Kryty pro ochranu soukromí kamery a vypínače pro deaktivaci

Tento článek obsahuje pokyny k návrhu zařízení pro spínače ochrany osobních údajů nebo zavíjecí spínače, důležité informace o snímání stavu spouště a očekávané interakce s existujícími požadavky HLK na indikátory LED.

Běžné požadavky na LED

HLK potřebuje, aby byla rozsvícená viditelná LED indikátoru, když ISP zachytává data ze snímačů, bez ohledu na závěrky nebo bezpečnostní spínače. Pokud je kamera RGB aktivní, musí být jedna viditelná vlnová led dioda (například bílá, zelená, modrá atd.) zapnutá:

Pro kamery se senzorem RGB+IR to může být složitější, protože kamera IR vyžaduje svítící diodu LED a svítící DIODa může používat viditelné vlnové vlnové délky (850 nm) nebo neviditelné vlnové vlnové délky (940 nm). Aplikace navíc můžou streamovat ze samotného senzoru IR, samotného senzoru RGB nebo obojího současně.

Návrhy používající IR osvětlení se mohou rozhodnout využít LED IR osvětlení jako viditelný indikátor LED. To znamená, že pokud je kamera IR zapnutá sama o sobě, požadavky HLK jsou splněny svítící diodou IR:

Pro splnění požadavků HLK musí návrhy, které používají neviditelný vlnový IR iluminátor, použít viditelný vlnový LED k indikaci toho, kdy je IR kamera aktivní. Doporučujeme sdílet indikátor LED používání fotoaparátu, aby se při zapnutí IR senzoru a/nebo RGB senzoru zapne stejná viditelná dioda LED.

Doporučujeme, aby ve všech návrzích zapnul indikátor LED signalizující používání vždy, když se používá kamera IR nebo RGB, bez ohledu na to, zda IR osvětlení LED využívá viditelnou vlnovou délku nebo ne. Tady je úplná tabulka požadavků na základní led diody:

Stav streamu	Viditelné IR LED (850 nm)	Neviditelný IR LED (940 nm)
Vypnutá kamera	LED diody VYPNUTÉ	LED diody VYPNUTÉ
Pouze RGB kamera je zapnuta	Indikátor používání ON, IR osvětlovač OFF	Indikátor v provozu ON, IR osvětlovač OFF
Jenom kamera IR zapnutá	Indikátor používání není povinný, ale doporučuje se zapnuto ON	Indikátor používání ON, IR iluminátor ON
Kamera RGB a IR zapnutá	Indikátor v provozu ON, IR osvětlovač ON	Indikátor používání ZAP, IR osvětlovač ZAP

Poznámka:

Požadavky na LED diody se můžou lišit pro návrhy s bezpečnostními závěrkami kamery nebo přepínačem pro ukončení kamery. Informace o požadavcích na ochranu osobních údajů kamery a požadavkům na led diodu HLK pro zabíjecí spínače kamery najdete v požadavcích na ochranu osobních údajů kamery.

Neustále aktivní funkce umělé inteligence (například detekce lidské přítomnosti za pomocí kamery)

U zařízení, která podporují funkce umělé inteligence využívající kameru, kde křemík pro AI sdílí hlavní snímač kamery, se požadavky na LED liší v případech, kdy křemík pro přítomnost má výhradní přístup k fotoaparátu. Podrobnosti najdete v dokumentu Bílá kniha o zjišťování přítomnosti na Partnerském centru Microsoftu.

Hardwarové řízení ochrany osobních údajů

Pokud návrhy fotoaparátů zahrnují ovládací prvky ochrany osobních údajů hardwaru, existují dva klíčové principy našich pokynů k návrhu:

1. Zařízení s ovládacími prvky ochrany osobních údajů musí poskytovat konzistentní uživatelské prostředí a důvěru ve stav ochrany osobních údajů:

   • Jakmile se zákazník dozví, jak vypadá a chová se závěrka na svém zařízení, mělo by toto poznání platit pro jakékoli zařízení, které má závěrku a které používá.

