🤖 AI

Operational Identity: A Finite Audit of Declared and Implemented Rules of Sameness

Diese Arbeit formalisiert ein endliches Audit-Framework, das systematische Divergenzen zwischen deklarierten und implementierten Identitätsregeln durch den Vergleich ihrer jeweiligen Partitionen eines Datensatz-Bereichs innerhalb eines Verfeinerungslattices mittels einer dreiwertigen, nicht-monotonen Evaluierung detektiert, um spezifische Divergenzzeugen zu identifizieren, ohne notwendigerweise die zugrunde liegende Implementierungsbasis offenzulegen.

Ursprüngliche Autoren: Denise M. Case

Veröffentlicht 2026-07-24

📖 7 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Denise M. Case

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Die unsichtbaren Regeln der „Gleichheit“

Stellen Sie sich vor, Sie spielen mit einem Freund ein riesiges, komplexes Spiel des „Verbindens von Punkten“. Sie beide haben ein Regelbuch, in dem steht: „Wenn wir die Farbe eines Punktes ändern, bleibt es derselbe Punkt. Wenn wir ihn auf eine neue Seite verschieben, ist es ein neuer Punkt.“ So funktionieren viele Computersysteme: Sie haben eine Deklaration, das ist das offizielle, von den Designern geschriebene Regelbuch. Es sagt dem System, wie es entscheiden soll, ob zwei Datenstücke „dasselbe“ (korreferierend) oder „anders“ sind.

Aber hier kommt der Clou: Der Computer liest nicht nur das Regelbuch; er besitzt auch einen Mechanismus, das ist der eigentliche Code, die verborgenen Schalter und die automatischen Knöpfe, die er während des Spiels drückt. Manchmal drücken die verborgenen Knöpfe des Computers einen anderen Rhythmus, als das Regelbuch vorgibt. Vielleicht sagt das Regelbuch: „Farbänderungen spielen keine Rolle“, aber der Code des Computers sagt im Geheimen: „Wenn sich die Farbe ändert, müssen wir es als einen völlig neuen Punkt behandeln!“

Dieses Paper bewegt sich in der Welt der Informatik und der Logik und untersucht speziell, wie wir Dinge (wie rechtliche Regeln, KI-Agenten oder Datenbankdatensätze) über die Zeit hinweg verfolgen, während sie sich verändern. Das große Problem ist, dass Systeme sich oft selbst belügen. Sie können eine verborgene Regel perfekt konsistent befolgen, und dennoch ist diese Regel eine völlig andere als die, die sie versprochen haben zu befolgen. Wenn man nicht nachprüft, glaubt man vielleicht, über dasselbe Objekt zu sprechen, während der Computer denkt, dass er über etwas völlig anderes spricht. Das ist wichtig, denn wenn Ihre Bank, Ihre Krankenakten oder ein rechtlicher Vertrag auf diesen verborgenen Unstimmigkeiten basieren, kann das gesamte System zusammenbrechen, wenn Sie versuchen, die Abläufe nachzuvollziehen.

Das große „Gleichheits-Audit“

Dieses Paper führt eine clevere Methode ein, um diese verborgenen Unstimmigkeiten aufzuspüren. Die Autorin, Denise Case, nennt dies ein Operational Identity Audit (ein operationales Identitätsaudit). Stellen Sie es sich wie eine Detektivgeschichte vor, in der der Detektiv nicht nur das Tagebuch des Verdächtigen liest (die Deklaration), sondern auch die Hände des Verdächtigen beobachtet, während er tippt (die Implementierung).

Die zwei Partitionen
Stellen Sie sich vor, Sie haben einen Haufen von 100 Tonkugeln.

Die deklarierte Partition: Das Regelbuch sagt: „Wenn du eine Kugel zerquetscht, ist es immer noch dieselbe Kugel.“ Also gruppieren Sie alle zerquetschten Kugeln zusammen. Dies ist die „deklarierte Partition“.
Die operationale Partition: Beobachten Sie nun den Roboter, der die Kugeln handhabt. Obwohl das Regelbuch sagt „Zerquetschen = gleich“, hat der Roboter einen geheimen Sensor. Jedes Mal, wenn eine Kugel zerquetscht wird, malt der Roboter einen winzigen Punkt darauf und legt sie in eine andere Box. Der Roboter folgt einer geheimen Regel: „Zerquetschen = Neue Kugel“. Dies ist die „operationale Partition“.

