Operational Identity: A Finite Audit of Declared and Implemented Rules of Sameness

Resumen Técnico: Una Auditoría Finita de las Reglas Declaradas e Implementadas de Identidad

1. Planteamiento del Problema

Los sistemas de registros modernos, particularmente aquellos que soportan la rendición de cuentas y la alineación legal, operan a menudo bajo un desacuerdo persistente sobre qué ocurrió, qué reglas se aplican y quién asume la responsabilidad. Para mantener una referencia estable durante las disputas, estos sistemas deben preservar la identidad de los registros a medida que se transforman (se modifican, se bifurcan, se refinan) y se intercambian.

El problema central abordado es la divergencia entre el régimen de identidad declarado de un sistema (lo que el sistema afirma que determina la identidad) y su comportamiento de identidad implementado (lo que el sistema realmente hace). Un sistema puede aplicar una regla de identidad consistente que ningún artefacto declara. Por ejemplo, un esquema puede declarar una identidad basada en el contenido, mientras que la lógica de un flujo de trabajo o de una aplicación utiliza un campo de versión para tratar cada edición textual como una nueva entidad. Esta divergencia suele ser invisible para las verificaciones de consistencia estándar porque el sistema no emite afirmaciones contradictorias; su grafo de procedencia y sus registros de auditoría pueden ser internamente consistentes, pero la regla operativa de identidad difiere de la declarada. El artículo busca formalizar esta "identidad operativa" y proporcionar un método para auditar la brecha entre la declaración y la implementación.

2. Metodología

El artículo propone un procedimiento de auditoría formal que compara dos particiones de un dominio de registros finito $R$: la partición declarada y la partición de identidad operativa.

2.1. La Partición Declarada ($\pi_\tau$)
Derivada de un régimen de identidad declarado $\tau$ y un historial de transformaciones etiquetado por familias $H$. El régimen define una base de identidad (por ejemplo, fija por contenido, fija por estructura) y una función de clasificación que determina si las transformaciones preservan, rompen o son neutrales a la identidad. La partición declarada es la relación de equivalencia generada por las aristas que no rompen la identidad en el historial.

2.2. La Partición de Identidad Operativa ($\pi_d$)
Derivada de un mecanismo de implementación divulgado (una "superficie") $d$ y sus usos relevantes para la identidad.

• Registro de Mecanismos ($DB$): Un conjunto finito de artefactos de implementación divulgados (campos, estados de flujo de trabajo, predicados) con mapas de observación computables.
• Resultados Relevantes para la Identidad: La auditoría se centra en tipos específicos de resultados: asignación de identificador de referente, resolución, persistencia, tratamiento de transformación, selección de aplicabilidad o admisibilidad de la operación.
• Control de la Superficie: Un mecanismo es una superficie de auditoría solo si sus usos relevantes para la identidad factorizan a través de su valor. Si los usos están controlados conjuntamente por múltiples artefactos, la auditoría escala a un mecanismo conjunto.
• Partición Operativa: Los registros se agrupan por sus "firmas de tratamiento de identidad" (el vector de resultados producidos por la superficie). Los registros con firmas idénticas pertenecen al mismo bloque en $\pi_d$.

2.3. El Proceso de Auditoría
La auditoría compara $\pi_\tau$ y $\pi_d$ dentro del retículo de refinamiento:

• Fidelidad: Una superficie es fiel si $\pi_\tau$ refina a $\pi_d$ (es decir, la superficie nunca divide una clase de corregferencia declarada).
• Testigo de Divergencia: Un par $(r, s)$ donde $r \sim_\tau s$ (declarados como iguales) pero $IT_d(r) \neq IT_d(s)$ (tratados operativamente como diferentes).
• Clasificación: Si existe un régimen de identidad hermano (por ejemplo, fijo por estructura frente a fijo por contenido), la divergencia se clasifica localmente dentro de las clases declaradas en cuatro casos:
  1. Alineado con el hermano: La superficie divide exactamente como lo hace el hermano.
  2. Sub-hermano: La superficie divide de forma estrictamente más fina que el hermano.
  3. Super-hermano: La superficie realiza algunas, pero no todas, de las distinciones del hermano.
  4. Incomparable con el hermano: La superficie realiza distinciones que el hermano no hace y omite otras.
• Sustitución de Régimen: Una condición global más fuerte donde $\pi_d = \pi_{\tau'}$ en todo el dominio. El artículo demuestra que la alineación con un hermano no implica la sustitución del régimen.

