上下文感知机器人的隐私框架

上下文感知机器人开发的隐私框架

1 引言

社交机器人在家庭环境中变得越来越普遍，既用于服务任务，也用于教育和娱乐目的[1]。机器人很快将成为我们日常生活的一部分，其任务不仅限于扫地清洁或割草等家务任务。此外，它们还将在各种生活状况中成为助手。多项研究调查了人们对机器人功能的偏好，并确定了诸如提醒、信息提供、医疗监护、烹饪辅助、认知与社交支持、对话交流、播放音乐、智能家居集成、娱乐等任务[2–4]。因此，机器人通常配备多种传感器，如摄像头或麦克风，并连接到互联网以访问信息。这些传感器使机器人能够感知其环境，移动并与其居住者互动以提供帮助[5]。机器人在家庭环境中的行为方式引发了新的伦理挑战和风险，需要加以应对[6,7]。

这些担忧包括，例如，自主性、责任、信任、失去控制、隐私泄露、丧失个人自由以及对人机关系的伦理问题。上述大多数伦理问题都与隐私密切相关。机器人提供的任务和功能越多，所收集的数据就变得越广泛和复杂。一个简单的扫地清洁机器人以随机方式清洁地面。相比之下，具备用于障碍物识别和家庭环境建图的附加传感器的智能扫地清洁机器人，能够获取整个家庭环境的数据。此外，如果还能通过其他智能家居设备启动机器人，则可获得网络中其他设备的相关数据[12]。

机器人可以自主地移动，并随时随地进行记录。因此，收集和处理的信息可能包含用户的敏感数据，不仅涉及用户自身，还涉及他们的环境[13]。机器人将了解用户的习惯，偏好、爱好、疾病以及用户的个人信息。此外，机器人会绘制家庭地图并控制智能家居设备。机器人对其他系统的控制引发了关于如何保护这些敏感信息的讨论，并呼吁开展负责任的保护隐私的研究。

隐私不仅涉及来自外部的威胁，(网络‐)攻击或黑客。此外，还需考虑机器人制造商和服务提供商所带来的风险，例如数据的滥用或未经授权的数据销售[14]。隐私和数据保护是《欧盟基本权利宪章》所确立的基本人权。此外，个人数据处理必须对用户透明，且处理行为必须合法。必须遵守目的限制和数据最小化原则，参见参考文献[15]。此限制意味着提供机器人及其服务的公司不能随意追踪任何信息，而必须具有特定的目的。通用数据保护条例(GDPR)[16]要求在开发过程中审慎应对以尊重隐私，从而保障欧盟用户的权利。负责任的研究意味着伦理原则以及隐私必须与安全和安全一起成为开发过程的核心部分。“机器人的普遍性和侵入性”在家庭环境中的存在需要对关键情况进行有意识的审查，以尽量减少潜在风险[18]。

本文提出了一种针对家用机器人的隐私框架。通过将通用IT服务中的隐私方法论进行调整，提出了一种面向实践的设计保护隐私(PbD)原则概念（PbD）原则[19]。该隐私框架与以用户为中心的设计概念相关联，以提供相互关联的阶段概览。尽管用户扮演着重要角色，但用户参与并非本文的重点。相反，本文重点仅放在简化隐私风险评估的方法论上。该隐私框架旨在为社交机器人进行风险评估，同时兼顾安全与安全问题。为此，提出了满足尊重隐私开发原则的方法。

接下来，第2节概述了服务机器人的现有隐私原则。主要概念被证明是缺乏具体指导的理论方法，且这些方法将隐私与安全等同，并仅关注外部威胁。第3节提出风险管理周期的阶段，并介绍重要方法论。所提出的流程和方法随后通过一个用例进行示例演示。以具备社交互动和认知支持能力的机器人作为用例场景，强调数据保护的重要性。此外，在机器人传感器、集成数据处理服务以及由此类场景衍生的用户信息的上下文中提供隐私保护。

2 社交机器人上下文中的隐私原则

随着社交机器人（尤其是家庭环境中的社交机器人）的隐私问题受到越来越多的关注，人们提出了各种想法和初步应对这一主题的方法。丹宁等人[20]提出了首个概念。该概念通过一个问题清单来识别设计决策中需要考虑的特定隐私和安全相关方面。这些问题主要集中在社会、环境和技术因素上，例如预期功能性、用户和使用场景、执行器和传感器，以及对隐私、人身完整性、人身安全或心理脆弱性的威胁。

