Otturatori della privacy della fotocamera e interruttori di termina

Questo articolo fornisce indicazioni per la progettazione dei dispositivi per gli otturatori della privacy o per i commutatori di interruzione, considerazioni sul rilevamento dello stato dell'otturatore e sul modo in cui gli otturatori devono interagire con i requisiti HLK esistenti per i LED indicatore.

Requisiti comuni dei LED

Indipendentemente dagli otturatori o dagli interruttori di terminazione, HLK richiede che un LED indicatore visibile sia attivato quando l'ISP acquisisce i dati del sensore. Per le fotocamere RGB, se la fotocamera è attiva, un singolo LED a lunghezza d'onda visibile (ad esempio, bianco, verde, blu e così via) deve essere ATTIVATO:

Per le fotocamere con un sensore RGB+IR, questo può essere più complesso perché la fotocamera IR richiede un LED illuminatore e il LED illuminatore può usare una lunghezza d'onda visibile (850 nm) o una lunghezza d'onda invisibile (940 nm). Inoltre, le app possono eseguire lo streaming dal sensore ir da solo, dal sensore RGB stesso o da entrambi contemporaneamente.

I progetti che usano un illuminatore IR a lunghezza d'onda visibile possono scegliere di usare il LED illuminatore ir come LED indicatore visibile. Ciò significa che se la fotocamera IR è accesa da sola, i requisiti HLK sono soddisfatti dal LED illuminatore ir:

Le progettazioni che usano un illuminatore IR a lunghezza d'onda invisibile devono usare un LED a lunghezza d'onda visibile per indicare quando la fotocamera IR è attiva, per soddisfare i requisiti HLK. È consigliabile condividere il LED indicatore in uso della fotocamera, in modo che lo stesso LED a lunghezza d'onda visibile si accende quando il sensore IR e/o il sensore RGB è ATTIVATO:

È consigliabile che tutti i progetti accendono il NORMALE LED indicatore in uso quando viene usata la fotocamera IR o RGB, indipendentemente dal fatto che il LED illuminatore ir usi una lunghezza d'onda visibile o meno. Ecco la tabella completa dei requisiti dei LED principali:

Stream stato	LED IR visibile (850 nm)	LED IR invisibile (940 nm)
Fotocamera disattivata	LED OFF	LED OFF
Solo la fotocamera RGB su	Indicatore in uso ON, illuminatore IR OFF	Indicatore in uso ON, illuminatore IR OFF
Solo la fotocamera IR su	Indicatore in uso non obbligatorio ma consigliato ON	Indicatore in uso ON, illuminatore IR ON
Fotocamera RGB e IR su	Indicatore in uso ON, illuminatore IR ON	Indicatore in uso ON, illuminatore IR ON

Nota

I requisiti del LED possono variare per i progetti con otturatori della privacy della fotocamera o interruttori di interruzione della fotocamera. Per informazioni sui requisiti delle persiane per la privacy della fotocamera e i requisiti del LED HLK per i commutatori di interruzione della fotocamera, vedi Requisiti del LED per la privacy della fotocamera.

Esperienze di intelligenza artificiale always-on (ad esempio, presenza umana basata su fotocamera)

Per i dispositivi che supportano funzionalità di intelligenza artificiale basate su fotocamera always-on, in cui il processore di intelligenza artificiale condivide il sensore principale della fotocamera, i requisiti del LED differiscono quando il processore di presenza dedicato accede esclusivamente alla fotocamera. Per informazioni dettagliate, vedere il white paper sul rilevamento della presenza nel Centro per i partner Microsoft.

Controlli della privacy hardware

Quando le progettazioni di fotocamere includono controlli di privacy hardware, esistono due principi chiave delle linee guida per la progettazione:

1. I dispositivi con controlli di privacy devono offrire un'esperienza utente coerente e una sicurezza nello stato della privacy:

   • Una volta che un cliente apprende l'aspetto e il comportamento dell'otturatore sul dispositivo, tale conoscenza deve essere applicata a qualsiasi dispositivo usato con un otturatore.