3. Contribuciones Clave

El artículo realiza cinco contribuciones específicas:

1. Partición de Identidad Operativa: Define la regla de identidad inducida por una superficie de implementación como un objeto computable sobre un registro de mecanismos divulgados.
2. Fidelidad y Divergencia: Define la fidelidad como una relación de refinamiento y proporciona un testigo de divergencia finito que la refuta. Establece que la fidelidad es unidireccional: dividir una clase declarada es un error, pero fusionar clases declaradas distintas no es necesariamente un error de una sola superficie (puede ser una confluencia a nivel de almacén).
3. Clasificación de la Divergencia: Introduce una clasificación de retículo local de cuatro vías para la divergencia cuando hay una base hermana disponible, distinguiendo esta alineación local de la condición global de sustitución de régimen. Proporciona una construcción concreta (un campo de versión incrementado en cada edición) que ocupa el caso de sub-hermano.
4. No Monotonicidad de los Veredictos de Aprobación: Demuestra que un veredicto de "aprobado" no es monótono bajo la extensión del historial de transformaciones. Añadir historial puede fusionar clases declaradas previamente separadas, creando un testigo de divergencia entre registros que fueron examinados previamente y se consideraron fieles, sin que haya habido cambios en la superficie o en los registros mismos.
5. Relatividad de la Divulgación: Enmarca explícitamente la auditoría en relación con tres límites de divulgación: los artefactos en el registro, las superficies evaluadas y los usos relevantes para la identidad identificados. Cada límite conlleva una afirmación de completitud que el procedimiento no puede descargar, pero que sí puede refutar con un testigo finito.

4. Resultados y Decidibilidad

• Decidibilidad Finita: Bajo el supuesto de un dominio de registros finito, un historial finito y funciones de clasificación decidibles, la partición declarada, la partición operativa, la fidelidad, los testigos de divergencia y la clasificación de la divergencia son todos computables.
• Complejidad: La construcción de particiones requiere $O((n+h)\alpha(n))$ tiempo usando union-find, donde $n$ es el número de registros y $h$ es la longitud del historial. Los veredictos y clasificaciones pueden computarse en $O(n^2)$ tiempo mediante enumeración de pares o en un tiempo esperado de $O(n)$ usando hashing.
• Veredicto de Tres Valores: La auditoría devuelve aprobado, fallido (con un testigo y clasificación) o indeterminado (si los precondiciones como la exactitud del historial o el control de la superficie no se cumplen).
• Ejemplo Práctico: Un escenario de alineación legal demuestra un sistema que declara una identidad de regla fija por contenido ($RULE\text{-}C$) mientras que una implementación de campo de versión divide los registros en cada cambio de texto. La auditoría identifica esto como una divergencia sub-hermana (más fina que tanto la base fija por contenido como la fija por estructura), demostiendo que el sistema no está ejecutando el régimen declarado, ni está simplemente ejecutando el régimen hermano ($RULE\text{-}S$).

5. Significado y Reivindicaciones

El artículo sostiene que suministra la "otra mitad" de la comparación entre lo que un sistema debe declarar y lo que hace. Su importancia radica en:

• Formalizar lo Invisible: Hace que la "regla de identidad no declarada" sea computable y auditable, distinguiéndola de una simple inconsistencia o contradicción.
• Neutralidad: No determina la "correcta" base de identidad (por ejemplo, si el contenido o la estructura deben definir una regla). En su lugar, toma el régimen efectivo declarado como entrada y verifica si la implementación es fiel a él.
• Rigor de Auditoría: Establece que un veredicto de aprobación es una declaración sobre un historial y un conjunto de divulgación específicos, no un certificado permanente de un almacén. Destaca que extender el historial puede invalidar retroactivamente un veredicto de aprobación.
• Limitaciones: El artículo es modesto en cuanto a su alcance. No descubre mecanismos ocultos fuera del registro divulgado, ni resuelve cuestiones sustantivas legales o causales. Proporciona un objeto formal (la partición operativa) y un testigo finito de divergencia, dejando la identificación de la base específica responsable de la divergencia al auditor.

La auditoría se presenta como una condición previa necesaria para examinar cuestiones de orden superior de responsabilidad e interpretación legal, asegurando que la referencia al objeto de una disputa permanezca estable e inspeccionable.