其他概念关注各种传感器所隐含的风险[21–24]。莱拉等人根据“隐私泄露”的程度对传感器进行分类，等级从1到5(非常低到非常高)，重点关注个人和环境信息的披露情况[21]。相机被归类为4级，因为它可能泄露个人及环境的私密图像。文中指出，多种传感器的融合被认为是最危险的。此外，还需考虑数据处理的执行位置，因为记录的原始图像需要进行分析。艾克和安东不仅指出了潜在风险，还强调了传感器选择的重要性[24]。研究人员和开发者必须根据已识别的需求和特定的上下文谨慎选择所需传感器。目标是仅选用必要的传感器。在机器人开发中集成隐私相关模型的上下文中，此前已强调过谨慎的传感器选择[23]。塞尔乌多和阿帕提供了某些传感器在私人住宅中可能带来风险的额外示例，例如间谍活动或智能家居操控[22]。

此外，在鲁本等人举办的一个研讨会中，隐私主题被划分为七个具体的研究领域：“数据隐私；操控与欺骗；信任；责任与透明度；法律问题；具有特殊隐私关注的领域；以及隐私理论。”他们特别指出，法律问题的主要重点是所谓的“用户隐私教育”。此外，还强调了跨学科合作的重要性。

跨学科的交流是有益的，这一点在隐私保护设计原则中得到了体现。最初的隐私保护设计方法由 Cavoukian等人[19]提出。该概念涵盖了隐私的七个基本设计原则。这七项原则旨在为有意义的开发建立基本规则。然而，该设计保护隐私概念也受到质疑，因为其未讨论隐私问题的复杂性和多样性，也未指定可用于识别特定风险的系统性方法[26,27]。尽管如此，这一广义且理论化的设计概念已被律师帕加洛在家庭用机器人上下文中加以调整，称为机器人云by design[28]：

(1) “我们必须以主动而非被动的方式来理解数据保护，使‘按设计保护隐私’（PbD）具有预防性而不仅仅是补救性。(2) 个人数据应在每个机器人系统中自动受到保护，并将其作为默认状态。(3) 因此，数据保护应被嵌入到应用程序的设计之中。(4) 基于(2)和(3)所衍生出的原则的完整功能，能够实现正和或双赢局面，从而避免权衡取舍（例如，隐私与安全之间的权衡）。(5) 从摇篮到坟墓、从开始到结束或端到端生命周期保护，确保在机器收集任何一条信息之前，隐私保护措施就已经生效。(6) 无论涉及何种技术或商业实践，设计项目都应使数据保护机制对机器人用户和提供商而言都是可见且透明的。(7) 最后，该原则‘要求架构师和运营商将个人的利益置于首位，提供强有力的隐私默认设置、适当的告知以及赋予用户友好的选择权’[19]。换句话说，按设计机器人云需要以个人为中心的用户隐私尊重。”

本概述表明，目前已存在一些理论概念和方法论，它们阐述了注重隐私敏感性和尊重隐私的机器人技术的重要问题。然而，在社交机器人领域，尚无明确且形式化的模型和方法论将这些理论方法付诸实践。所提出的理论概念和方法在复杂的机器人技术领域中缺乏可实现性和实际应用。此外，现有理论方法在隐私方面的考量尚不充分，因为其概念主要聚焦于安全问题。隐私不仅涉及来自外部的风险，例如受到黑客攻击或数据窃取的威胁，还包括向机器人保护敏感信息的问题。制造商和伴随的服务提供商防范滥用[29]。因此，这是社交机器人学上下文中的一个重要研究领域。下一节将详细介绍示范编程（PbD）及其方法论，作为量化评估的基础。

3 风险管理周期

正如PbD方法所提出的，隐私概念的整合具有根本重要性。来自标准IT服务的方法论被转移应用于满足社交机器人开发的需求，以提出一种基于实践的概念，确保开发过程具有隐私敏感性和对隐私的尊重。用于隐私增强的选定方法论被嵌入到一个包含三个步骤的风险管理周期中：风险识别、风险分析和风险缓解。这种基于风险的方法也可应用于数据保护影响评估(DPIA)的上下文中，涵盖风险评估所需的相关步骤和方法[30,31]。

