🤖 AI

Operational Identity: A Finite Audit of Declared and Implemented Rules of Sameness

Cet article formalise un cadre d'audit fini qui détecte les divergences systématiques entre les règles d'identité déclarées et implémentées en comparant leurs partitions respectives d'un domaine de données au sein d'un treillis de raffinement, en utilisant une évaluation à trois valeurs et non monotone pour identifier des témoins de divergence spécifiques sans nécessairement révéler la base d'implémentation sous-jacente.

Auteurs originaux : Denise M. Case

Publié 2026-07-24

📖 8 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Denise M. Case

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Les règles invisibles de la « similitude »

Imaginez que vous jouez à une partie géante et complexe de « relier les points » avec un ami. Vous avez tous deux un livre de règles qui stipule : « Si nous changeons la couleur d'un point, c'est toujours le même point. Si nous le déplaçons sur une nouvelle page, c'est un nouveau point. » C'est ainsi que fonctionnent de nombreux systèmes informatiques : ils possèdent une Déclaration, qui est le livre de règles officiel écrit par les concepteurs. Elle indique au système comment décider si deux morceaux de données sont « les mêmes » (co-référencés) ou « différents ».

Mais voici le rebondissement : l'ordinateur ne se contente pas de lire le livre de règles ; il possède aussi un Mécanisme, qui est le code réel, les commutateurs cachés et les boutons automatiques qu'il presse pendant qu'il joue au jeu. Parfois, les boutons cachés de l'ordinateur battent un rythme différent de celui du livre de règles. Peut-être que le livre de règles dit « les changements de couleur n'importent pas », mais le code de l'ordinateur dit secrètement : « Si la couleur change, nous devons traiter cela comme un tout nouveau point ! »

Ce document s'inscrit dans le monde de l'informatique et de la logique, s'intéressant plus précisément à la manière dont nous suivons des éléments (comme des règles juridiques, des agents d'IA ou des enregistrements de bases de données) à mesure qu'ils évoluent dans le temps. Le gros problème est que les systèmes se mentent souvent à eux-mêmes. Ils peuvent suivre une règle cachée de manière parfaitement cohérente, et pourtant cette règle est complètement différente de celle qu'ils ont promis de suivre. Si vous ne vérifiez pas, vous pourriez penser que vous parlez de la même chose, alors que l'ordinateur pense parler de quelque chose de totalement différent. Cela importe car si votre banque, vos dossiers médicaux ou un contrat juridique sont construits sur ces décalages cachés, l'ensemble du système peut s'effondrer lorsque vous essayez de retracer ce qui s'est passé.

Le grand audit de la « similitude »

Ce document introduit une méthode ingénieuse pour débusquer ces décalages cachés. L'auteur, Denise Case, appelle cela un Audit d'Identité Opérationnelle. Voyez cela comme une histoire de détective où le détective ne se contente pas de lire le journal intime du suspect (la Déclaration) ; il observe aussi les mains du suspect pendant qu'il tape (l'Implémentation).

Les deux partitions
Imaginez que vous avez un tas de 100 boules d'argile.

La Partition Déclarée : Le livre de règles dit : « Si vous écrasez une boule, c'est toujours la même boule. » Ainsi, vous regroupez toutes les boules écrasées ensemble. C'est la « Partition Déclarée ».
La Partition Opérationnelle : Maintenant, observez le robot qui manipule les boules. Même si le livre de règles dit « écrasement = même objet », le robot possède un capteur secret. Chaque fois qu'une boule est écrasée, le robot peint un petit point dessus et la place dans une boîte différente. Le robot suit une règle cachée : « Écrasement = Nouvelle Boule ». C'est la « Partition Opérationnelle ».

Le travail principal du document est de comparer ces deux regroupements. Il pose la question suivante : Le regroupement caché du robot divise-t-il un groupe que le livre de règles avait dit de maintenir ensemble ?

Le « Témoin de Divergence »
Si le robot divise un groupe que le livre de règles a maintenu ensemble, le document appelle cela un Témoin de Divergence (Divergence Witness). C'est comme trouver une seule paire de boules d'argile qui sont censées être des jumelles selon le livre de règles, mais que le robot traite comme des étrangères. Le document prouve que vous n'avez pas besoin de vérifier chaque boule pour trouver un problème ; trouver une seule de ces paires décalées suffit à prouver que le système ment sur ses propres règles.

Le travail de détective des « Sœurs »
Parfois, le robot ne suit pas seulement une règle secrète aléatoire ; il pourrait suivre une autre règle officielle que les concepteurs du système ont oubliée de mentionner. Le document introduit l'idée de Sœurs (Siblings).

