手机维修交付前的可验证本地数据擦除凭证

1 · 创新命题

中 面向华强北及城市社区手机维修店与送修用户，设计“用户在场—清单确认—本地擦除/退出—交付后复核”的可验证凭证：记录账号退出、外置存储处理、维修模式启用和设备状态哈希，不复制私人内容，让用户与店员共同签收“做了哪些动作”，替代口头承诺或把数据先备份给陌生店员。 EN A co-signed local erasure receipt for phone-repair handoffs that records which privacy actions were completed—account logout, removable-storage handling, repair mode, and post-service checks—without copying personal content or claiming a hash proves everything is gone.

2 · 背景与空白

手机维修常要求解锁测试，用户担心相册、账号和聊天记录。Apple Repair Assistant/维修模式、Samsung Maintenance Mode 与 Android Repair Mode 已提供隔离机制，NIST SP 800-88 给出介质清理原则；但旧机、国产多品牌和小店流程不统一，很多用户不知道本机是否支持。数据恢复软件又常用夸张营销。空白在：不是发明擦除算法，而是把不同品牌可用动作变成在场、最小接触、双方可验证的交付协议，并实测哪些凭证能证明动作、哪些不能。中国优势来自高密度手机维修链、多型号二手机和店员工序访谈；只在团队自有/购买的测试机上做恢复测试。

3 · 可检验假设

H1 在 ≥ 10 款自有测试手机上，协议能正确识别可用维修模式/清理路径并生成完整凭证，动作识别一致率 ≥ 0.95；凭证不包含文件名、联系人或媒体缩略图。 H2 与店铺现有口头交接相比，20 名用户对“店员可见什么、维修后要检查什么”的理解正确率提高 ≥ 30 个百分点，交接时间中位数增加 ≤ 5 分钟。

4 · 量化验收标准

1. 【方法学校验 · 硬门槛】 用自建检查器复现 Apple/Samsung/Android 官方公开的 ≥ 20 个维修模式或账号/存储状态案例，状态判断一致率 100%；在团队测试介质上复现 NIST 公开清理验证步骤 ≥ 5 例，记录一致率 100%。此条不过，后续全部结论无效。
2. ≥ 10 机型、≥ 4 品牌/系统版本；探索与确认按整台设备划分，不把同机重置循环当独立样本。
3. 状态识别若类别不均衡，报每类召回/精确率与宏 F1，不报 accuracy；版本不支持必须明确写“未知/需人工”。
4. 恢复测试只针对团队生成的假照片/假联系人；不使用真实用户数据。最容易犯的致命错误是把“恢复软件没找到文件”宣称为所有闪存数据已不可恢复。
5. 凭证哈希只证明文档未变，不证明动作真实执行；需双方现场确认和设备屏幕证据。
6. 20 人交接实验采用模拟维修、随机顺序，理解和时间预先定义。

5 · 数据与工具

用途	来源 / 工具
设备	自有/正规二手测试机 10 款，来源、版本、存储加密状态记录
官方路径	Apple Repair Assistant、Samsung Maintenance Mode、Android Repair Mode 文档，地区/版本支持需核实
检查	ADB 的公开非敏感状态、屏幕引导与本地 PDF/二维码凭证；不绕过锁屏/账户锁
清理基准	NIST SP 800-88 与厂商恢复出厂说明，仅用于校验与对比，不计入数据贡献
用户研究	维修店员访谈与模拟交接；不得要求查看客户手机内容

能力边界：无法证明芯片级不可恢复、维修人员从未拍照或云备份已删除；主板故障机可能无法执行任何用户侧动作。

6 · 赛季执行路径

1. 第 1–2 周：维修店访谈与“不碰客户内容”协议。
2. 第 3–4 周：20 官方状态与 5 清理步骤方法学校验。
3. 第 5–7 周：10 机型兼容矩阵、假数据恢复边界。
4. 第 8 周：确认测试与 go/no-go。
5. 第 9–10 周：20 用户口头交接 vs 凭证实验。
6. 第 11 周：哈希、双方确认、未知状态和断机流程。
7. 第 12–13 周：店铺工作流/单位经济与报名。
8. 第 14 周起：线下用假数据测试机演示，不接用户真机。

7 · 新颖性边界

已有工作：Apple/Samsung/Android 维修模式、NIST SP 800-88、Blancco 等擦除产品与手机取证工具均存在。不声称发明安全擦除、达到取证级不可恢复、绕过锁屏或保证店员行为。本项目贡献是多品牌小店的用户在场、最小接触、双方凭证工作流与诚实保证边界。护城河为工作流替换（D）+ 华强北维修场景（G）；技术壁垒弱，机型兼容矩阵与店铺采用网络是资产。

8 · go/no-go

第 4 周末：若官方状态无法稳定读取，具名降级为纯屏幕引导+双方逐项勾选，不自动判断。第 8 周末：10 机型支持覆盖 < 50%，将产品限定为明确支持的 Android 版本并为其余生成“不支持”风险卡。第 10 周末：若交接增加 > 10 分钟，则压缩为三项高风险清单，主结论仍比较理解正确率与隐私接触面。