2. Za žádných okolností nemůže ovládací prvek ochrany osobních údajů kamery poskytnout falešný dojem na ochranu osobních údajů:

   • Zařízení nesmí selhat poskytovat ochranu osobních údajů, pokud je pro zákazníka nejdůležitější. Pokud je krytka kamery zavřená nebo je vypnutý přepínač ukončení kamery, zákazníci očekávají, že žádný obraz nebude zaznamenán, dokud neodblokují funkci ochrany osobních údajů pomocí fyzického ovladače.

Typy ovládacích prvků

Jsou definovány dvě formy ovládacích prvků ochrany osobních údajů: kryty soukromí fotoaparátu (mechanické a elektromechanické) a vypínače pro deaktivaci fotoaparátu. V závislosti na typu zařízení, finančních cílech výroby kusovníku a cenové úrovni zařízení se výrobce OEM může rozhodnout implementovat clonu v některé z těchto podob. Důležitá konstanta ve všech třech je, že musí fungovat na fyzické nebo hardwarové úrovni, což znamená, že není zapojen žádný software, protože může dojít k ohrožení softwaru.

Mechanická závěrka pro ochranu soukromí kamery

Mechanické závěrky jsou nejjednodušším designem, jedná se o jednoduchý posuvný kryt objektivu, který uživatel ručně působí tak, aby buď zablokoval kameru, nebo ne. Jsou navrženy pomocí neprůshleného materiálu, který při zavření plně blokuje objektiv. Tento návrh je samovolně spolehlivý v tom smyslu, že fyzicky nelze obejít nebo otevřít žádným způsobem, s výjimkou toho, že ho uživatel posune.

Elektromechanická klapka pro ochranu soukromí kamery

Elektromechanické závěrky jsou elektricky řízené mechanické závěrky. Místo ručního otevření nebo zavření spouště uživatelem se integrovaná závěrka otevře nebo zavře v reakci na stisknutí fyzického tlačítka na zařízení.

Poznámka:

I když toto řešení bude obecně vyžadovat firmware, mělo by být izolované od ostatních komponent. Jinými slovy, ovladač závěrky a tlačítko by neměly mít vektory útoku, jako jsou komunikační sběrnice nebo schopnost přeprogramovat firmware. Návrh musí vyžadovat interakci s hardwarem a není možné ji ovládat ze softwaru.

Vypínače kamery

Některá zařízení se dnes dodávají s funkcí přepínače pro ukončení kamery, která fyzicky odpojí zařízení fotoaparátu od systému, když je vypnuté, a poskytují hardwarový ovládací prvek pro blokování přístupu k fotoaparátu, aniž by bylo nutné fyzickou závěrku pokrýt objektiv nebo senzor. I když je to odolné proti útokům, vytváří špatné uživatelské prostředí. Když zařízení odeberete, když je přepínač vypnutý, systém nemůže zjistit, že skříň má v něm kameru, ale že je vypnutá. To je problematické z pohledu uživatelského rozhraní, pokud je fotoaparát neúmyslně vypnutý uživatelem, který přepínač nezná, protože aplikace hlásí, že nejsou připojené žádné kamery. Může také způsobit chybové ukončení nebo nesprávné chování některých aplikací, pokud se kamera během používání odebere nebo se zobrazí, když je aplikace spuštěná.

Společnost Microsoft proto nedoporučuje ani nepodporuje použití zabíjecích přepínačů fotoaparátu, které odeberou celou kameru ze systému. Místo toho doporučujeme jedno ze dvou řešení:

1. Fyzická závěrka, jak je popsáno v mechanické závěrce pro ochranu soukromí kamery a elektromechanické závěrce pro ochranu soukromí kamery.

2. Vypínač, který odpojí senzor, spíše než ISP, což způsobí, že ISP syntetizuje černé snímky.

U druhého řešení se fotoaparát stále zobrazuje v systému a aplikace ho můžou dál používat. IsP reaguje na všechny příkazy (start/stop streaming, DDI, jako je jas nebo kontrast, změny typu média atd.), obvykle bez ohledu na to, jestli je přepínač ukončení aktivní nebo ne. Když je však aktivovaný přepínač ukončení, isP přestane zaznamenávat skutečná data ze senzoru a místo toho syntetizuje a streamuje černé snímky, všechny transparentní z hlediska aplikace.

