Z6.03.1Incidental information disclosure设计研究
个人信息不应在共享设备上显示
别名: 共享设备隐私 · 意外披露 · shared device privacy
概念解释
共享表面——厨房平板、带屏音箱、电视、门禁面板——的物理受众是房间里所有视线所及的人，而系统的信息路由按账号走：日历提醒、消息预览、用药闹钟、快递详情都推给「账号所有者」，实际却显示给在场每一个人。个人内容出现在共享表面，是一次意外披露（incidental information disclosure）：披露的受众由设备位置决定，不由内容的主人决定。
机制
路由错位的根源是系统只有「账号→设备」的绑定模型，没有「内容敏感度 × 表面受众」的匹配模型。通知系统假设显示即送达目标用户；在共享表面上，显示等于向不可枚举的受众广播——路过的家人、来做客的朋友、上门的维修工都在视距受众里。
次生损耗有两种走向。主人意识到泄漏后自我审查：把数字生活迁回私人设备，共享表面退化成装饰。或主人没意识到，内容持续泄漏——亲戚做客时，冰箱屏弹出配偶的复查提醒。两种走向都在侵蚀：前者侵蚀共享设备的价值，后者侵蚀家庭成员间的信息边界——家里每个人的「谁知道我的事」，变得不再由自己参与决定。
怎么研究
- 智能家居隐私调查与访谈（泛写）：共享表面的意外披露是用户报告的高频隐私事件；用户自发的对策——关通知、分账号、拿便签挡屏幕——本身就是路由失败的证据。
- 边界管理视角：家庭隐私研究常借用传播学的传播隐私管理理论（communication privacy management，Petronio）作分析框架：信息的所有者对披露范围有规则；技术若绕过规则替人披露，冲突进入关系层面，而不仅是数据层面。
- 变量：哪些内容类别被用户路由到共享表面与私人设备（卡片分类、日记法）、意外披露事件率、自我审查行为的发生率。
边界
- 「个人信息」不是固定类别而是关系性判断：家庭日历本来就是给全家人看的。失效的判据是非互惠披露——受众不是内容主人选择的那批人。按类别一刀切（例如禁掉所有健康类内容）会把家人该看的也挡掉。
- 安全例外的位置：用药提醒、跌倒警报这类内容，价值恰恰在于让在场者看见——设计要支持显式升级（「这一条允许上共享屏」），而不是让例外走后门。
- 无屏家庭面对的是音频版同题——音箱把内容念出来。媒介不同，路由逻辑同构：问题都在「显示」这一步缺少受众模型，不在媒介本身。
怎么落地
- 表面分级：每块共享表面有敏感度档位，默认「家庭级」——只显示全家共有信息（公共日历、门口摄像头、家庭待办）。
- 路由按受众不按账号：账号级推送默认进个人设备；要上共享表面必须显式「升级为家庭可见」。
- 访客在场时提供一键收敛（访客模式）：压掉全部个人类内容，只留家庭级——这一键同时是给主人的操作和给客人的交代。
- 验证办法：审计一周内共享表面实际显示过的内容，逐条问「在场每一位（含访客）都知情并同意看见这条吗」——每一条「否」都是路由缺陷，数出来就是改进基线。