2. In nessun caso un controllo della privacy della fotocamera può dare una falsa impressione di privacy:

   • I dispositivi non devono non riuscire a fornire la privacy quando più importante per il cliente. Se l'otturatore della privacy della fotocamera è chiuso o l'interruttore di interruzione della fotocamera è disattivato, i clienti si aspettano che nessuna immagine possa essere acquisita fino a quando non interagiscono con il controllo fisico per disattivare la funzionalità di privacy.

Tipi di controlli

Sono definiti due tipi di controlli di privacy, le persiane per la privacy della fotocamera (meccanica ed elettromeccanica) e i commutatori kill della fotocamera. A seconda del fattore di forma del dispositivo, degli obiettivi di costo bom e del punto di prezzo del dispositivo, un OEM può scegliere di implementare l'otturatore in uno di questi moduli. Una costante importante in tutti e tre è che devono agire a livello fisico o hardware, ovvero nessun software è coinvolto, poiché il software può essere compromesso.

Otturatore per la privacy della fotocamera meccanica

Le persiane meccaniche sono il design più semplice, si tratta di una semplice copertura lente scorrevole che l'utente attua manualmente per bloccare o meno la fotocamera. Sono progettati usando un materiale opaco che blocca completamente l'obiettivo quando è chiuso. Questo design è intrinsecamente infallibile nel senso che fisicamente non possono essere compromessi per l'apertura da qualsiasi modo tranne che l'utente lo scorrimento.

Otturatore della fotocamera elettromeccanica

Gli otturatori elettromeccanici sono otturatori meccanici controllati elettricamente. Invece di aprire o chiudere manualmente l'otturatore, l'otturatore integrato si apre/chiude in risposta alla pressione di un pulsante fisico nel dispositivo.

Nota

Anche se questa soluzione richiede in genere il firmware, deve essere isolato da altri componenti. In altre parole, il controller di otturatore e il pulsante non devono avere vettori di attacco, ad esempio bus di comunicazione o la possibilità di riprogrammare il firmware. La progettazione deve richiedere l'interazione hardware e non essere controllabile dal software.

Interruttori di interruzione della fotocamera

Alcuni dispositivi vengono oggi forniti con una funzione di interruzione della fotocamera, che disconnette fisicamente il dispositivo fotocamera dal sistema quando è spento, fornendo un controllo hardware per bloccare l'accesso della fotocamera senza richiedere un otturatore fisico per coprire l'obiettivo/sensore. Anche se questo è affidabile contro gli attacchi, crea un'esperienza utente scarsa. Rimuovendo il dispositivo quando l'interruttore è spento, il sistema non può indicare che lo chassis ha ancora una fotocamera, ma che è appena spento. Ciò è problematico dal punto di vista dell'esperienza utente se la fotocamera è disattivata involontariamente da un utente non a conoscenza del commutatore, poiché le applicazioni segnalano che non ci sono telecamere connesse. Può anche causare un arresto anomalo o un comportamento errato di alcune applicazioni se la fotocamera viene rimossa durante l'uso o viene visualizzata mentre l'app è in esecuzione.

Di conseguenza, Microsoft non consiglia o supporta l'uso di interruttori kill della fotocamera che rimuovono l'intera fotocamera dal sistema. È invece consigliabile una delle due soluzioni seguenti:

1. Un otturatore fisico, come descritto nell'otturatore privacy della fotocamera meccanica e otturatore della fotocamera elettromeccanica.

2. Un interruttore kill che disconnette il sensore, anziché l'ISP, e fa sì che l'ISP sintetizza i fotogrammi neri.

Per la seconda soluzione, la fotocamera viene ancora visualizzata nel sistema e le app possono continuare a usarla. L'ISP risponde a tutti i comandi (start/stop streaming, DDI come luminosità o contrasto, modifiche al tipo di supporto e così via) normalmente, indipendentemente dal fatto che l'opzione di terminazione sia attiva o meno. Tuttavia, quando l'interruttore kill viene attivato, l'ISP interrompe l'acquisizione di dati reali dal sensore e per sintetizzare e trasmette fotogrammi neri, tutti trasparenti dal punto di vista dell'applicazione.

