Urządzenia ubieralne i dane zdrowotne jako dowód — od sensora do rekordu i wniosku

Zegarek, opaska, pierścień, słuchawki z sensorami, naszywka albo licznik sportowy nie są pojedynczym nośnikiem o ustalonej treści. Tworzą system złożony z czujnika, oprogramowania urządzenia, telefonu, aplikacji, wspólnego magazynu zdrowotnego, konta i chmury producenta. Ten sam bieg może istnieć jako surowe próbki GNSS, sesja treningowa, skorygowana trasa, dzienny agregat kroków, powiadomienie na telefonie i wykres w portalu. Każda reprezentacja odpowiada na inne pytanie.

Dane te potrafią pomóc ustalić, czy urządzenie było przemieszczane, czy zarejestrowało wysiłek, kiedy rozpoczęto trening, z jakiej aplikacji pochodzi wpis albo czy nastąpiła synchronizacja. Nie są jednak automatycznym zapisem czynności człowieka. Zegarek może leżeć na stole, zostać pożyczony, poruszać się w pojeździe, błędnie rozpoznać aktywność albo wyświetlać wartość wyliczoną z kilku źródeł. Nawet prawdziwy pomiar fizjologiczny nie wskazuje sam przez się przyczyny zmiany.

Analiza musi więc rozdzielić cztery pytania: co zarejestrował sensor, co obliczył algorytm, kto miał urządzenie i jaki wniosek wolno wyprowadzić. Artykuł przedstawia metodykę zabezpieczenia, pozyskania, korelacji i walidacji. Nie zastępuje opinii lekarza ani oceny klinicznej.

Mapa systemu dowodowego

Od ciała do wykresu prowadzi wiele warstw

Najbardziej użyteczny model obejmuje co najmniej:

zjawisko fizyczne albo fizjologiczne — ruch, światło odbite od skóry, potencjał elektryczny, temperatura, ciśnienie lub położenie;
sensor i jego parametry — częstotliwość próbkowania, zakres, nasycenie, jakość kontaktu i kalibrację;
firmware urządzenia — filtrację, wykrywanie artefaktów, bufor i pierwszy zegar;
algorytm klasyfikujący albo estymujący — kroki, fazę snu, trening, upadek, tętno czy wydatek energetyczny;
lokalny magazyn zegarka lub opaski;
transmisję do telefonu, zwykle przez Bluetooth, Wi‑Fi albo połączenie pośrednie;
aplikację producenta i jej bazy, cache, logi oraz ustawienia;
magazyn integracyjny systemu, na przykład Apple HealthKit albo Android Health Connect;
konto i backend producenta, ewentualnie portal trenera, pracodawcy lub placówki medycznej;
eksport, raport PDF, zrzut ekranu albo prezentację przygotowaną przez narzędzie analityczne.

Nie każda warstwa występuje w każdym produkcie. Część urządzeń zachowuje kilka dni próbek, inne wysyłają tylko wyniki. Aplikacja może czytać dane konkurencyjnej aplikacji i ponownie je agregować. Usunięcie sesji z telefonu nie musi usuwać jej z chmury, a reset zegarka nie musi usuwać kopii na koncie.

Raport powinien wskazywać konkretną warstwę. Zdanie „zegarek wykazał sen” ukrywa różnicę między pomiarem akcelerometru, wynikiem klasyfikatora, ręcznie zmienioną sesją i wykresem aplikacji. Poprawniejsza forma brzmi przykładowo: „w bazie aplikacji znaleziono sesję oznaczoną jako sen, utworzoną przez źródło X, o czasie początku Y i późniejszej modyfikacji Z”.

Próbka, rekord, agregat i prezentacja

Próbka jest pojedynczą obserwacją albo elementem szeregu: wartością tętna w określonej chwili, punktem trasy czy przyspieszeniem. Rekord przedziałowy podsumowuje okres, na przykład liczbę kroków między 10:00 a 10:15. Sesja grupuje rekordy wokół treningu lub snu. Agregat łączy wiele rekordów, usuwa duplikaty i przedstawia wynik dobowy. Prezentacja jest tym, co użytkownik widzi po zaokrągleniu, wygładzeniu i zastosowaniu reguł interfejsu.

