Z3.06.1Takeover设计研究
用户需要能随时中止正在执行的自动化动作
别名: 接管 · abort · 中止 · stop control
概念解释
正在执行的自动化动作——一段联动序列、一个持续动作（加热、播放、清扫、行驶）——必须能被用户当场中止。这是接管（takeover）在时间维度的要求：不是「关掉这个功能以后不用」，而是「现在、立刻、停下来」。
动作的时长决定了中止权的价值：瞬间完成的动作（开一盏灯）无法中止也无须中止；持续数秒到数分钟的动作（清扫机器人起步、暖气持续加热、一段十五秒的全屋播报）必须可以中途叫停，因为执行中正是「发现不对」的窗口——动作还没完，损害还没成，此时叫停成本最低。
机制
自动化动作有两个风险窗口：决策前（触发错误——本来就不该开始，那是意图推断的问题）与执行中（动作本身出错或情况变了）。中止权针对第二个窗口：扫地机器人开始缠窗帘、播报放错场合、暖气把房间烘过头——这些都是在动作进行中才显形的问题。
中止入口的可达性有个天然的不对称：启动是计划内的，中止是应急的。启动时用户可以走到设备旁、打开应用慢慢找；中止时用户可能在另一个房间、双手 occupied、只有几秒钟。所以中止入口必须比启动入口更可达——全局语音指令「停」、设备上的物理按键、手机首屏——而不是对等可达。
缺少中止的深层代价在学习侧：一旦启动就无法叫停的功能，在心理上不可撤回；不可撤回的功能每次启用都是一次风险决策。用户学到「开了就停不下来」之后，不是更小心地用，而是不再用——中止权的缺失以弃用结账。
怎么研究
- 自动驾驶接管研究（takeover request, TOR）：量化从提示/意识到实际接管的时间与质量——接管时延、接管后控制质量随自动化水平与非驾驶任务的负载变化。核心结论可迁移到环境自动化：接管能力随脱离程度衰减，中止通道的设计必须考虑用户当场的注意状态，而不是假设人随时待命。
- 模式错误研究：无法停止的行为把用户卡在不想要的模式里，中止权是模式逃逸的最低保障。
- 方法：中止可用性测试——在动作执行的各阶段注入「用户想停」事件，度量从意图到实际停止的时延与操作步数；跨距离、跨通道（隔壁房间喊话、手机、物理按键）分别测。
边界
- 中止语义要按动作类型分级：立即停（播放、播报）、安全停（门锁动作要停在一致状态而不是半锁）、完成当前步骤后停（清扫机器人先脱困再停）。统一「立即停」对某些动作本身制造危险。
- 语音中止依赖识别可靠：嘈杂环境、口音、儿童发音的中止指令可能不被识别——应急通道不能单点依赖概率识别，语音+物理+应用至少两条可用。
- 中止不等于撤销：中止停在当下（别再继续），撤销回到之前（把已发生的退回去）。两者都需要，别用一个冒充另一个；这条只管前者。
怎么落地
- 每个持续超过数秒的自动化动作提供即时中止：物理按键或全局语音指令「停」，响应预算在秒级。
- 中止反馈要完整：动作停了、设备停了、后续步骤也取消了——序列动作停了第一步第二步还继续，是最常见的实现坑；三件事分别确认。
- 中止后进入安全态：播放停在暂停、移动设备停在原地并脱困、加热停在断电——不是悬在半途。
- 验证办法：中止演练矩阵——动作各阶段 × 各通道 × 各距离的中止时延逐一实测；序列动作中止后逐步检查有无「幽灵步骤」。