Otturatori con più fotocamere su un pannello

Quando i clienti usano dispositivi con otturatori (ad esempio, otturatori con più fotocamere IR e RGB su un pannello) si aspettano che se l'otturatore è chiuso, la privacy è protetta da qualsiasi accesso imprevisto alla fotocamera. Quando i sistemi hanno due fotocamere sullo stesso pannello, ad esempio una fotocamera RGB e IR per supportare Windows Hello, è importante assicurarsi che l'otturatore non abbia un falso senso di sicurezza. I clienti non dovrebbero capire che potrebbe esserci un secondo sensore di fotocamera per Windows Hello e alcuni dispositivi usano un singolo sensore per RGB+IR. A causa di questo, l'otturatore deve coprire tutte le telecamere sul pannello.

Garantire che gli otturatori e i commutatori di terminazione si applichino alla fotocamera IR è di massima importanza perché la fotocamera IR può essere accessibile dalle applicazioni e produce immagini ragionevolmente ad alta fedeltà della scena, come illustrato di seguito. La mancata occlusione del sensore ir rappresenterebbe un falso senso di sicurezza e violazione della fiducia dell'utente nel merito della privacy dell'otturatore.

Nota

Windows Hello Viso richiede sia una fotocamera RGB che una fotocamera IR. Se la fotocamera RGB è occlusa, Windows Hello non funzionerà correttamente. Entrambi i flussi RGB e IR vengono usati per abilitare le misure di contatore anti-spoofing.

Linee guida per la progettazione dell'otturatore fisico (meccanico o elettromeccanico)

Quando un cliente usa un dispositivo con un otturatore fisico, la presenza dell'otturatore dà una forte aspettativa implicita sul livello di privacy che fornisce. In poche parole, l'aspettativa dell'utente è che se il dispositivo ha un otturatore e l'otturatore è chiuso, sono protetti da qualsiasi accesso imprevisto alla fotocamera. È fondamentale che l'implementazione della funzionalità si trovi fino alle aspettative implicite, altrimenti perde tutta la fiducia.

Inoltre, l'intero concetto di otturatore della privacy è quello di fornire un livello di sicurezza avanzata contro qualsiasi attacco software pratico. In altre parole, se il dispositivo ha un otturatore e il sistema è completamente compromesso da software dannoso, tale software non può compromettere la privacy dell'utente. Anche in questo caso, per mettere semplicemente, l'aspettativa è che l'otturatore può cambiare stato solo se l'utente interagisce fisicamente con il controllo dell'otturatore hardware nel dispositivo.

Considerazioni sulla progettazione meccanica

Si prevede che le persiane fisiche, sia manualmente che elettromeccanicamente azionate, siano fatte di un materiale opaco che blocca completamente il sensore quando chiuso ed è visibile all'occhio nudo:

Come descritto in Otturatori con più fotocamere in un pannello, i dispositivi con ir separato e fotocamera RGB nello stesso pannello devono avere entrambi i sensori bloccati simultaneamente quando l'otturatore viene chiuso. Si supponga che una progettazione a doppio sensore sia simile alla seguente:

Quando l'otturatore è chiuso, deve coprire il sensore RGB, è facoltativo coprire il sensore IR:

Nota

Attualmente supportiamo un'esenzione per le telecamere i cui progetti di otturatore meccanico non coprono la fotocamera IR. Quando un otturatore fisico sta occludando la fotocamera RGB, è accettabile che il firmware ISP elimini l'output dell'immagine dalla fotocamera IR e lo sostituisca con un'immagine nera sintetizzata. Tuttavia, se il sensore IR viene usato per il rilevamento della presenza, è consigliabile non coprire il sensore ir e assicurarsi che il sensore Di presenza sia funzionale. Per informazioni dettagliate, vedere il white paper sul rilevamento della presenza nel Centro per i partner Microsoft. Un aggiornamento HLK futuro adotta questa eccezione e richiede solo gli otturatori fisici per occludere fisicamente l'RGB, per garantire la robustezza della soluzione e una maggiore protezione della privacy dei clienti.