Závěrky integrující více kamer na panelu

Když zákazníci používají zařízení s clonami (například s více kamerami IR a RGB na panelu), očekávají, že pokud je clona zavřená, je zajištěna ochrana osobních údajů před neočekávaným přístupem k kamerám. Pokud systémy mají na stejném panelu dvě kamery, jako je RGB a IR kamera pro podporu Windows Hello, je důležité zajistit, aby závěrka nedává falešný pocit zabezpečení. U zákazníků se neočekává, že pro Windows Hello může existovat druhý senzor fotoaparátu a některá zařízení používají jeden senzor pro RGB+IR. Z tohoto důvodu musí závěrka pokrýt všechny kamery na panelu.

Zajištění, aby se spouště a zabíjecí přepínače použily na IR kameru, je nanejvýš důležité, protože IR kamera je přístupná aplikacemi a vytváří vysoce věrné snímky scény, jak je uvedeno níže. Pokud nedojde k zakrytí IR senzoru, představuje to falešný pocit zabezpečení a narušení důvěry uživatelů v soukromí zaručené clonou.

Poznámka:

Windows Hello Face vyžaduje rgb i kameru IR. Pokud je kamera RGB odlehlá, Windows Hello nebude správně fungovat. K protiopatřením proti falšování se používají streamy RGB i IR.

Pokyny k návrhu fyzické závěrky (mechanické nebo elektromechanické)

Když zákazník používá zařízení s fyzickou clonou, její přítomnost vytváří silné implicitní očekávání ohledně úrovně soukromí, kterou poskytuje. Jednoduše řečeno, tento uživatel očekává, že pokud má zařízení závěrku a závěrka je zavřená, jsou chráněná před neočekávaným přístupem k fotoaparátu. Je zásadní, aby implementace funkce naplňovala očekávání, jinak ztratí veškerou důvěru.

Celý koncept ochranné clony na soukromí je navíc poskytovat vrstvu zabezpečení, která je odolná vůči jakýmkoli praktickým softwarovým útokům. Jinými slovy, pokud má zařízení závěrku a systém je plně ohrožen škodlivým softwarem, nemůže tento software ohrozit soukromí uživatele. Opět řečeno, očekávání spočívá v tom, že závěrka může změnit stav pouze v případě, že uživatel fyzicky komunikuje s ovládáním hardwarové závěrky na zařízení.

Aspekty mechanického návrhu

U fyzických závěrek, ať už ručně nebo elektromechanicky aktivovaných, se očekává, že budou vyrobeny z neprůhlužného materiálu, který plně blokuje senzor při zavření a je viditelný pro nahý oko:

Jak je popsáno v závěrkách s více fotoaparáty na panelu, zařízení s samostatnou kamerou IR a RGB na stejném panelu musí mít oba senzory zablokované souběžně, když je závěrka zavřená. Předpokládejme, že návrh dvou snímačů vypadá takto:

Když je závěrka uzavřená, musí pokrýt senzor RGB, je volitelný k pokrytí senzoru IR:

Poznámka:

V současné době podporujeme výjimku pro kamery, jejichž mechanické návrhy závěrek nepokrývají kameru IR. Pokud je fyzická závěrka zakrývá kameru RGB, je akceptovatelné, aby firmware ISP, zahodil obrazový výstup z kamery IR a nahradil ho syntetizovaným černým obrázkem. Pokud se však senzor IR používá pro detekci přítomnosti, doporučuje se nezakrýt senzor IR a zajistit funkčnost senzoru přítomnosti. Podrobnosti najdete v dokumentu Bílá kniha o zjišťování přítomnosti na Partnerském centru Microsoftu. Budoucí aktualizace HLK přijme tuto výjimku a za účelem zajištění odolnosti řešení a silnější ochrany soukromí zákazníků bude vyžadovat pouze fyzické závěrky pro fyzické zakrytí RGB.