设计思维过程旨在阐明各流程步骤与所提供的隐私方法论之间的关联。主要来说，设计思维过程的步骤与 ISO9241‐210标准中的开发过程步骤相似。需要指出的是，用户应发挥关键的决策作用，并在整个周期中积极参与。参与意味着用户可以表达潜在的担忧，并意识到其他风险。但本文的重点并不在此，而是旨在提出用于风险机器人评估。因此，隐私框架的三个步骤旨在实现以下目标： – 风险识别根据必要的传感器和所需信息，明确已定义功能可能存在的隐私风险。 – 作为第二步，风险分析涉及对效益与风险的合理衡量，并针对选定的开发概念进行隐私要求的分析。 – 适当的隐私保护措施需满足已分析的隐私要求，并在风险缓解阶段确定并实施。

3.1 风险识别 – 七种隐私类型

第一步旨在识别社交机器人潜在功能在家庭环境中的隐私风险。在此情况下，将重点关注家庭环境这一复杂场景。为了能够识别该特定用例中的所有相关隐私问题，采用了芬恩等人提出的“七种隐私类型”模型。Seven types of privacy由芬恩等人提出[33]。该模型相较于莱拉等人所提出的个人与环境信息的二分法提供了更为复杂的分析框架。这种区分有助于更精确地识别具体的风险。

各类隐私定义如下：

• 个人隐私涵盖身体完整性的权利，包括基因和健康数据、医疗状况以及与个人身体功能相关的所有数据。
• 行为与行动隐私涉及有关日常习惯、活动、偏好和个人态度的私人信息。
• 通信隐私通过电子邮件、通话或消息等通信渠道影响信息的隐私。
• 数据和图像隐私关注图像和视频的隐私，且仅所有者自身可控制其使用。
• 思想与情感隐私意味着与思想和情感相关的信息应保持私密。需要指出的是，思想和行为并不总是导致相同的结果。
• 位置与空间隐私禁止未经授权对个人进行跟踪或监控。
• 关联隐私关注个体之间的联系与关系。此外，还涉及个人对话的内容。

转移到机器人技术领域，这些类型的区分变得更加重要，因为社交机器人很快将被视为并当作朋友对待。只有当用户能够确保敏感信息免受威胁和滥用时，将机器人作为朋友才是可接受且符合伦理的。尽管这些类型已被分类，但它们往往无法完全独立处理，例如数据和图像隐私可能与位置与空间隐私相关联，因为环境会在照片中显示出来。由于社交机器人极有可能在家庭环境中自主行动，它们将随时随地收集信息。

3.2 风险分析 – 隐私保护目标

第二步，需要分析所选用例的隐私要求。在机器人技术领域，目前使用的是安全CIA模型，该模型涉及机密性、完整性以及可用性的需求，因此被称为CIA模型[34]。隐私工程中的一个常见模型是隐私保护目标[35]。这些隐私保护目标在CIA模型的基础上扩展了隐私目标不可关联性/数据最小化、透明性以及可干预性。这些保护目标与通用数据保护条例直接相关。这六项保护目标集中于以下方面：

• 保密性指数据应被谨慎且保密地处理。典型措施包括身份验证和加密。
• 完整性涉及数据和信息的正确性。正确性意味着软件以及硬件组件应受到保护，防止未经授权的修改。
• 可用性涉及系统的合理鲁棒性和可用性。可用性包括信息检索以及功能本身。
• 不可关联性 + 数据最小化描述了收集的数据的存储类型。此外，所存储的数据应减少到必要的最低限度。
• 透明性意味着向用户全面公开功能、使用传感器和信息的情况，以及数据处理过程。
• 可干预性意味着用户可以决定是否允许传感器记录信息，以及哪些功能被开启或关闭。

尽管所有保护目标都很重要，但需要明确的是，一项实现无法满足同时实现最高保护级别的全部六个目标是困难的。因此，必须针对每个用例仔细优先考虑适当的隐私保护要求。可用性可能与保密性相冲突，因为可用性措施可能需要允许永久访问权限，而保密性措施则试图禁止或限制访问权限。当可干预性与完整性或透明性与不可关联性相对比时，也会出现同样的冲突。完整性旨在防止修改，而可干预性则侧重于用户干预。因此，必须根据正确性和权限验证用户输入，例如药物变更就是一个对大小写敏感的示例。