Te poziomy nie są zamienne. Dzienna suma 12 000 kroków nie ujawnia automatycznie przebiegu minutowego. Wartość widoczna na tarczy może zostać przeliczona po synchronizacji. Trasa na mapie może być dopasowana do dróg, choć surowe punkty leżały obok. Kolorowa faza snu jest wynikiem modelu, nie bezpośrednim pomiarem aktywności mózgu takim jak polisomnografia.

Zabezpieczenie urządzeń i kont

Najpierw bezpieczeństwo i stan

Dokumentuje się położenie urządzenia, sposób noszenia, ekran, godzinę, poziom baterii, stan ładowania, aktywne ikony, widoczne alarmy oraz urządzenia towarzyszące. Osobno zabezpiecza się telefon, ładowarkę, przewody, stację dokującą, wymienne paski z identyfikatorami, komputer synchronizujący i dokumenty zakupu. Fotografia nadgarstka może być istotna dla późniejszej oceny strony noszenia i kontaktu sensora, ale nie może naruszać zasad oględzin osoby ani opieki medycznej.

Urządzenie może zawierać ślady biologiczne i kontaktowe. Przed czyszczeniem, ładowaniem czy wielokrotnym zakładaniem trzeba uzgodnić kolejność badań. Otwieranie obudowy bez znajomości konstrukcji grozi uszkodzeniem baterii, uszczelnień i pamięci. Urządzenie medyczne lub aktywnie wspierające terapię wymaga szczególnej ostrożności; zabezpieczenie dowodu nie może tworzyć zagrożenia dla pacjenta.

Stan po włączeniu, przed odblokowaniem i po odblokowaniu może zmieniać dostęp do kluczy, baz oraz połączeń. Restart bywa stratą danych ulotnych. Pozostawienie online może jednak uruchamiać synchronizację, aktualizację firmware, zdalne kasowanie lub napływ nowych rekordów. Izolację dobiera się do konkretnego modelu i dokumentuje jej skuteczność. Ekranowana torba może przyspieszyć zużycie małej baterii, a wyłączenie Bluetooth nie odcina samodzielnego LTE lub Wi‑Fi.

Nie przeglądać zamiast pozyskiwać

Ręczne otwieranie kolejnych ekranów tworzy nowe czasy dostępu, ładuje dane z chmury i może oznaczać powiadomienia jako przeczytane. Jeżeli widoczny jest ulotny alarm, dokumentuje się go fotograficznie, lecz rozbudowane przeglądanie interfejsu powinno mieć plan i pełny zapis wideo. Widok aplikacji jest materiałem prezentacyjnym; nie zastępuje bazy, eksportu ani produkcji usługodawcy.

Należy zapisać model, numer seryjny, identyfikatory radiowe dostępne zgodnie z procedurą, wersję firmware, wersję aplikacji i systemu telefonu, nazwę konta oraz stan sparowania. Nazwa handlowa nie wystarcza: ten sam model może mieć inne sensory i algorytmy po aktualizacji regionalnej lub firmware.

Pięć równoległych dróg pozyskania

W praktyce rozważa się co najmniej pięć dróg:

pamięć samego urządzenia, przez udokumentowany interfejs serwisowy lub metodę laboratoryjną;
telefon sparowany: bazy aplikacji, pliki, ustawienia, logi, powiadomienia i kopie zapasowe;
systemowy magazyn zdrowia: HealthKit lub Health Connect wraz z metadanymi pochodzenia;
konto i chmurę producenta, w tym eksport właściciela oraz prawidłowo zabezpieczoną produkcję usługodawcy;
źródła zewnętrzne: aplikację trenerską, portal zawodów, komputer, usługę mapową, placówkę medyczną lub urządzenie drugiej osoby.

Wyniki zachowuje się jako osobne zestawy z manifestem, czasem pobrania, wersją narzędzia i funkcjami skrótu. Nie wolno scalać ich w jedną tabelę bez pola pochodzenia. Eksport CSV może mieć mniejszą dokładność niż lokalna baza, a produkcja usługodawcy może zawierać czas serwera niedostępny w eksporcie użytkownika.