Aspekty chování fotoaparátu

Pokud je kamera vybavena fyzickou závěrkou, musí fotoaparát dál fungovat normálně bez ohledu na stav závěrky. Pokud je aplikace streamovaná z fotoaparátu, bude dál zachytávat a přenášet skutečná data snímačů, i když je závěrka zavřená. Očekává se, že úplná okluze senzoru uzavřenou závěrkou vytvoří obrázek, který je černý nebo velmi blízko něj.

OEM se může rozhodnout nahradit obrázek statickým obrázkem, když je závěrka zavřená (například obrázek fotoaparátu s lomítkem). Tato image musí být statická a nelze ji změnit ze softwaru, aby byla chráněna před zneužitím. U zařízení s kryty ochrany soukromí může dojít k nahrazení obrázků v rámci ISP nebo v ovladači, i když nahrazení v rámci ISP se doporučuje ke snížení potřeby DMFT a k přidání zátěže na hostitelské zařízení.

Požadavky na LED krytku soukromí kamery

Požadavky led musí splňovat požadavky stanovené v běžných požadavcích LED. To znamená, že pokud je zapnutá nějaká kamera na panelu, musí indikátor indikátoru viditelné vlnové délky zůstat zapnutý bez ohledu na to, jestli je závěrka otevřená nebo zavřená. Je však přijatelné, aby fyzický návrh závěrky zahrnoval zakrytí LED diody, když je závěrka zavřená. Následující diagramy znázorňují scénář, kdy se kamera aktivně streamuje:

U návrhů obsahujících jak IR, tak RGB kameru mohou někteří výrobci chtít vypnout IR LED osvětlení, pokud je IR kamera používána při zavřené závěrce. Nedoporučujeme to, protože přidává další složitost s malou hodnotou; IR kamera je aktivní pouze tehdy, když běží Windows Hello a Windows Hello v tomto období zobrazuje zprávu, že se vás pokouší přihlásit, ale krytka kamery je zavřená. Podrobnosti najdete v Implementaci kill switch.

Pokud ale IR LED dioda pro osvětlení 840 nm (viditelná) není jediným indikátorem používání pro IR kameru (například běžný viditelný bílý/zelený/modrý LED indikátor svítí, když je IR kamera aktivní), pak návrh může při zavření závěrky vypnout IR LED diodu pro osvětlení.

Mechanismy přepínání stavu uzávěrky

Zařízení, která implementují krytky soukromí, nesmí umožňovat žádnou formu softwarového řízení krytky a musí ji otevírat nebo zavírat pouze v reakci na uživatele, který explicitně interaguje s ovládáním krytky. Toto ovládání závěrky může být mechanický posuvník nebo fyzické tlačítko, které spustí elektromechanickou závěrku. Žádný software nemusí měnit stav závěrky, i když může ovládací prvek hardwaru přepsat software a ponechat závěrku uzavřenou, protože uzavřená závěrka by ne vždy znamenala, že je ovládací prvek ochrany osobních údajů povolený. Stejně tak se závěrka nemusí otevřít nebo zavřít, když aplikace používá kameru, a to ze stejného důvodu. Pokud uživatel na zařízení nahlédne a uvidí, že je závěrka zavřená, musí být schopen jednoznačně odvodit, že je jejich soukromí chráněno, dokud nepodnikne fyzickou akci k otevření závěrky.

Snímání stavu spouště a hlášení

Řada problémů s návrhy ochrany osobních údajů fotoaparátů na trhu vychází z situací, kdy uživatel neúmyslně zavře závěrku a nedokáže zjistit, proč má fotoaparát vytvářet prázdný obrázek nebo nefunguje. Klíčovou součástí funkce závěrky ochrany osobních údajů ve Windows je proto schopnost kamery spolehlivě hlásit stav závěrky. Pomocí těchto informací mohou aplikace informovat uživatele, že závěrka je zavřená, aby mohl odpovídajícím způsobem reagovat. Změny stavu spouště by měly být zjištěny a hlášeny co nejdříve po výskytu události.

Pro snímání stavu spouště se navrhují dvě metody, fyzické senzory a detekce na základě firmwaru. Obě metody hlásí detekovaný stav závěrky prostřednictvím CT_PRIVACY_CONTROL, pokud pochází ze zařízení UVC, nebo KSPROPERTY_CAMERACONTROL_PRIVACY, pokud pochází z ovladače AVStream nebo DMFT.