Considerazioni sul comportamento della fotocamera

Quando una fotocamera è dotata di un otturatore fisico, la fotocamera deve continuare a funzionare normalmente indipendentemente dallo stato dell'otturatore. Se un'app è in streaming dalla fotocamera, continua a acquisire e trasmettere dati reali del sensore anche se l'otturatore è chiuso. L'occlusione completa del sensore da un otturatore chiuso dovrebbe produrre un'immagine nera o molto vicina.

Gli OEMS possono scegliere di sostituire l'immagine con un'immagine statica quando l'otturatore viene chiuso (ad esempio, un'immagine di una fotocamera con una barra attraverso di esso). Questa immagine deve essere statica e non può essere modificata dal software per proteggersi dagli exploit. Per i dispositivi con gli otturatori privacy, la sostituzione dell'immagine può verificarsi all'interno dell'ISP o all'interno del driver, anche se la sostituzione all'interno dell'ISP è consigliata per ridurre la necessità di DMFTs e aggiungere il carico al dispositivo host.

Requisiti del LED dell'otturatore della fotocamera

I requisiti del LED devono rispettare i requisiti comuni dei LED specificati. Ciò significa che se una fotocamera nel pannello è attiva, un LED indicatore di lunghezza d'onda visibile deve rimanere su indipendentemente dal fatto che l'otturatore sia aperto o chiuso. Tuttavia, è accettabile che il design fisico dell'otturatore copre il LED quando l'otturatore è chiuso. I diagrammi seguenti illustrano uno scenario quando la fotocamera è in streaming attivo:

Per le progettazioni con una fotocamera IR e RGB, alcuni produttori potrebbero voler disattivare il LED illuminatore IR se la fotocamera IR viene usata mentre l'otturatore è chiuso. È consigliabile farlo perché aggiunge complessità aggiuntiva per un valore minimo; la fotocamera ir sarà attiva solo se Windows Hello è in esecuzione e Windows Hello visualizza un messaggio durante questa volta che sta tentando di accedere, ma l'otturatore è chiuso. Per informazioni dettagliate, vedere L'implementazione del commutatore di kill .

Tuttavia, se un LED illuminatore IR 840 (visibile) non è l'unico LED indicatore in uso per la fotocamera IR (ad esempio, un normale LED bianco/verde/blu visibile viene illuminato quando la fotocamera IR è attiva), un design può attivare il LED di illuminazione IR quando l'otturatore è chiuso.

Meccanismo di attivazione dello stato dell'otturatore

I dispositivi che implementano gli otturatori di privacy non devono consentire alcuna forma di controllo software dell'otturatore e devono aprire o chiudere l'otturatore in risposta all'utente che interagisce in modo esplicito con il controllo dell'otturatore. Questo controllo dell'otturatore può essere un dispositivo di scorrimento meccanico o un pulsante fisico che attua un otturatore elettromeccanico. Nessun software può modificare lo stato dell'otturatore, anche se un controllo hardware può eseguire l'override del software e mantenere chiuso l'otturatore, poiché un otturatore chiuso non significa sempre che il controllo della privacy sia abilitato. Analogamente, l'otturatore potrebbe non aprire o chiudere su un'app usando la fotocamera, per lo stesso motivo. In sintesi, se l'utente guarda il dispositivo e vede che l'otturatore è chiuso, deve essere in grado di dedurre in modo univoco che la loro privacy è protetta fino a quando non eseguono azioni fisiche per aprire l'otturatore.

Rilevamento dello stato dell'otturatore e creazione di report

Molti dei problemi relativi ai progetti di privacy della fotocamera in mercato derivano da situazioni in cui un utente chiude in modo insostenibile l'otturatore e non riesce a capire perché la fotocamera produce un'immagine vuota o non funziona. Di conseguenza, una parte fondamentale della funzionalità dell'otturatore della privacy di Windows si basa sulla fotocamera in grado di segnalare in modo affidabile lo stato dell'otturatore. Con queste informazioni, le applicazioni possono informare l'utente che l'otturatore è chiuso in modo che possano reagire di conseguenza. Le modifiche dello stato dell'otturatore devono essere rilevate e segnalate il prima possibile dopo che l'evento si verifica.

