是「修传感器」才需要设备层。粒度跟着用户当下要做的动作走，而不是全局一刀切。
- 学习型模型的归因解释天然偏细。 特征归因常列出全部贡献特征（设备静止、位置、时段、Wi-Fi 状态……），信息量等于半份传感器清单——对这类解释要主动做特征挑选与合并，不能默认全量输出。
怎么落地
- 默认解释停在信号类层（「依据夜间的声音与移动信号」）；细化到设备层需要一步显式操作（长按/展开），且故障排障场景外不主动给。
- 原始数据永不进解释——回放能力单独走授权流程（主人身份验证），与解释入口分离。
- 解释文案过一遍受众检查：这句话若被访客听到、被截图外传，泄露了什么？设备型号、位置、留存策略三类信息在解释里出现必须过评审。
- 验证办法：红队式审计——拿产品全部解释文案当输入，看能拼出多完整的传感布局图。拼图完成度超过「信号类层」即不合格；审计应包含截图传播场景（解释脱离上下文后的信息量）。