Pochodzenie rekordów w HealthKit i Health Connect

HealthKit: źródło nie jest tym samym co sensor

Apple HealthKit nadaje obiektowi UUID i po zapisaniu rejestruje sourceRevision. Dokumentacja Apple opisuje ją jako źródło wraz z wersją aplikacji albo urządzenia; osobna właściwość device może przechowywać bardziej szczegółowe informacje o urządzeniu. Metadane mogą zawierać między innymi informację o wpisie użytkownika, strefie czasowej, identyfikatorze zewnętrznym oraz identyfikatorze i wersji synchronizacji. Dokumentacja sourceRevision i katalog kluczy metadanych HealthKit pozwalają ustalić semantykę pól dla badanej wersji systemu.

Źródło mówi przede wszystkim, jaki program lub urządzenie zapisało obiekt do HealthKit. Nie zawsze oznacza pierwotny sensor. Aplikacja może zaimportować wynik ze swojego serwera, obliczyć pochodną i zapisać ją jako własny obiekt. Pole urządzenia również wymaga oceny w kontekście API i dokumentacji produktu. Obecność Apple Watch w metadanych jest mocniejsza niż sam wygląd wykresu, lecz nadal nie identyfikuje osoby noszącej zegarek.

W przypadku synchronizacji HKMetadataKeySyncIdentifier i HKMetadataKeySyncVersion służą do rozpoznawania oraz aktualizowania tej samej logicznej danej. Analityk powinien zachować UUID obiektu, identyfikatory synchronizacji, wersję, źródło, urządzenie, czas utworzenia dostępny w danej reprezentacji i pełne metadane. Wybranie tylko wartości i czasu początku usuwa informacje potrzebne do rozpoznania importu, korekty lub wpisu ręcznego.

Health Connect: pochodzenie, metoda i wersja klienta

W Health Connect dane są obiektami Record. Oficjalna specyfikacja formatu wymienia unikalny identyfikator Health Connect, czas ostatniej modyfikacji, dataOrigin z nazwą pakietu, opis urządzenia, identyfikator klienta, wersję rekordu klienta i metodę rejestracji. Rozróżniane są między innymi dane automatycznie zapisane przez sensor, aktywnie rejestrowane po rozpoczęciu sesji przez użytkownika, wpisane ręcznie oraz dane o metodzie nieznanej. Wymagania metadanych precyzują aktualne warianty.

Te pola są niezwykle użyteczne, lecz mają granice. Nazwa pakietu jest pochodzeniem wpisu w Health Connect, nie koniecznie pierwotnej próbki. Producent i model urządzenia są wartościami dostarczanymi przez aplikację zapisującą. clientRecordId i clientRecordVersion także pochodzą od klienta. Metoda „automatyczna” oznacza deklarowany sposób rejestracji, nie sądowe poświadczenie autentyczności i nie dowód noszenia przez konkretną osobę.

Health Connect pozwala aktualizować rekordy, a połączenie identyfikatora i wersji klienta wspiera operację upsert podczas synchronizacji. Dokumentacja zapisu i aktualizacji pokazuje również, że aplikacje mają nie zapisywać zera, gdy urządzenie nie było noszone, bateria się rozładowała lub dane są niepełne. To ważne rozróżnienie: brak rekordu, wartość zero i brak aktywności przy prawidłowo noszonym urządzeniu mają inne znaczenie.

Pętla synchronizacji i podwójne liczenie

Telefon może zbierać kroki sam, zegarek może zbierać je równolegle, aplikacja producenta może wysłać dane do chmury, a następnie zapisać wynik do wspólnego magazynu. Druga aplikacja może odczytać ten wynik i przesłać go do kolejnego serwisu. Błędna implementacja potrafi wprowadzić dane z powrotem i utworzyć kopie o nowym pochodzeniu.

Dedukowanie po identycznym czasie i wartości jest ryzykowne. Należy używać identyfikatorów, wersji, źródła, typu rekordu, przedziału oraz reguł platformy. Agregat wyświetlany przez system może stosować priorytety źródeł i usuwać nakładanie, podczas gdy surowy eksport pokaże wszystkie wpisy. Różnica sum nie musi oznaczać manipulacji; może wynikać z odmiennego algorytmu agregacji.