Due metodi sono proposti per rilevare lo stato dell'otturatore, i sensori fisici e il rilevamento basato sul firmware. Entrambi i metodi segnalano lo stato dell'otturatore rilevato tramite CT_PRIVACY_CONTROL se provengono da un dispositivo UVC o KSPROPERTY_CAMERACONTROL_PRIVACY se provengono da un driver AVStream o DMFT.

Per altre informazioni, vedere Notifica dell'otturatore della privacy .

Sensore di rilevamento stato fisico

Lo stato dell'otturatore può essere rilevato con un sensore fisico che può rilevare se l'otturatore è aperto o chiuso. I sensori fisici possono segnalare in modo deterministico lo stato dell'otturatore e possono fornire un'esperienza più affidabile. Microsoft non ha indicazioni specifiche disponibili per le progettazioni dei sensori o raccomandazioni specifiche per la tecnologia del sensore.

Rilevamento dello stato basato su firmware ISP

Alcuni progetti possono scegliere di ignorare un otturatore fisico e di usare invece il firmware all'interno dell'ISP per elaborare l'immagine e segnalare lo stato di otturatore dedotto. Tale soluzione analizza l'immagine acquisita nel firmware e la confronta con una soglia per determinare se l'otturatore sembra essere chiuso. Si tratta di una soluzione a basso costo perché non richiede nuove parti ed è anche in grado di rilevare elementi come nastro su un sensore. Tuttavia, esistono due considerazioni importanti quando si sceglie di usare tale progettazione:

1. Il design può indicare falsemente un otturatore chiuso in ambienti scuri. Tuttavia, si prevede che questo sia un rischio/problema minimo, perché la fotocamera non sarebbe utilizzabile in un ambiente così basso comunque.

2. A meno che l'ISP non sia in grado di eseguire periodicamente il campionamento dal sensore ogni volta che è fuori da D3, questo metodo impedisce alle app di poter eseguire query sui dati dello stato del sensore accurati fino a quando non iniziano lo streaming dalla fotocamera.

La seconda considerazione precedente crea una sfida. Se la fotocamera non riesce a segnalare lo stato dell'otturatore quando non è in streaming, ma un'app è stata scritta per controllare e reagire allo stato dell'otturatore prima dello streaming, potrebbero verificarsi problemi. In risposta al feedback ricevuto dai partner, questo requisito è stato rilassato. Si aggiorna anche la documentazione dell'API per consigliare agli sviluppatori software di prendere decisioni in base allo stato dell'otturatore segnalato quando non si esegue lo streaming. Ad esempio, consigliamo esplicitamente agli sviluppatori di app di impedire l'attivazione della fotocamera se l'otturatore segnala che è chiuso.

Per evitare il rischio di problemi di compatibilità con le app che non rispettano questo consiglio, le fotocamere che non possono sentire lo stato dell'otturatore quando non lo streaming sono previsti per segnalare che l'otturatore è APERTO ogni volta che non è in streaming. Se la fotocamera può rilevare lo stato dell'otturatore quando non è in streaming, è previsto rilevare e segnalare lo stato dell'otturatore in qualsiasi momento non è in D3.

Nota

Gli algoritmi di rilevamento degli otturatori basati sull'analisi delle immagini devono essere sempre implementati nel firmware anziché in un driver, per evitare di aumentare il carico della CPU e per garantire la massima affidabilità.

Ecco un diagramma che illustra il comportamento previsto per un dispositivo con un otturatore della privacy della fotocamera:

Tabella di riepilogo del comportamento dell'otturatore della fotocamera

La tabella seguente riepiloga il comportamento previsto di una fotocamera con un otturatore della fotocamera (manuale o elettromeccanico):

Stato DELL'ISP	Stato dell'otturatore	LED indicatore visibile	Immagine in streaming su PC	Stato CT_PRIVACY_CONTROL segnalato
Inattività/D3	Aperto	Fuori*	N/D	Aperto
Inattività/D3	Chiusa	Fuori*	N/D	Aperto**
Streaming (qualsiasi app)	Aperto	On*	Immagine del sensore acquisita	Aperto
Streaming (qualsiasi app)	Chiusa	On*	Immagine del sensore acquisita	Chiusa

(*) Per informazioni dettagliate sui requisiti dei LED indicatore , vedere Requisiti del LED della privacy della fotocamera e meccanismi di attivazione dello stato dell'otturatore .