Imaginez que le livre de règles dise « La couleur compte » (Règle A).
Mais il existe une « Règle Sœur » connue (Règle B) qui dit « La forme compte ».
Si le robot divise les boules en fonction de la forme, l'audit peut dire : « Ah ! Vous ne suivez pas la Règle A, mais vous suivez la Règle B. »
Cependant, le document est très prudent ici. Il prouve que le fait que le robot corresponde à la règle « Forme » à l'intérieur des groupes créés par le livre de règles ne signifie pas que le robot suit pleinement la règle « Forme » partout. Il pourrait mélanger et assortir. Le document crée un « treillis » spécifique (une grille sophistiquée) pour classifier exactement comment la règle secrète du robot diffère de la règle officielle.

Le piège du « Champ de Version »
L'un des exemples les plus intéressants du document concerne un « Champ de Version ». Imaginez un document où, chaque fois que vous changez une seule lettre, le numéro de version augmente (1.0, 1.1, 1.2).

Le Livre de Règles : « Si le sens du texte reste le même, c'est le même document. »
Le Robot : « Si le numéro de version change, c'est un nouveau document ! »
Le Résultat : Le robot divise les documents en groupes minuscules basés sur le numéro de version, même si le livre de règles dit qu'ils devraient former un seul grand groupe. Le document montre que c'est un type spécifique de décalage appelé « Divergence de Sous-Sœur » (Sub-sibling Divergence). Le robot est trop pointilleux, divisant les choses de manière plus fine que même la règle « Forme » ne le ferait.

Le piège de la « Réussite » (Non-monotonie)
Voici la partie la plus déroutante du document. Habitéralement, si vous réussissez un test, vous réussissez pour toujours. Mais ce document prouve que, dans ce type d'audit, la réussite n'est pas permanente.
Imaginez que vous vérifiez le robot aujourd'hui avec 10 boules, et qu'il réussisse. Vous le déclarez « Fidèle ».
Ensuite, demain, vous ajoutez une boule de plus au tas et vous la connectez aux autres. Soudain, le livre de règles dit : « Oh, ces deux boules sont en fait les mêmes ! » Mais le robot les traite toujours comme différentes à cause de son capteur secret.
Maintenant, le robot échoue ! Le document appelle cela la Non-monotonie. Un verdict de « Réussite » n'est vrai que pour l'histoire spécifique des événements que vous avez examinés. Si vous ajoutez plus d'histoire (plus de changements, plus de temps), un système qui a réussi hier peut échouer aujourd'hui. Vous ne pouvez pas obtenir un certificat permanent de « Bon Comportement » ; vous ne pouvez obtenir qu'un bulletin de notes pour un « Comportement jusqu'à ce moment précis ».

Ce que le document exclut
Le document est très strict sur ce qu'il ne fait pas.

Il ne vous dit pas quelle règle est la « bonne » (par exemple, si la « Couleur » ou la « Forme » est la véritable définition de l'objet). Il vérifie simplement si le robot suit le livre de règles qui lui a été donné.
Il peut trouver des règles cachées, mais seulement si ces règles sont divulguées ou découvertes par l'auditeur. L'audit fonctionne en examinant un « registre » de mécanismes (comme des champs de code spécifiques, des états de flux de travail ou des valeurs de configuration) que l'opérateur du système présente à l'auditeur, ou que l'auditeur découvre par l'investigation. Si un mécanisme est caché dans un code non documenté ou une pratique secrète que personne ne révèle, l'audit ne peut pas le voir. L'audit n'est aussi bon que la liste des commutateurs que les concepteurs ont montrés au détective ou que le détective a réussi à débusquer.
Il ne dit pas que le robot est « cassé » s'il fusionne deux choses que le livre de règles gardait séparées. Le document se soucie uniquement de savoir si le robot divise des choses que le livre de règles aurait dû garder ensemble. La fusion peut être acceptable ; la division est le crime.

L'essentiel
Ce document nous offre un outil mathématique pour débusquer les systèmes qui sont « honnêtes » à leur manière, mais « malhonnêtes » par rapport à leurs promesses. Il transforme un sentiment vague de « quelque chose semble anormal » en une liste concrète et vérifiable de décalages. Il démontre que dans le monde numérique, le fait qu'un système soit cohérent ne signifie pas qu'il est véridique. Et il nous avertit que notre confiance en un système est toujours temporaire, car l'ajout d'un seul morceau d'histoire supplémentaire peut révéler que le système ne suivait jamais les règles que nous pensions être les siennes.

Résumé Technique : Un Audit Fini des Règles de Mêmefois Déclarées et Implémentées

1. Énoncé du Problème

Les systèmes de gestion de données modernes, particulièrement ceux soutenant la responsabilité et l'alignement juridique, opèrent souvent sous un désaccord persistant concernant ce qui s'est produit, quelles règles s'appliquent et qui porte la responsabilité. Pour maintenir une référence stable lors des litiges, ces systèmes doivent préserver l'identité des enregistrements lorsqu'ils sont transformés (amendés, bifurqués, raffinés) et échangés.

