67 lines
4.1 KiB
Markdown
67 lines
4.1 KiB
Markdown
# 0004 数据规则：一次告知、历史不可涂改、可重玩时间衰减
|
||
|
||
**Status**: accepted (2026-10-03)
|
||
|
||
## 背景
|
||
|
||
产品的匹配质量完全依赖用户数据的真实性：剧情中的选择行为、语音讲述的个人经历
|
||
与记忆。两类风险威胁数据质量与合规：
|
||
|
||
1. **表演污染**：用户一旦知道"这会影响匹配"，就有动机按理想人设作答
|
||
（社会赞许性偏差），把行为数据退化为自填问卷；
|
||
2. **合规**：人格画像数据用于伴侣推荐，属于《个人信息保护法》下需明确告知并
|
||
取得同意的处理行为；语音包含声纹（生物识别信息），个人经历属敏感个人信息。
|
||
|
||
## 决定
|
||
|
||
**告知规则**
|
||
- 注册时告知一次："剧情选择将用于为你推荐伴侣"，开场提示一次"按本心选，
|
||
没有对错"，之后绝不在任何选择点/讲述点反复提醒。
|
||
- 理由：告知是合规义务也是卖点（"每个选择都让 AI 更懂你"是留存钩子）；
|
||
但反复提醒会激活表演欲。防表演的底线靠设计承担——选项无社会赞许方向、
|
||
行为数据（是否读完描述/对话）、一致性检验（表演人格与行为人格的撕裂即信号）、
|
||
游戏机制直接奖励"具体"（真实记忆自带细节，编造必然空泛）。
|
||
|
||
**不可涂改规则**
|
||
- 不允许单独编辑任何历史选择或讲述。一旦允许编辑，用户看到自己的画像/勋章后
|
||
回头修改，行为数据即降级为"装修人设"的自报数据，一致性检验同时失效。
|
||
|
||
**重玩与时间衰减**
|
||
- 章节可重玩。重玩产生**新的行为轨迹**而非修改历史；Jev 始终看到完整历史，
|
||
按时间衰减加权，最近轨迹权重最高（人会变，画像应当漂移）。
|
||
- 初刷与重玩区别对待：初刷视为本能，重刷视为经营，权重与解读不同。
|
||
- "我变了/选错了"的正当需求由重玩满足，不由编辑满足。
|
||
|
||
**敏感数据处理**
|
||
- 语音管线为"**特征提取后即焚**"：音频只存在于处理窗口内，删除前提取两类产物——
|
||
(a) ASR 转写文本；(b) **韵律/声学特征**：语速、停顿分布、音高变化范围、能量、
|
||
填充词频率、情绪唤醒度、笑/叹息等副语言信号。这类特征与人格相关
|
||
（如外向性与语速/能量、神经质与音高波动在语音心理学文献中有对应关系），
|
||
且以不可逆的统计向量形式存储，**不含声纹**（不可用于身份识别、不可还原声音）。
|
||
- 韵律特征与转写文本一起作为状态输入 Jev；文本内容与语气特征的一致性本身也是信号
|
||
（嘴上说释然、声音在抖）。韵律特征同时服务于幻境的情绪配色（ADR-0003 通道 1）。
|
||
- 原始音频的唯一例外：用户主动 opt-in 保留某段做"声音名片"。
|
||
- 注册时的告知（见上）须覆盖"提取语音特征用于性格分析"。
|
||
- 用户的记忆与经历内容**仅作模型输入**，永不原样展示给匹配对象；
|
||
档案馆"记忆展厅"向匹配对象开放需用户逐次明确授权。
|
||
- 每次语音讲述点的追问至多 1-2 句（防审讯感）；"记不清了"是合法回答。
|
||
|
||
**不可涂改 ≠ 不可删除**：append-only 约束的是"不能悄悄修改历史行为记录"，
|
||
用户的数据删除权（《个人信息保护法》）完整保留——账号注销/删除请求触发
|
||
全部个人数据（事件流、画像、讲述内容、音频特征）的物理删除，
|
||
不提供"导出后留档"的灰色地带。此机制须在 MVP 上线前实现并验证。
|
||
|
||
## 备选方案
|
||
|
||
- **允许编辑选择**：被否决，理由见上（数据真实性是本产品的命脉，
|
||
"实测 vs 自报"是对竞品的全部差异）。
|
||
- **全程反复提示"请诚实"**：被否决。效力低（提示值 10 分，选项设计值 90 分），
|
||
且持续打断沉浸感。
|
||
|
||
## 后果
|
||
|
||
- 选择与讲述事件存储必须是 append-only，禁止 update 路径；
|
||
- 注册流程需包含告知与同意的 UX 与存证；
|
||
- 章节重玩是正式功能而非边缘 case，匹配与画像管线必须支持多轨迹加权；
|
||
- 语音管线默认"特征提取后即焚"，原始音频存储是显式 opt-in。
|