Další podrobnosti najdete v oznámení o krytu kameře pro ochranu osobních údajů.

Senzor detekce fyzického stavu

Stav závěrky může být zjištěn pomocí fyzického senzoru, který dokáže zjistit, jestli je závěrka otevřená nebo uzavřená. Fyzické senzory mohou deterministicky hlásit stav závěrky a mohou poskytovat spolehlivější zážitek. Microsoft nemá k dispozici žádné konkrétní pokyny pro návrhy senzorů ani konkrétní doporučení pro technologii snímačů.

Detekce stavu na základě firmwaru ISP

Některé návrhy se mohou rozhodnout přeskočit fyzickou závěrku a místo toho použít firmware v rámci ISP ke zpracování obrázku a sestavit zprávu o odvozeném stavu závěrky. Takové řešení by analyzovalo zachycený obrázek ve firmwaru a porovnávalo ho s prahovou hodnotou, aby bylo možné určit, jestli se zdá, že je závěrka zavřená. Jedná se o nízkonákladové řešení, protože nevyžaduje žádné nové části a dokáže také detekovat věci, jako je páska přes senzor. Při výběru takového návrhu však existují dvě důležité aspekty:

1. Návrh může v tmavých prostředích falešně hlásit uzavřenou clonu. Očekává se však, že se jedná o minimální riziko nebo problém, protože kamera by nebyla použitelná v takovém prostředí s nízkým osvětlením.

2. Pokud ISP nemůže pravidelně vzorkovat ze senzoru, kdykoli je mimo D3, zabrání tato metoda aplikacím ve schopnosti dotazovat přesná data o stavu senzoru, dokud nezačnou streamovat z kamery.

Druhý faktor výše vytvoří výzvu. Pokud se fotoaparátu nepodaří hlásit stav závěrky, když nestreamuje, ale aplikace byla napsána, aby před streamováním kontrolovala stav závěrky a reagovala na něj, mohly by nastat nepříznivé situace. V reakci na zpětnou vazbu, kterou jsme obdrželi od partnerů, byl tento požadavek uvolněný. Aktualizujeme také dokumentaci k rozhraní API, abychom vývojářům softwaru doporučili, aby se rozhodli na základě stavu spouště hlášeného při nestreamování. Například explicitně doporučíme vývojářům aplikací, aby nepovolili zapnutí fotoaparátu, pokud se závěrka hlásí, že je zavřená.

Aby se předešlo riziku problémů s kompatibilitou u aplikací, které nedodržují toto doporučení, očekává se, že fotoaparáty, které nemohou zjistit stav závěrky, budou při nestreamování hlásit, že je závěrka OTEVŘENÁ. Jestliže jinak fotoaparát může rozpoznat stav závěrky, když neprovádí streamování, očekává se, že zjistí a nahlásí stav závěrky, kdykoli není v režimu D3.

Poznámka:

Algoritmy detekce závěrek založené na analýze obrázků by měly být vždy implementovány ve firmwaru na rozdíl od ovladače, aby se zabránilo zvýšení zatížení procesoru a dosáhlo maximální robustnosti.

Tady je diagram znázorňující očekávané chování zařízení s krytkou fotoaparátu pro ochranu soukromí:

Souhrnná tabulka chování ochranné krytky fotoaparátu

Následující tabulka shrnuje očekávané chování kamery s privátní závěrkou (ruční nebo elektromechanická):

Stav ISP	Stav závěrky	Indikátor LED	Obrázek streamovaný do počítače	Hlášený stav CT_PRIVACY_CONTROL
Nečinný/D3	Otevřeno	Vypnuto*	není k dispozici	Otevřeno
Nečinný/D3	Zavřeno	Vypnuto*	není k dispozici	Otevřel**
Streamování (libovolná aplikace)	Otevřeno	Zapnuto*	Obrázek zachyceného senzoru	Otevřeno
Streamování (libovolná aplikace)	Zavřeno	Na*	Obrázek zachyceného senzoru	Zavřeno

(*) Podrobnosti o požadavcích indikátorů LED najdete v tématu Požadavky na LED indikátor ochrany osobních údajů fotoaparátu a mechanismy přepínání stavu závěrky.