(**) Vedere Rilevamento dello stato dell'otturatore e creazione di report per informazioni dettagliate, in alcuni scenari lo stato dell'otturatore verrà comunque aggiornato quando non si esegue lo streaming.

Linee guida per la progettazione del commutatore di kill

Quando un cliente usa un dispositivo con un commutatore di interruzione, sta mettendo fiducia in un commutatore hardware per proteggere in modo affidabile qualsiasi applicazione che tenta di acquisire l'immagine. Semplicemente, l'aspettativa dell'utente è che se il mio dispositivo ha un commutatore di uccidi e il commutatore di uccidi viene attivato, la mia privacy è protetta da qualsiasi accesso imprevisto alla fotocamera. È fondamentale che l'implementazione della funzionalità si trovi fino alle aspettative implicite, altrimenti perde tutto l'attendibilità.

Inoltre, l'intero concetto di un commutatore di uccido consiste nell'offrire un livello di sicurezza avanzato contro qualsiasi attacco software pratico. Se il dispositivo ha un interruttore di interruzione e il sistema è completamente compromesso dal software dannoso, tale software non può ignorare il commutatore di morte e compromettere la privacy dell'utente. Semplicemente, l'aspettativa è che *il commutatore di kill può essere attivato/disattivato solo dall'utente che interagisce fisicamente con il dispositivo.

Rispetto ai progetti di otturatore della privacy, i commutatori di uccido sono più complessi e comportano più sfide per offrire fiducia. Ciò è dovuto al fatto che hanno lo stesso livello di affidabilità (un commutatore fisico è previsto per funzionare perfettamente in tutti gli scenari), ma non forniscono la garanzia che un otturatore fisico sopra l'obiettivo fornisce. Ciò significa che i dispositivi che offrono commutatori di arresto devono produrre un'esperienza coerente, chiara e affidabile.

Funzionalità del commutatore di eliminazione

I commutatori di eliminazione operano dicendo al firmware ISP di arrestare l'acquisizione dal sensore e di sintetizzare invece un'immagine nera. In questo modo, la fotocamera è ancora disponibile e funzionale dal punto di vista delle applicazioni, ma sono presenti zero dati reali del sensore trasmessi nel sistema operativo host quando l'interruttore di eliminazione è attivo. Una progettazione affidabile funzionerà come segue:

1. Segnale fisico dal commutatore si connette a un GPIO nell'ISP, per indicare se l'opzione è attiva o meno

2. Quando l'opzione di interruzione è attiva, l'ISP:

   1. Disconnette elettricamente il sensore

   2. Inizia a sintetizzare i fotogrammi neri per sostituire i fotogrammi reali dal sensore disconnesso

   3. Segnala che l'otturatore viene chiuso tramite la funzionalità di notifica dell'otturatore della privacy

In pratica, il silicio ISP che supporta questa esperienza completa, inclusa una disconnessione elettrica del sensore quando il commutatore di eliminazione GPIO è attivo, non è ancora disponibile sul mercato. Di conseguenza, le progettazioni correnti richiedono la modifica del passaggio 2a sopra in "Arrestare il sensore o eliminare i dati del sensore all'interno del firmware". Abbiamo intenzione di collaborare con i fornitori ISP per attenuare la necessità di questa sistemazione nel futuro silicio.

Nota

È fondamentale implementare la funzionalità del commutatore di kill nel firmware ISP e non all'interno di un driver in esecuzione nel sistema operativo host. I dati dell'immagine reale dal sensore non devono essere trasferiti nel sistema operativo quando il commutatore di uccidi è in stato "kill".

Come per gli otturatori di privacy, le macchine virtuali possono sostituire l'immagine con un'immagine statica quando kill Switch è in stato di "kill". La sostituzione dell'immagine può verificarsi all'interno dell'ISP o all'interno del driver, anche se la sostituzione all'interno dell'ISP è consigliabile ridurre la necessità di DMFTs e aggiungere il carico al dispositivo host. Se la sostituzione dell'immagine viene eseguita nel driver, tenere presente che i dati di immagine reali non vengono trasferiti nel sistema operativo quando il commutatore di interruzione è ancora in stato "kill".