3.3 风险缓解

针对已识别的隐私风险和定义的隐私要求，需要制定适当的措施。风险缓解是一个持续的过程。需要定期测试和监控具备其功能和能力的机器人原型，以验证其可持续性或进行必要的适应与调整。因此，测试不仅涉及可用性、可操作性和实用性，还包括预防已识别风险发生的策略。

在机器人技术领域，雍等提出了风险缓解策略，特别是针对支持无线连接的机器人玩具，例如家长控制机制、无线连接和相机保护策略[36]。这些策略给出了保护策略的初步提示。与前两个步骤不同，目前尚不存在特定的缓解模型，以涵盖所有可能存在的缓解策略，从而获得该过程的整体视图，因为其包含许多不同的可能解决方案。

然而，标准数据保护模型已经提供了一个隐私措施目录，这些措施根据风险被划分为不同的模块（https://www.datenschutzzentrum.de/uploads/sdm/SDM‐Methodology_V2.0b.pdf）。总体而言，为了在各模块中找到一个或多个合适的措施，这些措施被进一步划分为三个类别：数据层、系统层和流程层。

4 隐私框架

将以交互式机器人用例为例进行研究，并对比两种用例场景，以突出情境感知在隐私开发中的重要性。该机器人可以交互和说话以用户为朋友。它能够识别用户并定制其行为和对话内容。此外，我们可以设想一种配备相机（且能够自主移动）的高级智能辅助设备。由于本用例侧重于研究伴随社交和语言交互需求而产生的隐私风险，因此本文将不会详细探讨与自主移动相关的风险。

4.1 风险识别

在开发过程的初期，重点是识别需求和要求。因此，设计思维过程的第一步“共情”专注于理解所有相关约束，例如目标群体、上下文以及由此产生的要求。风险识别则针对“共情”阶段所识别出的每一项需求，确定其相关的潜在风险。

以交互伙伴为例，这是一个普遍性需求，需要明确其中的潜在风险。作为一个具体的交互示例，已识别出的需求功能被用于上述目的[2–4,37]。这些功能要求机器人具备某些能力。作为通信交互伙伴，交互式机器人需满足的两个主要要求是语音录制和信息处理以及访问能力，以便能够做出恰当回应。对交互伙伴而言，一个关键功能是记录和分析语音的能力。实现此需求最相关的传感器至少包括一个麦克风。此外，用户识别应成为机器人的基本功能之一。这一点可通过多种方式实现，相关小节将进行更详细的说明。

4.1.1 语音录制

对于语音和语音识别，至少需要一个麦克风。传感器的数量不会影响潜在风险。所有记录的信息都应被归类为敏感的。表1 列出了潜在风险的概览。安装的麦克风可能引发与行为和行动、通信、思想和情感、位置以及空间和关联相关的隐私风险。通信隐私始终会受到影响，因为机器人被用作交互伙伴。其他隐私类型是否受影响则取决于机器人的内容。主要问题不在于用户被

已记录。这涉及所记录信息的类型及其敏感性。通过基于语音的命令使用敏感信息的附加功能会引发进一步的风险（图2）。连接日历来管理预约，可提供有关行为和行动或位置与空间的信息。通过该机器人进行通话的能力会透露关于关联关系的信息。烹饪辅助功能则可能提供有关不耐受性的信息。这些风险并不意味着不应实现任何功能。然而，由于任何功能都会带来风险，因此必须确保保护措施到位。

传感器	1	2	3	4	5	6	7
麦克风	X	X	X	X	X
相机		X		X		X	X

表1：与传感器相关的隐私风险类型：（1）个人隐私；（2）行为与行动隐私；（3）通信隐私；（4）数据和图像隐私；（5）思想与情感隐私；（6）位置与空间隐私；（7）关联隐私

4.1.2 用户识别

如前所述，实现用户识别有多种可能性。由于麦克风是一种基本传感器，因此可以通过语音识别轻松实现[38]。但在此上下文中，仅靠麦克风不足以实现一个上下文敏感的机器人。作为额外的优势，机器人应能识别人员，例如当有人进入房间时，或能够识别出需要提供支持或发出求助的情况。这些附加要求需要一个相机。第3.2节定义了集成相机所带来的风险。使机器人能够根据情境做出反应和行为的功能，也带来了隐私风险。数据和图像隐私、行动与行为、位置与空间以及关联关系均受到威胁。例如，当机器人识别出用户之外的亲属或朋友等人时，关联关系的隐私就会面临风险。