Die Hauptaufgabe des Papers ist es, diese beiden Gruppierungen zu vergleichen. Es fragt: Splittet die geheime Gruppierung des Roboters jemals eine Gruppe auf, die das Regelbuch zusammenhalten wollte?

Der „Divergenz-Zeuge“
Wenn der Roboter eine Gruppe aufspaltet, die das Regelbuch zusammengehalten hat, nennt das Paper dies einen Divergence Witness (einen Divergenz-Zeugen). Es ist, als würde man ein einziges Paar Tonkugeln finden, von denen das Regelbuch sagt, sie seien Zwillinge, der Roboter sie aber als Fremde behandelt. Das Paper beweist, dass man nicht jede einzelne Kugel prüfen muss, um ein Problem zu finden; das Finden nur eines solchen unpassenden Paares reicht aus, um zu beweisen, dass das System über seine eigenen Regeln lügt.

Die „Geschwister“-Detektivarbeit
Manchmal folgt der Roboter nicht einfach einer zufälligen geheimen Regel; er folgt vielleicht einer anderen offiziellen Regel, die die Designer des Systems vergessen haben zu erwähnen. Das Paper führt die Idee der Siblings (Geschwister) ein.

Stellen Sie sich vor, das Regelbuch sagt „Farbe zählt“ (Regel A).
Aber es gibt eine bekannte „Geschwister-Regel“ (Regel B), die besagt „Form zählt“.
Wenn der Roboter Kugeln basierend auf der Form aufspaltet, kann das Audit sagen: „Ah! Du folgst nicht Regel A, aber du folgst Regel B.“
Das Paper ist hier jedoch sehr vorsichtig. Es beweist, dass der Roboter nicht einfach nur die „Form“-Regel innerhalb der Gruppen befolgt, die das Regelbuch gemacht hat, um zu bedeuten, dass er die „Form“-Regel überall vollständig befolgt. Er könnte Dinge mischen und kombinieren. Das Paper erstellt ein spezifisches „Gitter“ (ein ausgeklügeltes Netz), um genau zu klassifizieren, wie die geheime Regel des Roboters von der offiziellen Regel abweicht.

Die „Versionsfeld“-Falle
Eines der unterhaltsamsten Beispiele des Papers betrifft ein „Versionsfeld“. Stellen Sie sich ein Dokument vor, bei dem sich mit jeder Änderung eines einzelnen Buchstabens die Versionsnummer erhöht (1.0, 1.1, 1.2).

Das Regelbuch: „Wenn die Bedeutung des Textes gleich bleibt, ist es dasselbe Dokument.“
Der Roboter: „Wenn sich die Versionsnummer ändert, ist es ein neues Dokument!“
Das Ergebnis: Der Roboter spaltet die Dokumente in winzige, winzige Gruppen basierend auf der Versionsnummer auf, obwohl das Regelbuch sagt, sie sollten eine einzige große Gruppe bilden. Das Paper zeigt, dass dies eine spezifische Art von Unstimmigkeit ist, die als „Sub-sibling Divergence“ bezeichnet wird. Der Roboter ist zu wählerisch und spaltet Dinge feiner auf, als es selbst die „Form“-Regel tun würde.

Die „Bestanden“-Falle (Nicht-Monotonie)
Hier ist der am meisten verblüffende Teil des Papers. Normalerweise gilt: Wenn man eine Prüfung bestanden hat, hat man sie für immer bestanden. Aber dieses Paper beweist, dass in dieser Art von Audit das Bestehen nicht permanent ist.
Stellen Sie sich vor, Sie prüfen den Roboter heute mit 10 Kugeln, und er besteht. Sie erklären ihn für „treu“.
Dann, morgen, fügen Sie eine weitere Kugel zum Haufen hinzu und verbinden sie mit den anderen. Plötzlich sagt das Regelbuch: „Oh, diese beiden Kugeln sind eigentlich dieselben!“ Aber der Roboter behandelt sie immer noch als verschieden, weil er seinen geheimen Sensor hat.
Jetzt fällt der Roboter durch! Das Paper nennt dies Nicht-Monotonie. Ein „Bestanden“-Urteil ist nur wahr für die spezifische Historie der Ereignisse, die Sie betrachtet haben. Wenn Sie mehr Geschichte hinzufügen (mehr Änderungen, mehr Zeit), kann ein System, das gestern bestanden hat, heute durchfallen. Sie können kein permanentes Zertifikat über „gutes Verhalten“ erhalten; Sie können nur einen Zeugnisbericht für das „Verhalten bis zu diesem spezifischen Moment“ erhalten.

