从街道之眼到城市之眼
智慧城市如何改变匿名性？

文 _ 李丽梅（华东师范大学中国现代城市研究中心）

1961年，简·雅各布斯（Jane Jacobs）在《美国大城市的死与生》一书中盛赞“街道之眼”，论述了不同时间使用街道的人（特别是店主和商贩）是如何成为“街道之眼”的——他们或无意或有意地观察街道上发生的事情，形成了“一种错综复杂，几乎是无意识的自发控制和标准”。街道之眼由人自发产生，守卫公共安全、维护城市秩序，是城市安全与繁荣的关键。

60年后的今天，在万物皆联网的智慧城市，街道上的“眼睛”不再只限于人类。城市空间中的一切，如建筑、道路、街灯、垃圾箱等，都具有了“看”的能力。它们能认出你，储存看见的一切，而且全天候无休止运行，街道之眼日益被城市之眼取代。城市之眼时代来临，从无处不在的传感器到人脸识别技术，会对城市生活产生什么影响？城市之眼会变成一种监控工具，还是一种看待我们自身的新方式？我们是在走向乌托邦，还是反乌托邦？

这些问题引发了城市研究者和实践者的思考与探讨。2019年12月，在深圳福田高铁站举办的深港城市\建筑双城双年展中，由麻省理工学院可感知实验室主任卡洛·拉蒂（Carlo Rati）领衔，来自世界各地的六十多支由建筑师、设计师、计算机科学家、工程师、艺术家、社会学家和其他研究者组成的队伍策划了“城市之眼”（Eyes of the City）展览，探索技术如何改变城市生活以及我们可以为之做什么。策展团队选择在火车站举办这个展览颇具深意——火车站本是体验最高程度城市匿名性的场所之一，现在却成为实时识别个体并迅即做出响应的范例。

匿名性是城市区别于农村的根本特性之一，但这一特性正在被智慧城市挑战。

▽

anonymity（匿名性）一词在16世纪时从希腊语引入英语，其在希腊语中的原意为“无名”，指一种没有名字、身份未知的状态。无名是理解匿名性的第一个出发点，因为名字是连接个体与信息的关键。不过，匿名性不仅指无名，还指没有踪迹、无法识别、无法联系、无法追踪。

在人类漫长的历史中，匿名性是一个新鲜事物。在采集、狩猎的部落和农村，因聚居人数有限，每个人认识每个人，没有什么隐私可言。直到人类发明城市，城市生活才创造了匿名性。城市规模之大使得每个人认识所有人成为一项不可能的任务，城市生活的吸引力之一就在于可以摆脱“每个人都认识你”的社会控制，可以说匿名性和隐私是城市文明的产物。因此，雅各布斯把城市定义为“充满陌生人之所在”。

作为现代性和城市性的一个重要特征，匿名性在大都市表现得最为突出。20世纪初，德国哲学家和社会学家齐美尔（Georg Simmel）在论述大都市生活的特征及其对人的精神生活的影响时指出，匿名性是货币和商品经济的根本特征之一，买家不必认识商品生产者，资本所有者不必认识资本投资者。在社区纽带和个体身份之间，现代城市孕育出一种独特的生存状态，一种在人海之中匿名的状态。城市是对匿名性的庆典。

匿名性是人口规模较大、人口密度和人口异质性较高的城市化发展带来的，是城市社会生产的结果。走在同一条街道上的行人之间的匿名性，生活在同一城市社区居民之间的匿名性……这种匿名性是现代化、城市化过程中无意产生的结果，在这一过程中，身份信息与个人脱钩或者干脆消失。

匿名性与法国大革命的核心价值观——自由、平等、博爱密切相连。匿名性具有保护和促进自由的潜力，这种自由属于以赛亚·伯林（Isaiah Berlin）所论的“消极自由”，即没有障碍、免遭限制的自由。这是一种不被政府监控机器完全可见、不受社会和文化约束、不被问责的自由。匿名性可以促进平等，在互动者彼此匿名的情况下，互不知晓可能导致等级产生的诸如年龄、阶级、性别、种族等社会类别信息，此时人们更有可能根据能力、作品和思想本身的价值进行评判。匿名性鼓励人们尝试新事物、促进创新，其跨越文化差异的能力可以促进新形式的共享、交流和合作——维基百科就是一个绝佳例子。

不过，匿名性也是一把双刃剑。它既可以带来个人解放，个体不受传统束缚、追逐个体野心和梦想；也可能导致社会团结丧失，个体隔绝、孤独、异化，带来欺诈、暴力、犯罪等恶性行为。当匿名性导致无法问责个人时，便会展现出黑暗的一面。

