Z6.05.2Recording versus live viewing设计研究
录像与实时查看的隐私风险等级不同
别名: 录像与直播 · 永久化风险 · data permanence
概念解释
同一台摄像头，「按需看一眼」（实时查看）和「持续录像存储」是两个隐私等级，不应混为一谈。录像意味着永久化：内容脱离发生时刻而存在，可回放、可检索、可下载、可传阅、可被泄露；实时查看是瞬时消费，看完即散（除非架构上另有留存）。
混淆在产品语言里被制度化了：「看家摄像头」的营销把「随时看看」的安心感与后台默认开启的连续云录像捆绑销售——用户买的是「看看」，得到的是一份每天都在增长的档案。这条区分说的就是：评估家用摄像头的隐私时，第一个要问的不是「拍不拍」，而是「留不留」。
机制
风险的差异来自数据存在时长这个变量：
- 实时查看的风险窗口 ≈ 观看时长。事件发生、被看、结束，不产生可回溯的副本（在本地直连架构下）。
- 录像把风险窗口拉长到留存期 × 可触达面。一旦存储，账号被盗、平台漏洞、内部人员、执法调取、家庭内部的恶意使用（回放作为争执证据）全部成为可能；风险不再随「看完」衰减，而是随副本数量增长。
录像还改变被拍者的社会计算：知道「此刻可能永久留存」与知道「只在他看的时候存在」，是两种完全不同的在场心理——前者让人在自家客厅也自我审查。这就是为什么同样的镜头位置，「只实时看」往往能被家人接受，「开录像」立刻引发反对：两种模式触碰的隐私层级不同。
怎么研究
- 访谈与风险排序研究：让用户对若干场景排序感知风险（纯实时查看 / 本地录像 / 云端录像 / 云端可分享录像），再与安全分析给出的实际攻击面对照，考察感知与实际的偏差方向。智能家居隐私访谈（如 Zeng、Mare 与 Roesner 2017 年的 SOUPS 研究）里，用户对「录像存在哪、存多久、谁能看」的追问集中出现在摄像头话题上。
- 留存政策审计：抽取市售产品，审计其默认留存时长、删除的真实生效路径（删除后副本是否立即不可恢复），度量「产品宣称」与「数据现实」的差距。
- 接受度对照：同一空间，实时查看与录像两种模式分别部署数周，跟踪家人接受度的变化轨迹。
方法论注意点：感知风险的排序要在家用语境里测——搬进实验室的「监控」语义会让被试一律给最高分，区分度消失。
边界
- 实时查看不是零风险。 偷窥、凭据泄露、流被截获都存在；它是等级更低，不是无害。把它当「无风险」宣传与把两者混为一谈是同一种错误。
- 「实时=不留痕」依赖架构。 大量产品的「实时查看」经服务端中转，服务端留下了连接记录甚至缓冲副本——瞬时性只在本地直连架构下成立。判断时先确认数据路径，再下结论。
- 录像的敏感度随内容分级。 门口录像与卧室录像、含音频与不含音频，不可用同一把尺；「录像」二字覆盖的风险谱系太宽，评估必须落到内容与位置。
怎么落地
- 把两种模式做成显式选择：默认按需查看；连续录像作为单独的、逐设备开启的选项，开启时明示留存时长与存储位置。
- 留存期限默认短、显式可调（如 3 天/7 天/30 天档位），到期真实删除；「无限期保存」不设为默认值。
- 产品语言不得混卖：文案里「随时看看」的功能页必须同时说明当前录像状态；把「看家」叙事用在默认录像的产品上属于误导。
- 敏感空间（卧室、卫生间）禁用录像而只保留事件级抓拍——或者干脆不装，由家庭协商决定，但产品侧要给这个选项。
- 验证办法：随机问用户「你的摄像头现在在录像吗？存多久？存在哪？」三个问题。答不出的人有多少，模式混淆就有多严重。