Was das Paper ausschließt
Das Paper ist sehr streng darin, was es nicht tut.

Es sagt Ihnen nicht, welche Regel die „richtige“ ist (z. B. ob „Farbe“ oder „Form“ die wahre Definition des Objekts ist). Es prüft nur, ob der Roboter das Regelbuch befolgt, das ihm gegeben wurde.
Es kann verborgene Regeln finden, aber nur, wenn diese Regeln vom Auditor offengelegt oder entdeckt werden. Das Audit funktioniert durch die Untersuchung eines „Registers“ von Mechanismen (wie spezifischen Codefeldern, Workflow-Zuständen oder Konfigurationswerten), die der Systembetreiber dem Auditor zeigt oder die der Auditor durch Untersuchung findet. Wenn ein Mechanismus in undokumentiertem Code oder einer geheimen Praxis verborgen ist, die niemand offenlegt, kann das Audit ihn nicht sehen. Das Audit ist nur so gut wie die Liste der Schalter, die die Designer dem Detektiv gezeigt haben oder die der Detektiv durch Untersuchung aufgedeckt hat.
Es sagt nicht, dass der Roboter „kaputt“ ist, wenn er zwei Dinge zusammenführt, die das Regelbuch getrennt gehalten hat. Das Paper kümmert sich nur darum, ob der Roboter Dinge aufspaltet, die das Regelbuch zusammenhalten wollte. Zusammenführen kann in Ordnung sein; Aufspalten ist das Vergehen.

Das Fazit
Dieses Paper liefert uns ein mathematisches Werkzeug, um Systeme zu entlarven, die in ihrer eigenen Weise „ehrlich“, aber im Vergleich zu ihren Versprechen „unehrlich“ sind. Es verwandelt ein vages Gefühl von „etwas fühlt sich falsch an“ in eine konkrete, überprüfbare Liste von Unstimmigkeiten. Es zeigt, dass in der digitalen Welt die Tatsache, dass ein System konsistent ist, nicht bedeutet, dass es wahrhaftig ist. Und es warnt uns davor, dass unser Vertrauen in ein System immer temporär ist, da bereits das Hinzufügen eines einzigen weiteren Stücks an Geschichte offenbaren kann, dass das System niemals die Regeln befolgt hat, die wir zu kennen glaubten.

Technisches Resümee: Eine endliche Auditierung deklarierter und implementierter Gleichheitsregeln

1. Problemstellung

Moderne Aufzeichnungssysteme, insbesondere solche, die Rechenschaftspflicht und rechtliche Übereinstimmung unterstützen, operieren oft unter anhaltender Uneinigkeit darüber, was geschehen ist, welche Regeln gelten und wer die Verantwortung trägt. Um während Streitigkeiten eine stabile Referenz zu gewährleisten, müssen diese Systeme die Identität von Datensätzen während ihrer Transformation (Änderung, Verzweigung, Verfeinerung) und ihres Austauschs bewahren.

Der Kern des adressierten Problems ist die Divergenz zwischen dem deklarierten Identitätsregime eines Systems (was das System als bestimmend für Gleichheit angibt) und seinem implementierten Identitätsverhalten (was das System tatsächlich tut). Ein System kann eine konsistente Gleichheitsregel anwenden, die kein Artefakt deklariert. Beispielsweise mag ein Schema eine inhaltsfixierte Identität deklarieren, während eine Workflow- oder Anwendungslogik ein Versionsfeld verwendet, um jede Textänderung als eine neue Entität zu behandeln. Diese Divergenz ist für Standard-Konsistenzprüfungen oft unsichtbar, da das System keine widersprüchlichen Behauptungen aufstellt; sein Provenienzgraph und seine Audit-Logs mögen intern konsistent sein, doch die operative Gleichheitsregel unterscheidet sich von der deklarierten. Die Arbeit formalisiert diese „operative Identität“ und bietet eine Methode zur Auditierung der Lücke zwischen Deklaration und Implementierung.

2. Methodik

Die Arbeit schlägt ein formales Audit-Verfahren vor, das zwei Partitionen einer endlichen Datensatzdomäne $R$ vergleicht: die deklarierte Partition und die operative Identitätspartition.

2.1. Die deklarierte Partition ( $\pi_\tau$ )
Abgeleitet aus einem deklarierten Identitätsregime $\tau$ und einer familien-labelten Transformationshistorie $H$ . Das Regime definiert eine Identitätsbasis (z. B. inhaltsfixiert, strukturfixiert) und eine Klassifikationsfunktion, die bestimmt, ob Transformationen die Identität bewahren, brechen oder gegenüber der Identität neutral sind. Die deklarierte Partition ist die Äquivalenzrelation, die durch die identitätserhaltenden Kanten in der Historie erzeugt wird.