Czas, synchronizacja i oś zdarzeń

Wiele czasów jednego pomiaru

Dla jednego zdarzenia mogą istnieć:

czas próbki według zegara urządzenia;
początek i koniec rekordu albo sesji;
offset strefy zapisany przy początku i końcu;
czas wykrycia lub klasyfikacji;
czas synchronizacji z telefonem;
czas zapisu do HealthKit albo Health Connect;
lastModifiedTime po późniejszej korekcie;
czas wysłania i przyjęcia przez serwer;
czas eksportu lub wygenerowania raportu.

Nie wolno zastępować ich jednym polem „data”. W Health Connect czas jest oparty na Instant, a offset strefy stanowi osobną informację potrzebną do odtworzenia czasu cywilnego. Dokumentacja wskazuje, że w starszych wersjach Androida offset mógł nie zostać zapisany; w nowszych brak może zostać uzupełniony na podstawie domyślnej strefy urządzenia. Taki offset nie zawsze dowodzi fizycznego miejsca, ponieważ użytkownik może ustawić strefę ręcznie.

Podróż, zmiana czasu letniego, reset, wyczerpanie baterii i ponowne sparowanie tworzą nieciągłości. Zegarek bez telefonu może buforować dane i przesłać je po wielu godzinach. Czas serwera potwierdza moment przyjęcia, nie moment wykonania aktywności. lastModifiedTime wskazuje zmianę rekordu, lecz nie musi ujawniać treści wcześniejszej wersji.

Budowa osi zamiast sortowania jednej kolumny

Oś czasu powinna zawierać pola: źródło, typ czasu, wartość surową, strefę lub offset, sposób konwersji, identyfikator rekordu, wersję i niepewność. Punkty kotwiczące mogą pochodzić z uruchomienia telefonu, synchronizacji Bluetooth, logowania do konta, zdjęcia z wiarygodnym czasem serwera, zawodów sportowych albo monitoringu. Korekta zegara musi być jawna i zastosowana tylko do danych korzystających z tego samego zegara.

Wykres aplikacji nie powinien być podstawowym źródłem sekundowej chronologii, jeżeli rekord ma rozdzielczość minutową. Interpolacja między próbkami nie tworzy obserwacji. Brak pomiaru w przerwie nie pozwala zakładać stałej wartości ani nagłego zera.

Tożsamość urządzenia i osoby noszącej

Konto, właściciel i użytkownik to różne role

Dowód zakupu albo konto producenta może wskazywać właściciela. Sparowanie telefonu z zegarkiem pokazuje relację techniczną. PIN, biometryczne odblokowanie telefonu, ustawienia profilu, regularny wzorzec noszenia, lokalizacja, strona nadgarstka i niezależny monitoring mogą wspierać wniosek o użytkowniku. Żaden z tych elementów osobno nie musi dowodzić, kto miał urządzenie w konkretnej minucie.

Zegarek może zostać pożyczony, założony dziecku, przeniesiony w torbie albo przypięty do zwierzęcia czy przedmiotu. Rodzinne konta i wspólny tablet komplikują atrybucję. W zakładzie pracy urządzenie może być przypisane ewidencyjnie, lecz przekazywane między zmianami. Po wymianie gwarancyjnej konto zachowuje historię pochodzącą z kilku egzemplarzy.

Wniosek powinien mieć drabinę:

rekord jest powiązany z określonym źródłem programowym;
źródło wskazuje urządzenie lub klasę urządzenia;
urządzenie było sparowane z określonym telefonem lub kontem;
niezależne dane wskazują, kto kontrolował ten telefon lub konto;
kontakt sensora i spójność fizjologiczna wspierają, że urządzenie było noszone;
dodatkowe źródła wiążą noszącego z miejscem i czynnością.

Im wyższy szczebel, tym więcej niezależnej korelacji potrzeba. Ślad DNA na pasku może wspierać kontakt, ale nie określa czasu noszenia i może być mieszaniną.

