隐私分层：把「看着房间」的机器人卖出信任感

带摄像头和毫米波的陪伴机器人，信任问题来得比技术问题更早。买家会问：它在看吗？谁能看？能关掉吗？用架构回答的产品卖得动；用文案回答的产品退货率说话。

第一层：硬件静默

最硬的回答是物理的：摄像头遮蔽片，或者「雷达模式」——雷达工作、摄像头供电轨直接切断。机械选择的说服力是设置菜单永远到不了的：用户肉眼看见镜头被挡住。

第二层：本地推理

识别在设备上跑，原始视频不出设备。上行的是元数据——事件类型、时间戳、置信度——加上用户主动授权后的快照。这也是监管审查里最好辩护的架构。

第三层：传输

设备发起的 TLS 连接、鉴权端点、防重放。设备推给云，而不是云来取；不存在云端打开摄像头的路径。

第四层：账号

家庭成员看到的范围不同：照护者看告警，家长看历史，访客什么都看不到。权限按人分、可撤销，撤销在设备上生效，而不只是仪表盘上变灰。

隐私是卖点，不是合规税

我们从硬件方案阶段就把这四层放进去，因为它们改变选型（遮蔽片是一个零件，雷达模式是一个功耗状态机）。发布材料里把四层讲清楚的客户，退货更少、评价更好。