4.1.3 信息处理与访问

记录的信息需要经过处理和分析，以便机器人能够回答问题或完成指定任务。根据任务的不同，某些功能可以在本地处理，例如提醒和计时器——而复杂的语言交互则需要更多的计算资源，通常依赖外部提供以实现高效处理。除了识别单个词语和句子外，还需要提取句子的上下文、可能的背景信息、语音音调等更多信息。因此，能够在本地处理的功能数量极少，故不再进一步讨论。

对记录的语音数据进行分析可能会引入额外的提供商，例如音乐流媒体服务，这也需要采取隐私措施。播放音乐需要连接到流媒体服务，而获取最新的天气和新闻报告则需要互联网访问。讨论具备整体交互能力的社交机器人时，意味着需要收集有关用户、习惯和生活状况的信息。基于这些数据，机器人可以开展有意义的对话。

上下文感知机器人开发的隐私框架

Asimplified procedure for数据处理、存储和集成服务在图3中展示。它概述了机器人系统可能涉及的相关方和提供商，以及他们如何交换信息。记录的原始数据被发送到其中一个相关提供商的云或另一个外部服务器。这些信息基于预训练的语言模型进行分析，以识别相关信息，并将计算出的答案发送回机器人。根据任务的不同，可能需要引入其他相关提供商以获取额外所需信息和访问权限。原始数据本身也可能被用于改进模型的分析技术和结果。因此，风险识别不仅集中在防止数据被盗，还关注所有涉及的公司和提供商方面的防止滥用[29]。

例如，用户要求机器人打开音乐。语音命令被传输到公司数据中心。经过处理和分析后，该命令被传送到关联服务，例如流媒体服务以打开音乐。1

通常，此步骤会对比不同的实现技术，最后需要做出最终决策。该用例并未整合大量传感器，但机器人的能力带来了潜在风险。因此，有必要强调网络连接的风险，以突出维护、存储和接收相关信息对于交互的重要性。同时，还需调查相关提供商和第三方，因为他们均构成潜在威胁。下一步是进行保护需求分析，以实现合适且适当的隐私级别。

4.2 风险分析

风险分析与设计思维过程中的定义和构思阶段并行进行。在这两个步骤中，需要对上下文和功能进行具体化，以聚焦开发方向。对于此用例，这意味着两个方面：第一，必须确定已识别的功能在多大程度上如何实现，以及需要哪些传感器；第二，必须明确具体的用例场景。这两个方面非常重要，因为用例场景决定了哪些保护目标最为相关。以下示例涉及两个用例场景：（1）娱乐目的和（2）医疗保健目的，以展示其差异。

然后利用风险分析来确保隐私要求并选择合适的措施及相关技术。其重点是根据已识别的风险和信息的敏感性来分析保护目标。正如第3.2节中已经指出的，并非所有保护目标都能实现到相同的水平[35]。因此，需要针对每个用例场景评估保护目标的优先排序。

4.2.1 用例场景：娱乐机器人

将机器人视为用户的娱乐设备时，优先考虑的目标是可干预性和透明性。如前所述，机器人集成的功能越多，潜在风险可能就越大。透明性使用户能够了解哪些功能访问和处理哪些信息、记录了哪些数据以及数据在何时出于何种目的被使用。这种内部可见性对于提升意识和实现自主决策尤为重要。因此，必须向用户明确展示收集了哪些数据、数据在哪里被处理以及处理的目的。音乐流媒体功能需要记录分析后的数据，并授权将数据传输给集成服务。此外，还需明确说明使用了哪些传感器，并且例如，音乐流媒体不会请求访问相机或其他服务所需的信息。这些关联表明，必须清晰地展示集成了哪些服务，以及各服务使用了哪些传感器。

透明性是可干预性的基础，使用户能够自主决定各项功能的使用。可干预性可能允许用户自行决定启用或禁用哪些功能。理想情况下，用户还可以选择机器人及其功能何时可以使用麦克风或相机。因此，关闭相机不应导致功能的完全丧失。根据用户的决策，需要提供多个功能层级。例如，机器人可能配备了相机和麦克风，但用户不希望机器人通过人脸识别来识别自己，因而禁用了相机。此时，用户仍应能够通过麦克风与机器人进行交互，尽管功能会受到一定限制。目前，机器人必须连接互联网，并且所有传感器必须处于启用状态，否则大多数功能将无法正常运行，因为它们无法访问任何数据或信息。功能方面需要更加个性化。