Noszenie, zdjęcie z ręki i brak danych

Niektóre urządzenia wykrywają kontakt ze skórą, blokują ekran po zdjęciu, mierzą jakość sygnału albo zapisują przerwy. Warto zestawić tętno, ruch, temperaturę, ładowanie, stan baterii i zdarzenia blokady. Stabilny sygnał fizjologiczny wraz z ruchem jest silniejszy niż sam licznik kroków. Nadal może dotyczyć innej osoby.

Brak rekordów ma wartość tylko po wykazaniu, że sensor był włączony, urządzenie noszone, bateria sprawna, pamięć niepełna nie była, synchronizacja obejmowała okres, a eksport rzeczywiście zawiera daną klasę. Oficjalna zasada Androida, aby nie zapisywać zera dla urządzenia zdjętego lub z niepełnymi danymi, dobrze ilustruje różnicę między bezczynnością a brakiem obserwacji.

Aktywność, kroki, dystans i energia

Krok jest wynikiem klasyfikacji

Akcelerometr i żyroskop mierzą ruch, a algorytm rozpoznaje wzorzec kroków. Ruch ręką, jazda po nierówności, praca narzędziem lub wózek mogą tworzyć fałszywe zliczenia; trzymanie poręczy, pchanie wózka albo nietypowy chód może prowadzić do niedoszacowania. Algorytm może stosować próg i dopisywać serię dopiero po rozpoznaniu ciągłego marszu.

Dystans może wynikać z GNSS, długości kroku, kalibracji podczas wcześniejszych treningów lub połączenia kilku źródeł. Kalorie są estymacją zależną od profilu użytkownika, tętna, ruchu i modelu producenta. Nie są bezpośrednim pomiarem energii metabolicznej. Zmiana masy, wzrostu lub wieku w profilu może zmienić wyniki bez zmiany sensorów.

Analiza nie powinna przeliczać kroków na jedną pewną trasę. Ten sam dystans można pokonać w różnych miejscach, a liczba kroków nie rozróżnia spaceru od ruchu urządzenia. Przy pytaniu o przemieszczanie łączy się kroki z punktami GNSS, sieciami, ruchem telefonu, monitoringiem i czasem przejazdu.

Trening rozpoczęty i wykryty automatycznie

Sesja może być uruchomiona ręcznie, rozpoznana automatycznie albo dodana po fakcie. Metadane Health Connect rozróżniają aktywne rozpoczęcie i zapis automatyczny, lecz aplikacja producenta może mieć własne znaczenia. Należy ustalić, czy początek sesji jest czasem naciśnięcia przycisku, czasem pierwszej próbki czy wynikiem cofnięcia do chwili, od której algorytm wykrył ruch.

Trasa treningu może być zbierana przez zegarek lub telefon. Utrata GNSS, oszczędzanie baterii i obecność telefonu w pobliżu zmieniają jakość. Mapa może być wygładzona, przycięta ze względów prywatności lub dopasowana do ścieżek. Oficjalny model Health Connect traktuje trasę jako dane powiązane z sesją ćwiczeń, ale trwały identyfikator sesji i identyfikatory klienta są potrzebne do kontroli duplikatów podczas synchronizacji. Dokumentacja sesji treningowych Health Connect pokazuje tę strukturę.

Sygnały fizjologiczne

Tętno i fotopletyzmografia

Wiele urządzeń nadgarstkowych używa PPG: emituje światło i analizuje zmiany odbicia związane z przepływem krwi. Dopasowanie paska, ruch, pigmentacja i cechy skóry, tatuaż, temperatura, perfuzja, pot oraz światło zewnętrzne wpływają na sygnał. Algorytm odrzuca część próbek i może przedstawiać wartość uśrednioną. Odstęp między rekordami nie zawsze oznacza stałe próbkowanie.

Nagły wzrost tętna nie dowodzi strachu, ucieczki ani ataku. Może wynikać z wysiłku, stresu, choroby, leku, używki, gorąca lub błędu. Spadek do zera częściej wskazuje utratę kontaktu niż zatrzymanie krążenia. Wnioskowanie o mechanizmie wymaga danych klinicznych, innych sensorów i opinii odpowiedniego specjalisty.