2.2. Die operative Identitätspartition ( $\pi_d$ )
Abgeleitet aus einem offengelegten Implementierungsmechanismus (einer „Oberfläche“) $d$ und dessen identitätsrelevanten Anwendungen.

Mechanismus-Register ($DB$): Eine endliche Menge offengelegter Implementierungsartefakte (Felder, Workflow-Zustände, Prädikate) mit berechenbaren Beobachtungskarten.
Identitätsrelevante Ergebnisse: Das Audit konzentriert sich auf spezifische Ergebnistypen: Zuweisung von Referent-Identifikatoren, Auflösung, Persistenz, Behandlung von Transformationen, Auswahl der Anwendbarkeit oder Zulässigkeit von Operationen.
Oberflächenkontrolle: Ein Mechanismus ist nur dann eine Audit-Oberfläche, wenn seine identitätsrelevanten Anwendungen durch seinen Wert faktorisiert werden. Wenn die Anwendungen gemeinsam durch mehrere Artefakte gesteuert werden, eskaliert das Audit zu einem gemeinsamen Mechanismus.
Operative Partition: Datensätze werden nach ihren „Identitätsbehandlungs-Signaturen“ (dem Vektor der durch die Oberfläche produzierten Ergebnisse) gruppiert. Datensätze mit identischen Signaturen gehören zum selben Block in $\pi_d$ .

2.3. Der Audit-Prozess
Das Audit vergleicht $\pi_\tau$ und $\pi_d$ innerhalb des Verfeinerungslattices:

Treue (Faithfulness): Eine Oberfläche ist treu, wenn $\pi_\tau$ die $\pi_d$ verfeinert (d. h. die Oberfläche eine deklarierte Koreferenzklasse niemals aufspaltet).
Divergenz-Zeuge (Divergence Witness): Ein Paar $(r, s)$ , wobei $r \sim_\tau s$ (als gleich deklariert) aber $IT_d(r) \neq IT_d(s)$ (operativ als verschieden behandelt).
Klassifikation: Falls eine Geschwister-Identitätsbasis $\tau'$ $τ^{'}$ existiert (z. B. strukturfixiert vs. inhaltsfixiert), wird die Divergenz lokal innerhalb der deklarierten Klassen in vier Fälle unterteilt:
1. Geschwister-aligniert: Die Oberfläche spaltet exakt so wie die Geschwisterbasis.
2. Sub-Geschwister: Die Oberfläche spaltet streng feiner als die Geschwisterbasis.
3. Super-Geschwister: Die Oberfläche nimmt einige, aber nicht alle Unterscheidungen der Geschwisterbasis vor.
4. Geschwister-inkomparabel: Die Oberfläche trifft Unterscheidungen, die die Geschwisterbasis nicht macht, lässt aber andere weg.
Regime-Substitution: Eine stärkere globale Bedingung, bei der $\pi_d = \pi_{\tau'}$ auf der gesamten Domäne gilt. Die Arbeit beweist, dass Geschwister-Alignment nicht Regime-Substitution impliziert.

3. Zentrale Beiträge

Die Arbeit leistet fünf spezifische Beiträge:

Operative Identitätspartition: Sie definiert die durch eine Implementierungsoberfläche induzierte Gleichheitsregel als ein berechenbares Objekt über einem offengelegten Mechanismusregister.
Treue und Divergenz: Sie definiert Treue als eine Verfeinerungsrelation und liefert einen endlichen Divergenz-Zeugen, der diese widerlegt. Sie stellt fest, dass Treue eine einseitige Eigenschaft ist: Das Aufspalten einer deklarierten Klasse ist ein Fehler, aber das Zusammenführen distinkter deklarierter Klassen ist nicht notwendigerweise ein Fehler einer einzelnen Oberfläche (es kann eine Konflation auf Store-Ebene sein).
Divergenz-Klassifikation: Sie führt eine vierstufige lokale Lattice-Klassifikation für Divergenzen ein, wenn eine Geschwisterbasis verfügbar ist, und unterscheidet diese lokale Ausrichtung von der globalen Bedingung der Regime-Substitution. Sie liefert eine konkrete Konstruktion (ein Versionsfeld, das bei jeder Änderung inkrementiert wird), die den Fall der Sub-Geschwister-Divergenz besetzt.
Nicht-Monotonie von Pass-Urteilen: Sie beweist, dass ein „Pass“-Urteil nicht monoton unter der Erweiterung der Transformationshistorie ist. Das Hinzufügen von Historie kann zuvor getrennte deklarierte Klassen zusammenführen, wodurch ein Divergenz-Zeuge unter Datensätzen entsteht, die zuvor untersucht und als treu befunden wurden, ohne dass sich die Oberfläche oder die Datensätze geändert haben.
Offenlegungs-Relativität: Sie rahmt das Audit explizit relativ zu drei Offenlegungsgrenzen ein: den Artefakten im Register, den evaluierten Oberflächen und den identifizierten identitätsrelevanten Anwendungen. Jede Grenze trägt eine Vollständigkeitsbehauptung, die das Verfahren nicht entlasten, aber mit einem endlichen Zeugen widerlegen kann.

