养老院兼顾隐私的影像监测：以骨架而非人脸作检测与保存

隐私是第一个问题，不是最后一个

在卧室走廊装上摄像头，第一个问题不会是准确率，而是谁可以看到、记录了什么，以及谁拥有这些影像。把这些当成事后补充的护理服务提供方，最终只会得到一套员工悄悄绕开、家属暗自不满的系统。

兼顾隐私的影像监测，就是针对这个问题的设计答案。它不是一句营销口号，而是一组具体技术选择的描述：系统运算什么、保存什么，以及在哪里运行。

摄像头监测的三个层次

有三样东西经常被归入同一个标签之下，把它们分开来看会更清楚。

• 全程录像：连续视频保存一段时间，人物可被识别。最有利于调查，但在卧室里最难说得过去。
• 事件片段：在检测到移动或事件时截取的短片，虽然限制了保存量，但仍然存下了可识别的影像。
• 设备端检测：模型在本地运行，产生的是信号，例如身体随时间变化的位置，而不是一连串视频。养老院保留答案，舍弃原始画面帧。

兼顾隐私的系统实际上保存什么

在以边缘计算为先的设计中，养老院内一台小型设备运行模型，把每个画面帧转换成身体的稀疏表示，通常是一组关节位置而不是影像，然后判断所见的是否像跌倒，如果像就发出报警。原始画面帧不必离开设备。

两个设计选择发挥了大部分作用。第一是在边缘而不是云端服务进行处理；第二是检测骨骼姿态而不是人脸身份，系统无需识别任何人是谁，也能知道有人跌倒了。关于这种做法的一段简短技术说明，与我们其余的平台笔记一起放在我们的常见问题之中。

用直白的话说明监管背景

在香港，《个人资料（隐私）条例》规管个人资料的收集、使用和保存，并适用于护理场所的摄像头系统。实际上这意味着要问：收集什么资料、出于什么目的、保存多久、谁可以查阅，以及长者或家属如何提出关切。

这是一个设计与治理的问题，并非供应商可以替你解决。兼顾隐私的架构会让答案更简短，但养老院仍然要把它们写下来，并且能够解释清楚。

应该告诉长者和家属什么

先解释目的，再谈技术。只要把监测定位为安全措施并诚实说明，长者和家属一般都会接受；他们反感的是要自己去发现。一份简短、直白的通知，说明系统为何存在、保存什么、保存多久、谁可以看到，对建立信任的作用胜过任何宣传册。

• 为什么：缩短跌倒后得到帮助的时间。
• 保存什么：在边缘设计下，是报警和衍生信号，而不是连续视频。
• 保存多久：明确说明保存期限，而不是含糊带过。
• 谁可以查阅：列明职位角色，而不是笼统地说“员工”。
• 如何提出疑问：提供指定联系人，以及上报途径。

家属会问的问题

有三个问题一再出现，值得直接回答。

• “你们能在摄像头里看到我妈妈吗？”在设备端进行骨骼检测，养老院保留的是一个报警，而不是她的影像。
• “还有谁看到这些？”只有你列明的职位角色，在你控制的网络上，除非设计会把资料传离院内，而这正是首先要核实的一点。
• “万一你们被入侵呢？”以边缘计算为先的处理完全去除了云端副本，也就一并移除了一整类风险。

这应该如何影响采购

把隐私方面的答案放进招标文件正文，而不是放进附录。要求用图表说明数据流向、用一句话说明保存期限，并以书面说明处理方的角色。这也是最快比较两套在规格表上看起来一模一样的系统的方法。

至于更宏观的选择，我们关于如何选择跌倒检测系统的笔记涵盖摄像头、雷达与穿戴式方案，而实务防跌清单则涵盖技术做不到的所有事情。我们自家的产品系列把传感与风险预测平台 Steadicore 与认知及体能训练方面 Sanospark 分开，让隐私决定可以只做一次，并同时适用于两者。

衍生信号究竟是什么

中间地带值得说清楚，因为关于隐私的说法往往会坍缩成两个都错误的极端。大多数边缘系统不保存视频，但也并非不留痕迹。它们会保留一份简短的数值记录：一个置信度、一个区域标识、一个时间戳。

这份记录正是让报警在第二天早上仍可被复核的原因，而只要它能关联到某个人，它同样属于个人资料。正确的做法不是隐藏这份记录，而是说明它、把它保持简短，并以对待它所取代的视频那份同样的谨慎来处理它。