▽

2008年11月，IBM公司提出了“智慧地球”愿景，“智慧城市”是其中的关键概念，指“利用信息和通信技术来感知、分析和整合城市运行中的核心子系统的关键信息”。智慧城市运用以物联网为核心的技术促进城市子系统之间的协同运作，包括交通通信、安全、公共卫生、能源、供水、垃圾处理、电子政务、商业服务、社区参与等领域，涉及城市生活的方方面面。智慧城市采用传感器、测量装置、摄像头和其他监控技术，结合云计算、大数据分析和人工智能，管理城市、提供服务，承诺通过使用数据和技术做出更好的决策，改善城市生活质量。

因此，智慧城市这个概念一经提出，便被视为对21世纪全球人口不断向城市集中带来的挑战的技术解决办法和新的经济增长点，世界各国旋即掀起了建设智慧城市的热潮。其中，中国智慧城市建设的速度和规模引人瞩目：自2013年住房和城乡建设部公布首批90个智慧城市试点以来，已公布了三批试点城市，数量达290个；2016年，“十三五”规划纲要提出要建设100个新型示范性智慧城市，至2018年末，已有700多个城市（含县级市）提出或在建智慧城市；据伊甸策略中心（Eden Strategy Institute）公布的2020—2021年度全球“智慧城市政府50强”（Top 50 Smart City Governments）排名，有7个中国大陆城市上榜。

2018年，麦肯锡全球研究院（MGI）在一份题为《智慧城市：数字解决方案创造更宜居的未来》（Smart cities: Digital solutions for a more livable future）的研究报告中提出，智慧城市建设包括三个层次：第一层是技术基础，包括高速互联网、智能手机、开放数据门户和传感器等；第二层指各种具体应用和工具；第三层为用户使用和体验。其中，每个层次都蕴含巨大商机。据中国智慧城市工作委员会数据，预计到2022年，中国智慧城市的市场规模将达25万亿元人民币。另据彭博新闻社援引“香蕉皮报告”（Report Banana）数据，预计到2030年，智慧城市的全球市场规模将达4.3万亿美元。建立在数据，特别是个人数据的基础之上的智慧城市，俨然已掀起新一轮“淘金热”。

▽

匿名性随技术发展而变化。在智慧城市里，光是隐姓埋名不足以实现匿名。过去找到一个人最有效的方式是通过名字，现在信息技术可以提供多个切入点找到一个人，而且可识别个体的信息维度众多——身份证号、家庭住址、手机号码、电邮地址、IP地址、银行账户、车牌号码；年龄、教育水平、工作单位；人脸、指纹、虹膜、DNA、步态；地理定位和出行轨迹……在遍布摄像头、传感器和人脸识别技术的智慧城市，匿名性受到了极大挑战。如果掌握了你的人脸特征、IP地址或DNA信息，谁还需要你的名字？更为重要的是，即使缺乏上述可识别个体的信息，技术也可以将网络分散的信息片段连接起来推断出个人信息。

智慧城市日益部署技术，不断扩大政府、企业和其他组织对个人数据的收集，包括个人身份、活动以及生物特征信息等。这些数据可被分为个人可识别信息和非个人可识别信息。其中，个人可识别信息包含姓名、地址或身份证号等足以识别个人的信息，被视为敏感数据。而非个人可识别信息则不被视为敏感数据，如手机在某个时点、某个位置的媒体访问控制地址（MAC）。MAC可被用来确认网络设备所处位置，但通常不被视为敏感数据，因为一个数据点不太可能泄露某人身份或其他敏感信息。然而，若干单个数据汇总之后就会变得非常敏感，数以百万计的数据点被收集，并辅以大数据分析手段，就有可能揭示人们的行为模式，推断个人身份和隐私细节，甚至预测个体偏好和未来行为。

例如，一项研究分析了100万个人的手机位置追踪信息和信用卡交易信息这两个数据库，虽然数据库中不包含任何个人可识别信息，但研究者通过“去过哪里、何时去那里”四个数据点就可识别其中超过90%的人。另一项研究利用匿名的纽约市出租车行程数据，识别出了几名经常光顾脱衣舞俱乐部的客户姓名。乔治城大学法律系教授保罗·奥姆（Paul Ohm）将这种通过非个人可识别信息推断和挖掘个体信息的行为称为“推断匿名”（inferential anonymity）。推断匿名挑战了匿名性的三要素：不可知性、不可见性和不可追踪性。在智慧城市，匿名性和隐私的定义日益被大量看似不敏感的数据提供的推论和这些推论赋予的力量决定。当所有数据都被收集、储存、传播和分析，城市的匿名性就会日渐消亡。对你的邻居而言，你可能依旧匿名，但对收集或获取数据的企业、机构乃至个人而言，你将不再匿名——曾经定义了城市生活标志性特征的匿名性将不复存焉。

