证据与独立复制：从一部 Sony 到可复现的真实工作

16.1 安装失败、恢复与可重复的开发路径

Android 工程不仅是写代码，还涉及工具链、APK 包名、权限、USB／ADB、实际设备接口和失败后的恢复。Sony H4493（Android 9／API 28）曾安装并运行 NFC Writer、USB 眼镜和 MCP Phone 等相互独立的研究应用。Gradle 编译成功、APK 签名、安装完成、界面可见都是真实里程碑，但任何一项都不等于已完成物理 Work。发生错误时应保留版本、签名、编译记录、手机型号、操作者、故障原因及其他应用未受影响的证据。

建议把进展拆成 SOURCE_READY → BUILD_PASS → DEVICE_INSTALLED → INTERFACE_DETECTED → ACTION_READBACK → HUMAN_ACCEPTED。Sony 在某阶段通过，不能自动证明另一款 Android 或连接器也通过。恢复流程应避免清除无关个人资料、移除测试用临时 ADB 转发，并在缺少驱动、权限或合格硬件时明确 STOP。将 APP_INSTALLED 直接标成“已获得新生产力”是不真实的 [H1–H3]。

16.2 NFC 写入：用户确认与独立读回的区别

NFC NDEF 标签能够保存兼容手机可读取的 HTTPS 服务入口。历史上使用者曾报告 Sony NFC 写入，也有另一项线材／标签经 iPhone 轻触打开页面的记录，但这些并非同一份逐字节、独立读回的测试。GiftReality Android NFC Writer A0-001 后来完成 APK 编译、签名、网站部署和浏览器下载验证，其交接记录仍明确标注 Android 实物标签写入及独立读回为 PENDING。Windows USB 读写器和 NFC Product 003 的历史也必须分别保留 [H4、H5]。

正式验收应登记可写标签的具体类型、用户批准的目标 URI、真实写入结果、第二次独立读取 NDEF、地址对照，以及另一台兼容手机的实际轻触／浏览器打开过程。标签 UID 不应充当 e-Person 身份；能读取 URL 也不能证明产品真伪、设备所有权、付款或 MCP Work 授权。没有 NFC 的使用者应保留 QR、易读短网址和人工协助入口 [E1]。

16.3 USB 眼镜预览、照片保存失败与尚待验收的图像捕获

Sony USB 眼镜 P0-001 应用已完成编译和安装，初期在未连接眼镜时显示没有找到 USB 摄像头。后续 P0-002 交接引用使用者确认：前一版本确实曾看到眼镜的实时预览；但当时没有 ADB 独立帧哈希验收。随后点击“拍照”导致应用崩溃，日志将问题定位到旧 UVC SDK 通过 MediaStore 保存时的权限失败。能看到画面与能交付可用照片是两个不同的成果 [H2、H3]。

P0-002 修复保留原有 UVC 预览库，将拍照改为读取 TextureView 当前渲染画面、后台编码 JPEG 并保存在应用专属 Pictures 目录。编译、lint、重装和未连接相机时安全拒绝均通过，但 P0-002 眼镜重连预览、可解码 JPEG、方向、画质和受益人验收仍是 PENDING。截图来源于显示预览，不等于原生感光元件完整分辨率；卸载 App 可能使私有图片丢失 [H3]。

16.4 MCP 电量访问、一键批准与未获授权工具的拒绝

Sony MCP Phone 研究只申请 Android INTERNET 权限来运行本机回环服务，并没有申请相机、NFC、联系人、短信或定位。最初只暴露经过勾选的只读设备信息和电量 Tool。P0-001 的交接曾将真正正向配对与 Token 调用列为待验证；P0-002 设计了只申请一项只读能力的手机批准对话框；再后的 P0-003 交接记录用户确认已实际配对并读取电量。每项成功应归属于正确版本与观察者，不能倒填早期全部 PASS [H1、H6、H7]。