第三个方面，可用性优先于保密性，因为交互依赖于快速的响应速度，且交互需要流畅。机器人必须能够立即做出反应，无论是语言上还是手势上。此外，提醒或计时器等功能具有时间依赖性，应具备可靠性。

4.2.2 用例场景：医疗护理机器人

当讨论医疗护理机器人的用例场景时，时间依赖性变得更加重要。可用性可被视为最重要的保护目标，因为时间可能起到决定性作用。与时间相关的特性包括用药提醒、紧急监控以及潜在的求助需求。

与之前的用例场景类似，透明性是一个相关因素。其重要性的含义略有不同。在此用例场景中，透明性对于保持整体概览至关重要。它还影响授权和认证机制，以及某些提醒或其他健康状况的列表。

透明性伴随着第三个保护目标——完整性。对于医疗护理机器人而言，其主要目的是保护用户数据、确保数据正确性以及保护用户的健康状况。如果机器人提供诸如用药提醒等服务，则必须保证相关功能不会被篡改，例如提醒不会过于频繁或提醒服用错误的药物。必须对所提供信息的正确性给予保障。干预应仅限于最低程度，并且由于机器人旨在监测用户，传感器不得轻易关闭。以Pillo为例，它是一种集成了药品柜和用户识别功能的机器人医疗伴侣，用于提供正确的药物。该功能必须确保100%的正确性，即确保用户身份被准确识别，并防止未经授权的人员更换药物或更改定时器。

4.3 风险缓解

风险缓解发生在原型设计阶段。用户可以测试多种实现技术针对特定的用例场景。这种参与使未来的用户有机会参与到设计决策中，从而创建一个直观可操作且可根据个人偏好进行修改的机器人。

可用性是交互式机器人及其两个用例场景的重要目标。SDM3 提供的确保可用性的措施包括数据备份、软硬件组件的冗余、维修策略、替代流程以及对外部影响的防护。这些措施需由相关服务提供商实施（图4 和图 5）。所有涉及的服务提供商均需确保可用性，必须检查各服务提供商是否满足可用性要求，并确认相关利益相关者的措施也符合要求及用户保护原则。尽管可用性被认为更为重要，但机密性同样需要得到保障。为确保机密性，身份验证、加密和授权等措施已被证明是防止他人访问个人数据的有效手段[22]。

对于两个用例场景中作为第二个相关保护目标的透明性，最相关的方面处理机器人的’录音功能。当机器人正在录音时，用户必须能够清楚地看到这一状态。通过LED闪烁可以实现这一点，以指示录音麦克风处于工作状态。此外，透明性的一个关键组成部分是数据流的透明性。用户应能清晰理解信息是如何被传输、使用和存储的，特别是当涉及第三方参与以集成更多功能时（图3）。如果某些功能不可用，也应仍能向用户说明这些问题。在第二个用例的上下文中，数据追踪方面的透明性也变得重要。必须让用户清楚哪些医疗健康状态信息被转发给了医疗应用或医生，以及特定的工作流程是如何被选择和执行的。不可关联性应得到保障，即在不需要的情况下，各集成服务之间不应相互通信和交换数据。

完整性和可干预性在两个用例场景中被赋予了不同的重要程度。可干预性在娱乐机器人这一用例中被视为更为相关和重要（图5）。理想情况下，这将促使形成缓解策略，使用户能够决定机器人的“工作原理”。除了状态 LED指示灯外，还设有按钮用于开启/关闭麦克风或相机。此外，提供一个隐私仪表板，以透明方式列出活动信息

需要允许取消链接或禁用某些不需要或不想要的功能。

在医疗保健场景中，完整性更为重要，例如紧急流程或用药提醒不应被轻易修改。修改操作应仅允许通过身份验证技术进行，因为未经授权的更改可能造成危害和损害。在第二个用例场景中，相机在监控用户及其活动方面起着重要作用，此时使用图像处理技术来仅分析数据的相关方面可能是一种有效的措施。可以应用多种处理技术以集中于核心内容，例如模糊、草图化或信息删除[39–41]。