Jednokanałowe ECG, rytm i alarmy

Zegarek może wykonywać krótkie jednokanałowe ECG po świadomym dotknięciu elektrody albo pasywnie analizować puls pod kątem nieregularności. To różne funkcje. Rekord ECG może zawierać przebieg, klasyfikację, czas, wersję algorytmu i oznaczenie jakości. Alarm o możliwym problemie jest wynikiem klasyfikatora w określonym zakresie wskazań, a nie pełną diagnozą.

Zakres funkcji zależy od modelu, kraju, wersji i statusu regulacyjnego. Dokumenty decyzji regulatora podają konkretne wskazania oraz ograniczenia dla konkretnego produktu; nie wolno przenosić ich na każdy zegarek. FDA prowadzi również ocenę powiadomień sercowo-naczyniowych ze smartwatchy, co podkreśla potrzebę odróżnienia powiadomienia konsumenckiego od rozpoznania klinicznego.

Saturacja, temperatura i inne estymaty

SpO2 na nadgarstku zależy od jakości optycznej, ruchu i perfuzji. Pomiar punktowy i nocna seria nie są tym samym. „Temperatura nadgarstka” lub odchylenie od linii bazowej nie musi być temperaturą głęboką ciała. Ciśnienie krwi w niektórych rozwiązaniach wymaga okresowej kalibracji mankietem, a w innych jest wyłącznie eksperymentalnym oszacowaniem.

W raporcie zapisuje się dokładny typ wartości, jednostkę, źródło, metodę i status funkcji. Nie zmienia się „temperatury skóry” w „gorączkę” ani powiadomienia o rytmie w rozpoznanie choroby. Jeżeli znaczenie medyczne jest istotne dla sprawy, analizę cyfrową łączy się z dokumentacją medyczną i opinią biegłego właściwej specjalności.

Sen, upadki i zdarzenia alarmowe

Sen jest klasyfikowany, nie obserwowany bezpośrednio

Urządzenia konsumenckie zwykle wnioskują o śnie z ruchu, tętna, zmienności rytmu, oddychania, temperatury i wzorca historycznego. Fazy snu są wynikiem modelu. Ciche leżenie może zostać uznane za sen, a niespokojny sen za czuwanie. Sesja może być wydłużona, skrócona, ręcznie poprawiona lub scalona z drzemką.

Przed użyciem wniosku sprawdza się źródło, metodę rejestracji, zapis ręcznej edycji, wersję algorytmu, kompletność nocy, kontakt sensora i nakładanie innych sesji. Zdanie „osoba spała od 23:10” jest zwykle zbyt mocne. Można stwierdzić, że system sklasyfikował określony przedział jako sen, z podaniem podstaw i ograniczeń.

Upadek, wypadek i wezwanie pomocy

Detekcja upadku lub zderzenia jest klasyfikatorem łączącym ruch i inne sygnały. Zdarzenie może uruchomić odliczanie, wibrację, pytanie do użytkownika, połączenie alarmowe i wysłanie lokalizacji. Każdy etap zostawia potencjalnie inny ślad: kandydat algorytmu, alert na ekranie, anulowanie, połączenie, wiadomość, log serwera i zapis dyspozytorni.

Sam alert nie dowodzi mechanizmu urazu. Brak połączenia nie dowodzi braku upadku: funkcja mogła być wyłączona, urządzenie zdjęte, bateria rozładowana, zasięg niedostępny albo użytkownik anulował procedurę. Najsilniejsza rekonstrukcja łączy dane urządzenia, telefonu, operatora, numeru alarmowego, medyczne i oględziny miejsca.

Dane szczególnie wrażliwe i granice interpretacji

Magazyny zdrowotne mogą obejmować cykl menstruacyjny, płodność, ciążę, aktywność seksualną, zdrowie psychiczne, leki, wyniki laboratoryjne i dokumentację w formacie FHIR. Nie wszystkie te dane powstały w urządzeniu ubieralnym. Mogły zostać wpisane ręcznie, pobrane z placówki albo obliczone przez aplikację.