受控测试需要拒绝错误或缺少的 Bearer、未授权联系人 Tool、不可信浏览器 Origin、超时访问和用户停止后的新调用。Mac 临时 USB 转发只让授权测试接入手机回环端口，不代表向全球网络开放服务。设备靠近 Mac 或曾批准 ADB，也不是加密验证客户端身份的充分证据。MCP 工具目录仅表明候选接口，不赋予 AI 通过 Prompt 扩大系统权限的能力 [E2、E3]。

16.5 人类实测撤销、未完成的安全测试与可迁移工程经验

P0-002 的一项真实问题来自人类界面：会话自动关闭后 Stop／Revoke 按钮可能不能点击，非可取消的配对弹窗还会挡住停止入口。P0-003 让按钮即使在 OFF 状态也可点击，并在配对对话框加入“立即停止全部 MCP”及已撤销提示。更新 APK 已安装；ADB 点击 OFF 状态的停止控件后，Mac 回读无活跃监听，临时 USB 转发也已移除。它们是有界的通过项，不等于整个实时撤销流程已验收 [H7]。

该交接仍留下：新建活跃 Grant、使用者真实手指触控、旧 Token 由独立客户端遭拒，以及活跃弹窗 Stop All 的实体测试。自动到期或后端拒绝并不能代替人真正看得见、点得到的停止能力。可复制的设计须保留默认拒绝、短时授权、真人控制、拒绝及恢复回执、运行中动作安全收尾，以及未完成风险的明确清单。

17.1 获授权的样品观察及以证据支持的产品信息

低风险实体 Work 可以从有权持有人批准观察特定样品开始。例如，确认接头规格、解释已验证的安全说明，或记录零件状态。任务应登记样品保管、预期 Reality Delta、可用测量或摄像工具、资料来源、时间和验收者。制造商正式说明、合格仪器读数是证据；模型根据模糊图片猜测的答案则必须标注推测。

e-Person 可以整理步骤并制作易读、语音版本，但在没有相机或真实样品时，不能声称已经检查。正确结果可以是有日期的报告、可理解的说明、转交技术员或解释明确的拒绝。学生、维修人员、销售工程师和需要无障碍指引的人，可以在设备条件和现场监督适合时共享这一工作方式，而不必先购买昂贵手机。

17.2 通过 NFC 将物理入口转交为数字 Work

NFC／QR／HTTPS 可把一件获准使用的实物连接至可信资料及可选服务请求。必须分开 Tap to Understand、Tap to Verify 与 Tap to Act：了解阶段可显示公开易读说明；验证阶段依赖可信来源及必要的身份或产品记录；执行阶段要求使用者另行明确授权一项 Work。扫码或打开网页本身不会创建 e-Person 身份，更不会赋予手机或继电器的控制权。

验收链应包括真实 NDEF 写入、独立读回、第二台设备打开 HTTPS、无障碍阅读、来源验证、用户 Intent、受限授权及人类验收。首项 Accessible Product Passport 可使用不带赛事授权商标的中性线材或包装。若延伸 FIFA 2027，必须另行经过 Pannex 客户及相应权利方批准实体标识、数字内容、销售地区等，不能因 NFC 技术成功而自动取得赛事权利。

17.3 本地检查、学习及有监督的视觉辅助

一位使用者可能想辨认低风险零件、读懂小字标签、理解支架方向或寻找维修服务。合适的 Work 可以选用确实可工作的手机摄像头、USB 眼镜、共享 Hub 或受培训人员，并分别检查设备权限及样品证据。预期结果是帮助理解或支持决定，而不是自动宣称具备安全导航、医疗诊断或工业作业认证。相机的版本、现场条件和资料权利都应逐项检查。

无障碍意味着必要时采用易读步骤、声音、大按钮、确认节点、改正 AI 判断的选项以及可联系的真人。InnoSpire 的视觉和沟通辅助研究能启发合作方向，但不自动授予 HSIMC 设备、软件权利或已落实合作的背书。使用者有权拒绝模型结论；风险较高时仍需专业人士检查，不能让模型的置信分数代替实际安全确认。

17.4 每份模板都须说明目标、能力、同意、证据与验收

可复用模板至少记录版本、请求人、目的、预期 Reality Delta、合格提供者与 Capability、地点时间、资料使用权、无障碍方式、允许动作、安全停止、证据、监督者、成本和明确的验收要求。Work Graph 可派生缺失物料、校准、技能、网络、官方资料或替代入口等子 Work，不能假定目录出现的资源全部立即可用。