Implementazione del commutatore di kill

Lo stato del commutatore di uccido non deve essere controllato dal software, altrimenti un'applicazione dannosa potrebbe scrivere il controllo per attivare o disattivare il commutatore di interruzione. Devono essere controllati da un commutatore connesso a un GPIO nel servizio ISP.

È importante che quando le fotocamere uccidono i commutatori vengono disattivate, la fotocamera viene ancora visualizzata nel sistema e le app possono comunque trasmettere da esso, l'immagine va solo nero. I fotogrammi continuano a essere recapitati al sistema operativo e la fotocamera continua a rispondere ai controlli; le app non sanno che il commutatore è in stato "kill" a meno che l'app non usi le API CameraOcclusionInfo . Ciò consente di disabilitare la fotocamera tramite un controllo hardware senza introdurre messaggi "fotocamera non trovati" confusi o rischiando l'arresto anomalo di determinate applicazioni durante l'scorrimento del commutatore.

Come descritto in Otturatori con più fotocamere su un pannello, i dispositivi con fotocamere IR e RGB separate nello stesso pannello devono avere entrambi i sensori disabilitati simultaneamente quando il commutatore di uccidi viene attivato.

Requisiti del LED HLK

HLK richiede che il LED dell'indicatore sia ATTIVO quando l'ISP acquisisce i dati del sensore. L'attivazione del commutatore di arresto indica che l'ISP deve arrestare l'acquisizione di dati reali dal sensore, quindi il LED è previsto anche disattivare con l'interruttore di arresto. Ciò evita qualsiasi confusione o violazione dell'attendibilità, se il cliente vede un indicatore acceso o un LED illuminatore ir, sanno che il software sta attualmente catturando la loro immagine e se non vedono un LED acceso, sanno che non vengono acquisiti.

Segnalazione dello stato del commutatore di interruzione

Lo stato del commutatore di interruzione deve essere segnalato tramite CT_PRIVACY_CONTROL (se proveniente da un dispositivo UVC) o KSPROPERTY_CAMERACONTROL_PRIVACY (se proveniente da un driver AVStream o DMFT). Lo stato di Camera Kill Switch deve essere segnalato ogni volta che l'ISP è fuori D3.

Per altri dettagli, vedere Notifica dell'otturatore/interruttore della privacy .

Tabella di riepilogo del comportamento di kill switch

La tabella seguente ha riepilogato il comportamento previsto di una fotocamera con un commutatore di uccidi fotocamera:

Stato DELL'ISP	Terminare lo stato del commutatore	LED indicatore visibile	Immagine in streaming su PC	Stato CT_PRIVACY_CONTROL segnalato
Inattività/D3	Esegui	Fuori*	N/D	Apri
Inattività/D3	Kill	Fuori*	N/D	Chiudi
Streaming (qualsiasi app)	Esegui	On*	Immagine del sensore acquisita	Apri
Streaming (qualsiasi app)	Kill	Fuori*	Fotogrammi vuoti sintetizzati	Chiudi

(*) Per informazioni dettagliate sui requisiti dei LED indicatore , vedere Requisiti del LED della privacy della fotocamera e meccanismi di attivazione dello stato dell'otturatore .

Linee guida ISV per gli eventi di otturatore/commutatore

Quando una fotocamera con un interruttore di chiusura o di chiusura della privacy segue le indicazioni riportate in questa documentazione, lo stato dell'otturatore/interruttore viene segnalato al sistema operativo quando la fotocamera è in streaming. Le applicazioni che usano la fotocamera possono quindi monitorare gli eventi di modifica dello stato dell'otturatore e rispondere di conseguenza, ad esempio generando un avviso utile che la fotocamera è bloccata da un otturatore o un commutatore.

Per altre informazioni, vedere le API seguenti:

Classe CameraOcclusionInfo

Classe CameraOcclusionState

VideoDeviceController.CameraOcclusionInfo, proprietà