今天，我们生活在实体与网络、线上与线下的双重世界中，智能手机成为开启智慧城市生活的钥匙。然而，这一转变的发生相当晚近。2008年，中国个人智能手机数量仅有1700万；而2020年12月，中国手机网民数量已达9.86亿，手机渗透率为70.4%，用户月均单日使用手机6.4小时，人均打开25.7个应用。无怪《连线》杂志主编凯文·凯利（Kevin Kelly）感叹：“你能想象智能手机问世只有不到5000天吗？与人类历史相比，5000天实在太过于短暂。然而就在这短短的5000天，我们的生活已经发生了如此惊人的变化。”因为变化发生得太过迅速，我们尚未充分理解其广泛深远的影响，毋论为其做好立法、行政和伦理准备。

智慧城市生活将留下无数物理和电子足迹，产生无数数据点，匿名性日益成为一种幻觉。想象城市上班族的一天：早晨离家骑共享单车到地铁站，扫乘车码进站；到公司打卡；午餐通过手机叫外卖解决；下班走在摩肩接踵的人潮中，似乎感受到城市特有的消失于人群中的匿名性和安全感，但回到小区门口，要刷脸才能进门；到家打开信箱，收到交通管理部门发来的罚单——某年某月某日某时某分，因过马路闯红灯违反交通规则，通过人脸识别确定了你的身份、住址，据此准确寄出罚单；吃过晚饭下楼倒垃圾，必须刷脸才能打开垃圾箱。

在数字平台经济之下，我们的工作与生活被转换为具有交换价值的数据，任何活动都可以作为数据被追踪、收集、储存、传播和分析，然后转化为企业的利润。这是一种新的资本“圈地运动”，许多企业都在争先恐后地研究哪些行为（包括线上和线下）可以转化为数据，然后将数据货币化。没有什么能逃脱数据化，用智能手机上网搜索这一简单行为已足够产生一长串新数据记录：初始搜索词、手机地理定位、搜索时间和日期、此前此后的搜索记录、手机操作系统、IP地址、安装的应用……科技公司在隐私政策里承认收集的个人信息包括姓名、性别、生日、手机号码、电邮地址、地理位置、职业、婚恋状态、收入、教育、民族、宗教信仰、住址、人脸识别数据、政治观点、银行卡、身份证号、IP地址、电子邮件、通讯录、通话记录、聊天记录、活动日程、搜索历史、观看视频历史、网站浏览历史、上传视频和照片、状态更新、朋友圈、点赞、文档、购物历史、游戏和互动数据、书籍、音乐、健身/健康数据、点击广告、使用的电子设备、电子设备附近的蓝牙、无线信号、语音信息等。这还不包括科技公司不承认在收集的个人信息。2019年，国家互联网应急中心在评估了1000多款常用重点手机应用程序（App）后发现，存在大量强制授权、过度索权、超范围收集个人信息的问题。并且，企业收集的数据可能会被出售给第三方。

我们对智能设备的依赖也在侵蚀匿名性。网络上流传的部分个人信息是人们自愿上传分享的，研究者发现存在一个隐私悖论：尽管人们珍视隐私，但却很少采取行动去保护隐私。例如，你是会在阅读网站或App上那些冗长的个人隐私保护政策后再点“我同意”，还是会直接点击“我同意”？一方面，多数人不知道如何保护个人数据；另一方面，数据是我们享受城市便利和接受公共和商业服务的代价。然而，人们对于哪些个人数据会被收集和储存、个人数据将被如何使用、谁拥有这些数据几乎一无所知，更没有任何控制权。以人脸识别技术为例，有的人脸数据收集需要经过你的同意，但更多的收集行为是在你无意识的情况下发生的——因为人脸识别可以远距离、悄无声息地进行。清华大学法学院的劳东燕教授就曾指出：“现行的人脸识别技术，无论是在收集、保管，还是使用的环节，都存在诸多问题。”