公开模板并不代表设备 READY。必须分开 TEMPLATE_DEFINED、DEVICE_QUALIFIED、PERMISSION_GRANTED、ACTION_OBSERVED、EVIDENCE_VERIFIED 和 HUMAN_ACCEPTED。手机能打开 App 却未获 USB 权限、NFC 指向不可信网址、相机能够预览却不能保存图像等情况，都应在准确版本和样品之下记为失败或待办，而不是技术成功。

17.5 从工具调用成功推进到另一位人真正可使用的结果

phone.get_battery 返回正确 JSON，只证明完成一项受限读取，并不直接证明使用者完成实际工作。还要问：数据回答了原问题吗？来源和时间足够可靠吗？使用者能以所需语言或辅助方式理解吗？接收方可以安全依此行动吗？反复 Prompt、工具调用和 NFC 点击是活动量，不应直接换算成 Human-accepted Work。

完整链条是 Intent 确认 → 有效授权 → 合格 Reality → 真实动作与回读 → 证据检查 → 使用者验收或要求修正 → 获准接续。有些人需要语音结论而不是机器字段；专业采购可能需要 PD Trace 而不是销售规格；现场缺少条件时需要安全拒绝而不是漂亮答案。生产力应在真正完成的决定和服务上计量。

17.6 在展览决策窗口仍开放时解决一个样品问题

展会或短时间采购会面常出现具体疑问，例如线材是否同时满足电力和数据要求、NFC 标签是否打开正确授权的网址、小字说明能否让视障者理解。一项限时 Work 应提前确认样品保管、可用测试时间、合格仪器、操作员、决定人和验收条件。并行分支可以查找正式规格与准备无障碍演示，真正的物理结论仍交由相应专家核实。

在会面结束前，答案要分开现场实测、供应商声明、授权条件和待进一步检查事项。没有校准 PD Trace、双口负载测试、NFC 独立读回或真实用户无障碍测试时，必须准确说明还不能证明什么，并提出之后的检测流程。“尚未核实”有时就是保护商业判断的最好答案；展会截止时间不构成绕过电气安全或赛事授权的理由。

17.7 通过合格修正、适配或安全停止保持商业连续性

一件产品首次销售后仍可提供新版易读说明、经核实的适配件、当地维修、售后支持和负责任回收，继续发挥价值。相关服务可通过独立授权的 Work 入口提供，不必强迫传统供应商、全球客户或整家公司加入 HSIMC 母架构。产品品牌、制造责任、数据及商业权利仍属于各自权利主体。

若发现产品安全问题、内容来源不可信、无障碍界面无法帮助人或授权功能未经许可，合格 STOP 或修正也是正确的商业结果。应公开不敏感的真实证据，保留客户关系和负责方，不把拒绝的任务包装为已激活。实体产品向持续服务转型的价值来自被人验收的信任，而不是持续推送营销讯息。

18.1 另一台手机、另一位操作员、另一个地点——相同的有界 Work

可信复制应从明确 Work 契约和证据清单出发，不依赖创始人的口头解释。独立操作员选择另一部合格手机或共享 Hub，检查接口和安全，取得设备所有者的新授权，并重复一项低风险真实工作。当地语言、残障友善界面及可信协助都属于实验条件，不能因为参与者条件不同便将其排除。

记录型号、固件、适配器、时间、网络、操作员、目的、数据范围、真实回读、错误及验收者。Sony 原始实验可作为比较参照，但不提供可移植的令牌或普遍兼容保证。播放已保存 JSON，或重复展示另一人的旧 NFC 截图，不是第二次独立物理试验。

18.2 参考样本群、兼容矩阵及明确记录的不支持案例

按照实际设备／OS、NFC 读写、USB Host、电池安全、本地与云端网络、无障碍方式和监督条件组织样本。兼容表显示哪种具体能力读到了什么、写入了什么、实际调用或验收了什么，以及不能支持的条件。例如有的手机能读 NDEF 却不能写特定标签，某款眼镜能预览却不能存图，某共享站点没有合法可用的网络。