(**) Podrobnosti najdete v tématu Snímání a hlášení stavu závěrky. V některých scénářích se stav závěrky aktualizuje i když není streamováno.

Pokyny k návrhu nouzového vypínače

Když zákazník používá zařízení s vypínačem, důvěřuje hardwarovému spínači, aby spolehlivě chránil před jakoukoli aplikací, která se pokouší zachytit jeho obraz. Jednoduše řečeno, tento uživatel očekává, že pokud má moje zařízení vypínač a tento vypínač je aktivován, moje soukromí je chráněno proti neočekávanému přístupu k fotoaparátu. Je zásadní, aby implementace funkce naplňovala očekávání, jinak ztratí veškerou důvěru.

Celý koncept přepínače pro ukončení je navíc poskytovat vrstvu zabezpečení, která je posílena proti jakýmkoli praktickým útokům na software. Pokud má zařízení přepínač pro ukončení a systém je plně ohrožen škodlivým softwarem, nemůže tento software přepsat zapínací přepínač a ohrozit ochranu osobních údajů uživatele. Jednoduše řečeno, očekávání spočívá v tom, že *kill switch může aktivovat nebo deaktivovat pouze uživatel, který fyzicky komunikuje se zařízením.

V porovnání s designy krytů soukromí jsou zabíjecí spínače složitější a představují větší výzvy pro dosažení důvěry. Je to proto, že mají stejnou míru očekávané robustnosti (očekává se, že fyzický přepínač bude ve všech scénářích fungovat bez problémů), ale neposkytují jistotu, jakou poskytuje fyzická závěrka přes objektiv. To znamená, že zařízení, která nabízejí bezpečnostní přepínače, musí poskytovat konzistentní, jasný a spolehlivý uživatelský zážitek.

Ukončete funkci přepínače.

Ukončovací přepínače fungují tak, že sdělíte firmwaru isP, aby přestal zachytávat ze senzoru a aby místo toho syntetizoval černý obrázek. Fotoaparát je tak stále dostupný a funkční z pohledu aplikací, ale když je aktivní zapínací přepínač, nepřenáší se do hostitelského operačního systému žádná skutečná data snímačů. Robustní návrh by fungoval takto:

1. Fyzický signál z přepínače se připojí k GPIO na ISP, který indikuje, jestli je přepínač aktivní nebo ne.

2. Pokud je aktivní vypínač nouzového zastavení, ISP:

   1. Elektrické odpojení senzoru

   2. Začne syntetizovat černé snímky tak, aby nahradil skutečné snímky z odpojeného senzoru.

   3. Zaznamenává, že je krytka zavřená prostřednictvím oznámení o krytce kamery.

V praxi není čip ISP, který tento plný zážitek podporuje, včetně elektrického odpojení senzoru, když je aktivní "kill switch" GPIO, ještě na trhu k dispozici. Aktuální návrhy proto vyžadují změnu kroku 2a výše na "Zastavení senzoru nebo zahození dat ze snímačů ve firmwaru". Plánujeme spolupracovat s dodavateli internetových služeb, abychom zmírnit potřebu tohoto ubytování v budoucnu v siliconu.

Poznámka:

Je důležité, aby se funkce ukončení přepínače implementovala ve firmwaru ISP, a ne v ovladači spuštěném v hostitelském operačním systému. Skutečná data obrazu ze senzoru nesmí být přenášena do operačního systému, pokud je vypínač ve stavu "vypnuto".

Stejně jako u clon ochrany soukromí mohou OEM nahradit obrázek statickým obrázkem, když je vypínač ve stavu vypnutí. Nahrazení obrazu může nastat v rámci ISP nebo v ovladači, i když se doporučuje nahrazení v rámci ISP ke snížení potřeby DMFT a k přidání zátěže na hostitelské zařízení. Pokud se nahrazení obrazového souboru provádí v ovladači, je třeba si uvědomit, že požadavek, aby se skutečná obrazová data nepřenášela do operačního systému, když je přepínač "kill" ve stavu deaktivace, stále platí.