4. Ergebnisse und Entscheidbarkeit

Endliche Entscheidbarkeit: Unter der Annahme einer endlichen Datensatzdomäne, endlicher Historie und entscheidbarer Klassifikationsfunktionen sind die deklarierte Partition, die operative Partition, die Treue, die Divergenz-Zeugen und die Divergenz-Klassifikation allesamt berechenbar.
Komplexität: Die Konstruktion von Partitionen erfordert $O((n+h)\alpha(n))$ Zeit mittels Union-Find, wobei $n$ die Anzahl der Datensätze und $h$ die Länge der Historie ist. Urteile und Klassifikationen können in $O(n^2)$ Zeit durch Paar-Enumeration oder erwartete $O(n)$ Zeit mittels Hashing berechnet werden.
Dreiwertiges Urteil: Das Audit gibt pass (bestanden), fail (fehlgeschlagen, mit einem Zeugen und einer Klassifikation) oder indeterminate (unbestimmt, falls Voraussetzungen wie Historien-Genauigkeit oder Oberflächenkontrolle nicht erfüllt sind) zurück.
Anwendungsbeispiel: Ein Szenario der rechtlichen Ausrichtung demonstriert ein System, das eine inhaltsfixierte Regel-Identität ( $RULE\text{-}C$ ) deklariert, während eine Implementierung über ein Versionsfeld Datensätze bei jeder Textänderung aufspaltet. Das Audit identifiziert dies als eine Sub-Geschwister-Divergenz (feiner als sowohl die inhaltsfixierte als auch die strukturfixierte Basis) und beweist, dass das System weder das deklarierte Regime ausführt, noch lediglich das Geschwister-Regime ( $RULE\text{-}S$ ) betreibt.

5. Bedeutung und Ansprüche

Die Arbeit beansprucht, die „andere Hälfte“ des Vergleichs zwischen dem, was ein System deklarieren sollte, und dem, was es tatsächlich tut, zu liefern. Ihre Bedeutung liegt in:

Formalisierung des Unsichtbaren: Sie macht die „undeklarierte Gleichheitsregel“ berechenbar und auditierbar und unterscheidet sie von einfacher Inkonsistenz oder Widerspruch.
Neutralität: Sie bestimmt nicht die „korrekte“ Identitätsbasis (z. B. ob Inhalt oder Struktur die Gleichheit definieren sollte). Stattdessen nimmt sie das effektive deklarierte Regime als Input und prüft, ob die Implementierung gegenüber diesem treu ist.
Audit-Strenge: Sie etabliert, dass ein „Pass“-Urteil eine Aussage über eine spezifische Historie und ein spezifisches Offenlegungsset ist, kein permanentes Zertifikat eines Stores. Sie hebt hervor, dass die Erweiterung der Historie ein „Pass“-Urteil retrospektiv ungültig machen kann.
Limitierungen: Die Arbeit ist bescheiden in Bezug auf ihren Umfang. Sie entdeckt keine verborgenen Mechanismen außerhalb des offengelegten Registers und klärt keine substanziellen rechtlichen oder kausalen Fragen. Sie liefert ein formales Objekt (die operative Partition) und einen endlichen Zeugen für Divergenz, wobei die Identifizierung der spezifischen Basis, die für die Divergenz verantwortlich ist, dem Auditor überlassen bleibt.

Das Audit wird als notwendige Voraussetzung für die Untersuchung höherwertiger Fragen der Verantwortung und der rechtlichen Interpretation präsentiert, um sicherzustellen, dass die Referenz auf den Gegenstand eines Streits stabil und inspizierbar bleibt.