在智慧城市里，试图匿名的努力几乎是徒劳的。只要你在使用互联网、智能设备，传感器将监控任何拥有蓝牙或无线连接设备的人的行为，几乎不可能做到完全匿名。即使放弃使用网络和智能设备，人们也不能摆脱被监控的命运：城市中日益密布的摄像头及其他生物特征识别技术，时刻在监控着每一个人。我们熟悉的人脸识别技术只是无孔不入的监控技术的冰山一角。行为生物识别技术通过人的活动或行为模式识别个体。例如，首个商业步态识别公司银河水滴通过人的身体体型和行走姿态来识别个体身份，特点在于“远距离、非感知、全视角、抗伪装”，其拥有全球最大的步态数据库，识别率高达94%。再如，英国曼彻斯特大学开发的脚步识别系统能通过安装在地板上的传感器分析人的脚步，其提炼出了24种脚步特征，识别率高达99%。心跳也可以被用来识别个体，五角大楼通过红外激光开发的激光振动测量器可在200米范围内探测心跳引起的表面振动，识别率高达98%。其他生物识别技术还包括追踪人体留下的微生物细胞、气味、臀印等。这些生物特征识别技术的特点在于侵入性不强，人们难以察觉自己被“监控”。如果你想避免被追踪，就必须远离智慧城市。

▽

在人类历史上，政府、企业和社会从来不曾像今天这样，掌握如此多样、全面、海量的个人数据。21世纪初，人们每天可以产生2.5×10¹⁸字节的数据，与整个人类从有数据记录开始直到2007年所产生的数据量几乎一样多。信息时代威胁社会的方式有两种：广泛的数据收集和分析数据所产生的知识。智慧城市的数据收集和监控范围日益扩大，甚至可以抓住每一个闯红灯的人、每一个乱丢垃圾的人。雪亮的城市之眼能有效约束犯罪及不文明行为，但也曝光了人们的日常生活和隐私细节。当监控技术全面渗透城市空间和生活，智慧城市面临着沦为监控城市、全景敞式城市（Metropticon）的危险。

无处不在的监控打破了政府、企业和居民之间的权力平衡，数据收集和分析可以增加对被收集人的了解，并据此对其进行规训与惩罚，从而加强控制其生活的权力。例如，杭州某公司发给员工的智能坐垫可以获取坐姿、心跳、呼吸等数据，当员工长时间不动或坐姿不正确时，就会收到提醒。员工原以为可以借此改变久坐的不良习惯，实际上，智能坐垫却被用来监控员工上班“摸鱼”的情况，老板和人力资源管理者对员工何时起身、何时离开座位的数据了如指掌——“某某每天早上10点到10点半不在座位，带薪拉屎去了吗”。

雅各布斯将城市视为具有“有序复杂性”的生态系统、一个相互联系的有机整体，每个决策都是“牵一发而动全身”。城市今天部署的技术将定义未来的社会契约。目前，智慧城市技术已成为增加监控、提高企业利润的隐蔽工具，而在最坏的情况下，智慧城市技术会成为社会控制的工具。在政府、企业和社会对个人数据的渴求日益增长的背景下，智慧城市必须解决隐私保护与数据收集、储存、传播和使用之间的矛盾。中国的智慧城市建设热潮将个人数据安全置于风口浪尖，而现有立法落后于智慧城市建设，个人数据风险日益凸显。政府、企业和居民三股力量围绕个人数据和隐私保护问题展开争辩、谈判、诉讼、立法、监督等行动，将是一个崎岖坎坷的过程。

▽

城市之眼彻底重塑了城市匿名性和隐私的定义，改变了我们与城市之间的关系。这种变化可以带来诸多好处，如改善治安和公共卫生、减少交通拥堵、提供便捷服务、节约能源等。但这种变化也有黑暗的一面，面临过度监控、匿名性消亡、个人隐私泄露和数据滥用的危险。如何既能享受技术带来的便利，又能保障个人隐私不被侵犯？如何区分有用和过度的监控？急于成为智慧城市可能会带来创新、提高效率，但代价是创造出一个政府和企业拥有巨大权力来剥削和操纵公众的城市。不受约束的智慧城市是监控城市，我们需要的是足够智慧的城市。

为此，我们需要采取坚定的保护个人数据和隐私权的措施和行动。我们必须就如何收集、储存、传播和使用数据，由谁使用以及在什么情况下使用数据制定法律法规，个人应该对有关自己的信息的流动具有控制权。为了预防数据独裁，历史学家尤瓦尔·赫拉利（Yuval Harari）提出了三项原则。第一，收集个人数据（特别是个人生物特征数据）时，必须保证这些数据只能用来帮助个人，而不能用来操纵、控制或伤害个人。第二，监控必须是双向的。监控不能只是自上而下，同时必须增加对政府和企业的监督。如果监控不可避免，那么也许我们应该以其人之道还治其人之身，拥抱双向的、透明的“共同监控”（coveillance），去监督监控我们的人。第三，永远不允许数据过于集中在一个地方，哪怕要以低效为代价。