失败和不支持设备必须计入分母。替代 QR、语音、第二部手机或社区 Hub 是否真正帮助完成同一 Work，也需单独观察，不能只是显示网页就宣称解决问题。ITU 的人口数据可帮助认识包容性需求，但不能当作“百亿设备已兼容”的抽样测试 [E4]。

18.3 活跃授权、撤销、并发和协议迁移的测试套件

最低安全测试应覆盖默认拒绝、只授权一个 Tool、错误或缺少 Token、未获准的 Tool、Origin 检查、超时、活跃状态真人 Stop／Revoke、旧 Token 拒绝、重启及物理动作安全停止。Sony P0-003 的 UI 改进、OFF 状态点击和停止后无监听，是真实通过项；但新的活跃授权下由人手指点击并严格验证旧 Token 失效，仍需另外测试 [H7]。

还须研究并发 Work、消息重复、传输中断、重启后过时授权、设备或人员更换、升级及 MCP 版本迁移。协议层无状态的可调用接口，不自动提供可靠的 Work 父链或物理去重。每个正反测试都需明确客户端、服务器、版本、真实响应和独立读回；可能驱动物理装置的部分尤其需要专业监督。

18.4 区分目录数量、安装量、活跃节点与真实生产使用

HSIMC 曾记录 356,782 个可寻址 Runtime 目录参考，这只是 Registry 身份数量，不等于 356,782 个在线服务或场所 [H0]。公开下载的 APK 只证明分发就绪，安装证明包存在，MCP 监听证明可达，一次电量回复证明一个只读 Tool。百亿手机目标同样是全球长期愿景，不代表已有百亿部设备兼容、获准或创造经济价值。

应分别统计目录参考、实机检查、实际可用的受限 Tool、有效人类授权、独立参与者、经验证结果、拒绝、第二操作者复现、维护费用及每项接受 Work 的成本。不能混加这些对象，也不能把同一手机多次轻触当成不同的人。“No One Left Behind”要通过真实无障碍使用与共享人力服务观察，而不只是新增流量。

18.5 保存失败的证据登记，防止未经证明的 READY 宣称

有价值的公开登记至少包含 Artifact ID、来源版本、操作员、样品及保管状态、设备与 OS、时间、权限、测试输入、预期、实际、机器回读、使用者报告、故障、独立确认和待验收。严格区分 BUILD_PASS、USER_REPORTED、MACHINE_OBSERVED、INDEPENDENT_READBACK、HUMAN_ACCEPTED 和 PENDING。后一个修复版本安装成功，也不能偷偷将前一版本的失败改写为成功。

须对私人设备 ID、临时 Bearer Token 和敏感照片进行脱敏及合规保存。SHA256 证明文件字节未变，不证明对物理世界的描述必然正确；使用者对无障碍体验的正面报告是真实经验，也不等于安全认证或独立复制成功。公开负面结果能够节约全球工程试错成本，并保护参与者的选择权。

Non-executable independent replication evidence template ↗

18.6 样品身份、保管、实验条件与独立验收对象

每个 NFC 标签、线材、手机、外设、治具和场所都应有独立样品 ID，与 e-Person、Work 身份分开。记录由谁保管、材料与设备版本、是否同意实验、供电和网络、环境、资料保留及哪台仪器或接收手机独立回读。同一旧手机可能参与多项测试，但从一个标签成功读回，不能自动证明另一个标签真实写入或产品真伪。

验收分成 SOURCE_ACCEPTED、BUILD_ACCEPTED、DEVICE_INSTALL_ACCEPTED、INTERFACE_OBSERVED、PHYSICAL_OUTPUT_READBACK、INDEPENDENT_REPLICATION_ACCEPTED 和 HUMAN_WORK_ACCEPTED。人可以接受一份有帮助的说明，同时材料认证仍待确认，必须清楚标示范围。全球规模的真实起点，是另一位操作者在新的合格 Reality 中依授权复制一项小而有用的能力。