Zakres pozyskania musi być proporcjonalny do pytania i podstawy prawnej. Eksport całego magazynu zdrowia przy sprawie dotyczącej jednej trasy może ujawniać informacje osób trzecich i dane niezwiązane ze sprawą. W planie określa się typy rekordów, okres, konta, źródła, sposób minimalizacji oraz osoby uprawnione do dostępu. Kopię roboczą i prezentację można ograniczyć, zachowując oryginał zgodnie z procedurą i decyzją procesową.

Dane zdrowotne nie powinny być używane do amatorskiej diagnozy stanu psychicznego, intencji, prawdomówności lub przyczyny śmierci. Analiza cyfrowa ustala pochodzenie i strukturę rekordów; ich znaczenie medyczne może wymagać innego biegłego.

Aktualizacje, usunięcia i wynik ujemny

Rekord może zmieniać się po zdarzeniu

Synchronizacja może poprawić czas, trasę, etykietę i agregat. Użytkownik może edytować trening, sen, masę ciała lub wpis ręczny. Aplikacja może migrować bazę, zmienić algorytm albo przeliczyć trend. Upsert zachowuje logiczny identyfikator, lecz zastępuje treść nowszą wersją. Inny system może utworzyć nowy rekord i usunąć stary.

Dlatego odróżnia się czas zdarzenia od czasu zapisu i modyfikacji. Jeżeli dostępne są wersje na telefonie, w backupie i chmurze, porównuje się je po identyfikatorach. Różnica nie jest automatycznie fałszerstwem. Może być legalną korektą albo normalnym działaniem synchronizacji; potrzebne są logi i dokumentacja produktu.

Brak nie jest prostym zaprzeczeniem

Przed wnioskiem „nie było aktywności” trzeba wykazać:

że właściwe urządzenie było wtedy używane przez badaną osobę;
że funkcja i zgody były włączone;
że bateria, sensor, kontakt i pamięć pozwalały rejestrować;
że zegar i badany przedział są prawidłowe;
że pozyskanie objęło właściwą bazę i typ danych;
że synchronizacja nie pozostawiła danych tylko w innym miejscu;
że retencja, reset, aktualizacja i usunięcie nie wyjaśniają braku;
że parser rozpoznaje wersję schematu.

W wielu sytuacjach poprawny wynik brzmi: „w zbadanym zestawie nie znaleziono rekordu danego typu”, a nie „zdarzenie nie nastąpiło”.

Walidacja i eksperyment

Parser trzeba kontrolować na danych surowych

Narzędzie może połączyć rekordy kilku aplikacji, przeliczyć strefę, zaokrąglić wartości lub przypisać ikonę na podstawie nieaktualnej flagi. Dla kluczowych ustaleń porównuje się prezentację z bazą, schematem, dokumentacją API i drugim sposobem odczytu. Zachowuje się pliki główne oraz dzienniki baz, wersję parsera, ustawienia eksportu i ostrzeżenia.

Ogólne zasady SWGDE dla analizy urządzeń mobilnych wymagają udokumentowanej metody, kontroli narzędzi i raportowania ograniczeń; Best Practices for Mobile Device Forensic Analysis stanowią użyteczny fundament również wtedy, gdy telefon jest pośrednikiem dla zegarka. Specyfika urządzeń ubieralnych wymaga dodatkowo kontroli algorytmu, sensorów i synchronizacji.

Eksperyment musi odpowiadać badanemu modelowi

Jeżeli znaczenie artefaktu jest niejasne, można przeprowadzić kontrolowany eksperyment na zgodnym urządzeniu, wersji firmware, aplikacji i systemu. Rejestruje się czas wzorcowy, sposób noszenia, ruch, zasięg, synchronizację oraz każde działanie. Przykładowe pytania walidacyjne dotyczą tego, kiedy powstaje rekord, czy początek jest cofany, jak oznacza się wpis ręczny, co pozostaje po usunięciu i jak eksportuje się strefę.

Eksperyment nie powinien odtwarzać medycznie ryzykownego zdarzenia. Nie dowodzi też, że egzemplarz z postępowania zachował się identycznie, jeśli różnią się wersją, ustawieniami, kalibracją lub stanem. Wynik określa zachowanie w warunkach testu i wspiera interpretację, a nie zastępuje danych sprawowych.