此外，情境感知不仅取决于预期的用例场景。情境感知还是机器人行为的一部分。对于娱乐用例场景，这意味着机器人仅在被允许的时间和地点，并且在用户许可的情况下才进行监听和记录。例如，默认情况下应禁止在浴室和卧室进行视频录制以保护隐私。麦克风仅在用户对机器人说话时才应进行录音。为了实现这一点，目前针对智能音箱存在三种不同的监听原则，分别为手动激活、语音激活和常开[42]。对于此用例场景，应避免使用常开模式的解决方案。

用户应能自行决定何时开始对话，例如通过按键配合关键词，或使用相机可识别的手势。

对于第二个用例场景，由于相机用于紧急监控，因此不应允许关闭相机。然而，由于紧急情况也可能发生在浴室或卧室中，用户需要明确告知机器人在一段时间内不要进行录制，例如在淋浴时。在不使用相机的情况下实现紧急监控，可以通过提问的方式进行，用户必须作出回答。

总体而言，可干预性的方式需要与用户共同确定。通过按下按钮或使用调节器，用户可以开启或关闭特定的传感器。此外，也可以通过机器人界面实现，该界面可通过触摸板或语音命令进行操作。目前尚无特定的可用解决方案，因此至关重要的是提出多种方案，并与用户共同决策。

5 讨论与结论

该用例提出了风险评估的相关性，特别是针对安全和隐私保护。在应被视为一个交互式机器人的场景中

伴侣，信任、诚实和可靠性这一话题至关重要[43]因为机器人将接收到大量非常个人且敏感的信息。这种陪伴感听起来是虚幻的，因为机器人是一种为商业目的而开发的技术设备。该用例将机器人称为伴侣，在我们看来这具有误导性。当然，用户在一定程度上确实需要信任机器人，否则用户根本不会使用具备伴随功能的机器人。然而，我们必须意识到自己正在与一个机器人互动，而不是与一个人类朋友互动。此外，这个设备看似是我们的朋友，但实际上其背后的制造商掌握着用户的所有数据。因此，在特定情况下提高用户对保护数据的意识变得更加重要。

隐私框架包括风险识别、风险分析和风险缓解功能，以提供指导帮助。它提出了在尊重隐私的开发过程中需要调查的相关问题。这不仅涉及某些已安装传感器带来的风险，也不仅限于对黑客引发的潜在外部威胁和盗窃行为的调查。与“审慎的传感器选择”概念不同，艾克和安东[24],指出，此用例表明，风险并不完全源于使用高风险传感器，例如摄像头[21]。相反，重点在于对个人敏感信息在整个系统中的整体性和全面性保护，防止其被服务提供商一方窃取或滥用。一旦安装了互联网连接，就会出现相关的风险问题。机器人伴侣不一定需要配备大量传感器，仅配备麦克风就可能已经导致高度敏感信息的收集。在迄今为止的机器人研究中，该问题主要涉及(网络‐)安全保护的考量。而隐私保护同样重要，并且随着机器人进入家庭环境和私人空间，已成为一个高度重要的议题。

隐私框架作为一种面向实践的方法被引入，以增强设计保护隐私概念。隐私风险评估涵盖了设计保护隐私概念的五个原则。它涉及数据保护的主动视角（1）、默认的数据保护（2）、嵌入设计流程（3）、可见性和透明度（6），以及在用户参与时适用的原则（7）。完整功能的实现以及双赢开发（原则4）只有在所有利益相关者特别是用户参与提供意见的情况下才能成功。端到端周期保护（5）只能通过所有相关服务提供商内部的信息保护来实现。所有服务提供商都有义务开展此类风险评估，以实现这一原则。

总体而言，所提出的概念为尊重隐私的开发提供了初步的解决方案。

因此，必须强调用户应参与整个开发过程。尽管这不是本文的重点，但用户参与至关重要。只有用户才能提供深刻的见解，并对实际应用提出建设性反馈。用户参与的另一个优势是能够为机器人开发及某些实现技术贡献潜在的非传统想法。关于隐私问题，所提出的这些方法论同样易于应用于用户参与过程中。此外，用户了解隐私与安全问题以及潜在风险，并能对此保持意识。这种意识使用户能够直面隐私话题，从而提高敏感度。此外，共同决定的机会使用户对机器人产生新的视角，进而对信任和伴侣关系产生积极影响。