Implementace nouzového vypínače

Stav přepínače ukončení nesmí být řízený softwarem, jinak by škodlivá aplikace mohla napsat ovládací prvek, který aktivuje nebo deaktivuje zapínací přepínač. Měly by být řízeny přepínačem připojeným k GPIO na isP.

Je důležité, aby když jsou vypnuti vypínače nouzového vypnutí kamer, kamera se stále zobrazuje v systému a aplikace mohou ze zařízení stále streamovat, obraz pouze zčerná. Snímky se budou dál doručovat do operačního systému a kamera bude dál reagovat na ovládací prvky; aplikace si neuvědomují, že přepínač je ve stavu "kill", pokud aplikace nepoužívá rozhraní API CameraOcclusionInfo . To umožňuje zakázat fotoaparát prostřednictvím hardwarového ovládacího prvku, aniž by se při překlopení přepínače objevily matoucí zprávy typu "fotoaparát nenalezena" nebo riziko, že dojde k chybovému ukončení některých aplikací.

Jak je popsáno v závěrkách s více fotoaparáty na panelu, zařízení se samostatnými kamerami IR a RGB na stejném panelu musí mít oba senzory při aktivaci bezpečnostního vypínače vypnuté současně.

POŽADAVKY NA LED DIODU HLK

HLK vyžaduje, aby indikátor LED byl zapnutý, když isP zaznamenává data snímačů. Aktivace kill switch (vypínací tlačítko) znamená, že ISP (poskytovatel internetových služeb) musí zastavit zachytávání skutečných dat ze senzoru, a očekává se, že indikátor LED se vypne současně s kill switch. Tím se zabrání nejasnostem nebo porušením důvěryhodnosti, pokud zákazník uvidí indikátor osvětlení nebo indikátor IR, ví, že software momentálně zachytává svůj obrázek, a pokud nevidí svítící indikátor LED, ví, že se nezachytí.

Hlášení stavu nouzového vypínače

Stav přepínače ukončení by měl být hlášen prostřednictvím CT_PRIVACY_CONTROL (pokud pochází ze zařízení UVC) nebo KSPROPERTY_CAMERACONTROL_PRIVACY (pokud pochází z ovladače AVStream nebo DMFT). Stav přepínače ukončení kamery by měl být hlášen pokaždé, když je isP mimo D3.

Další podrobnosti najdete v Oznámení o krytce/přepínači ochrany soukromí.

Souhrnná tabulka chování při ukončení přepínače

Následující tabulka shrnuje očekávané chování kamery s přepínačem pro ukončení kamery:

Stav ISP	Stav nouzového vypínače	Viditelný LED indikátor	Obrázek streamovaný do počítače	Hlášený stav CT_PRIVACY_CONTROL
Nečinný/D3	Běž!	Vypnuto*	není k dispozici	Otevřít
Nečinný/D3	Zabít	Vypnuto*	není k dispozici	Zavřít
Streamování (libovolná aplikace)	Běž!	Zapnuto*	Obrázek zachyceného senzoru	Otevřít
Streamování (libovolná aplikace)	Zabít	Vypnuto*	Syntetizované prázdné snímky	Zavřít

(*) Podrobnosti o požadavcích indikátorů LED najdete v tématu Požadavky na LED indikátor clony ochrany osobních údajů fotoaparátu a mechanismy přepínání stavu clony.

Pokyny pro ISV pro události přepínače/spouště

Když fotoaparát s spínačem ochrany osobních údajů nebo přepínačem kill dodržuje pokyny v této dokumentaci, při streamování kamery se do operačního systému ohlásí stav spouště/přepínače. Aplikace používající kameru pak můžou sledovat události změny stavu spouště a odpovídajícím způsobem reagovat, například vytvářením užitečného upozornění, že fotoaparát je zablokovaný spouštěm nebo přepínačem.

Další informace najdete v následujících rozhraních API:

CameraOcclusionInfo Třída

Třída CameraOcclusionState

VideoDeviceController.CameraOcclusionInfo – vlastnost