Hipotezy konkurencyjne

Dobra analiza testuje co najmniej dwie wersje. Dla wzrostu tętna mogą to być wysiłek, stres, stan zdrowia i artefakt. Dla przerwy w danych — zdjęcie urządzenia, rozładowanie, utrata kontaktu, brak synchronizacji i usunięcie. Dla trasy — ruch osoby, transport urządzenia i import z innego źródła.

Każda hipoteza otrzymuje przewidywane ślady w różnych warstwach. Wysiłek powinien pozostawać w określonej relacji z ruchem i ewentualnym treningiem; rozładowanie z poziomem baterii i późniejszym uruchomieniem; ręczna edycja z metodą zapisu lub czasem modyfikacji. Niezależne źródła są ważniejsze niż kilka wykresów pochodzących z tej samej bazy.

Raport operacyjny

Raport powinien pozwolić innej osobie odtworzyć drogę od nośnika do wniosku. Minimalnie zawiera:

pytanie, podstawę i ograniczony zakres danych;
wykaz urządzeń, kont, aplikacji, wersji i relacji sparowania;
stan oraz czynności zabezpieczające, z dziennikiem zmian;
każdą metodę pozyskania i jej funkcjonalny zakres;
manifesty, funkcje skrótu, narzędzia, wersje i ostrzeżenia;
definicję pól, identyfikatory, pochodzenie, metodę rejestracji i wersje rekordów;
wszystkie relewantne czasy, strefy, przeliczenia i niepewność;
rozdzielenie danych surowych, pochodnych, agregatów i prezentacji;
podstawę atrybucji urządzenia do osoby;
wyniki korelacji i eksperymentów kontrolnych;
hipotezy alternatywne oraz znaczenie braku danych;
język wniosku proporcjonalny do jakości źródła.

Zamiast pisać „użytkownik przebiegł 4,2 km i miał atak paniki”, raport może stwierdzić, że określone źródło zapisało sesję sklasyfikowaną jako bieg, zawierającą trasę i estymowany dystans, a w części przedziału odnotowało wzrost tętna; osobno opisuje dowody, kto nosił urządzenie, oraz brak podstaw do ustalenia przyczyny fizjologicznej. To mniej efektowne, ale znacznie bliższe wartości dowodowej danych.

Lista kontrolna

Czy zabezpieczono zegarek lub opaskę razem z telefonem, kontem, ładowarką i źródłami zewnętrznymi?
Czy zapisano model, numer seryjny, firmware, aplikację, system, ustawienia i stan sparowania?
Czy rozdzielono sensor, próbkę, rekord, sesję, agregat i wykres?
Czy zachowano UUID, identyfikatory klienta, wersje, źródło, urządzenie i metodę rejestracji?
Czy ustalono, które pola nadaje platforma, a które deklaruje aplikacja?
Czy odróżniono czas pomiaru, zapisu, modyfikacji, synchronizacji i serwera?
Czy sprawdzono strefę, offset, podróż, zmianę czasu i korekty zegara?
Czy wykluczono podwójne liczenie i pętlę synchronizacji?
Czy wykazano, kto rzeczywiście nosił urządzenie w relewantnym czasie?
Czy brak rekordu odróżniono od zera, zdjęcia urządzenia, rozładowania i niepełnego eksportu?
Czy trasa została sprawdzona na surowych punktach, a nie tylko na wygładzonej mapie?
Czy wyniku fizjologicznego nie przedstawiono jako diagnozy albo dowodu przyczyny?
Czy parser i znaczenie artefaktu zwalidowano dla zgodnych wersji?
Czy raport ujawnia dane ręczne, aktualizacje, usunięcia i hipotezy konkurencyjne?
Czy zakres danych zdrowotnych był konieczny i proporcjonalny?

Źródła i standardy

Stan dokumentacji platform i funkcji konsumenckich należy sprawdzać dla wersji relewantnej dla zdarzenia. API, zakres typów danych, reguły synchronizacji i klasyfikatory zmieniają się wraz z aktualizacjami; współczesna dokumentacja nie może bez weryfikacji opisywać zachowania starszego urządzenia.