Le problème central abordé est la divergence entre le régime d'identité déclaré d'un système (ce que le système stipule comme déterminant la même chose) et son comportement d'identité implémenté (ce que le système fait réellement). Un système peut appliquer une règle de mêmefois cohérente qu'aucun artefact ne déclare. Par exemple, un schéma peut déclarer une identité fixée par le contenu, tandis qu'un flux de travail ou une logique d'application utilise un champ de version pour traiter chaque modification textuelle comme une nouvelle entité. Cette divergence est souvent invisible pour les contrôles de cohérence standards car le système ne formule aucune affirmation contradictoire ; son graphe de provenance et ses journaux d'audit peuvent être internes cohérents, pourtant la règle opérationnelle de mêmefois diffère de la règle déclarée. L'article cherche à formaliser cette « identité opérationnelle » et à fournir une méthode pour auditer l'écart entre déclaration et implémentation.

2. Méthodologie

L'article propose une procédure d'audit formelle comparant deux partitions d'un domaine de registres fini $R$ : la partition déclarée et la partition d'identité opérationnelle.

2.1. La Partition Déclarée ( $\pi_\tau$ )
Dérivée d'un régime d'identité déclaré $\tau$ et d'une histoire de transformation étiquetée par familles. Le régime définit une base d'identité (ex: fixée par le contenu, fixée par la structure) et une fonction de classification déterminant si les transformations préservent, rompent ou sont neutres à l'identité. La partition déclarée est la relation d'équivalence générée par les arêtes non-rompantes dans l'histoire.

2.2. La Partition d'Identité Opérationnelle ( $\pi_d$ )
Dérivée d'un mécanisme d'implémentation divulgué (une « surface ») $d$ et de ses usages pertinents pour l'identité.

Registre de Mécanismes ($DB$) : Un ensemble fini d'artefacts d'implémentation divulgués (champs, états de flux de travail, prédicats) avec des applications d'observation calculables.
Résultats Pertinents pour l'Identité : L'audit se concentre sur des types de résultats spécifiques : assignation d'identifiant de référent, résolution, persistance, traitement de la transformation, sélection d'applicabilité, ou admissibilité de l'opération.
Contrôle de la Surface : Un mécanisme n'est une surface d'audit que si ses usages pertinents pour l'identité passent par sa valeur. Si les usages sont contrôlés conjointement par plusieurs artefacts, l'audit passe à un mécanisme conjoint.
Partition Opérationnelle : Les enregistrements sont groupés par leurs « signatures de traitement d'identité » (le vecteur de résultats produits par la surface). Les enregistrements ayant des signatures identiques appartiennent au même bloc dans $\pi_d$ .

2.3. Le Processus d'Audit
L'audit compare $\pi_\tau$ et $\pi_d$ dans le treillis de raffinement :

Fidélité : Une surface est fidèle si $\pi_\tau$ affine $\pi_d$ (c'est-à-dire que la surface ne divise jamais une classe de co-référence déclarée).
Témoin de Divergence : Une paire $(r, s)$ où $r \sim_\tau s$ (déclarés comme identiques) mais $IT_d(r) \neq IT_d(s)$ (traités opérationnellement comme différents).
Classification : Si une base de jumeau (sibling) $\tau'$ $τ^{'}$ existe (ex: fixée par la structure vs fixée par le contenu), la divergence est classée localement au sein des classes déclarées en quatre cas :
1. Alignée sur le jumeau : La surface divise exactement comme le jumeau.
2. Sous-jumeau : La surface divise de manière strictement plus fine que le jumeau.
3. Sur-jumeau : La surface effectue certains des distinctions du jumeau, mais pas toutes.
4. Incomparable au jumeau : La surface fait des distinctions que le jumeau ne fait pas et en omet d'autres.
Substitution de Régime : Une condition globale plus forte où $\pi_d = \pi_{\tau'}$ sur l'ensemble du domaine. L'article prouve que l'alignement avec un jumeau n'implique pas la substitution de régime.

3. Contributions Clés

L'article présente cinq contributions spécifiques :

Partition d'Identité Opérationnelle : Il définit la règle de mêmefois induite par une surface d'implémentation comme un objet calculable sur un registre de mécanismes divulgués.
Fidélité et Divergence : Il définit la fidélité comme une relation de raffinement et fournit un témoin de divergence fini qui la réfute. Il établit que la fidélité est unidirectionnelle : diviser une classe déclarée est une faute, mais fusionner des classes déclarées distinctes n'est pas nécessairement une faute d'une seule surface (cela peut être une confusion au niveau du stockage).
Classification de la Divergence : Il introduit une classification de treillis local à quatre voies pour la divergence lorsqu'une base de jumeau est disponible, distinguant cet alignement local de la condition globale de substitution de régime. Il fournit une construction concrète (un champ de version incrémenté à chaque édition) qui occupe le cas du sous-jumeau.
Non-Monotonie des Verdicts de Passage : Il prouve qu'un verdict de « passage » n'est pas monotone sous l'extension de l'histoire de transformation. Ajouter de l'histoire peut fusionner des classes déclarées auparavant séparées, créant un témoin de divergence parmi des enregistrements qui avaient été examinés et jugés fidèles précédemment, sans aucun changement de la surface ou des enregistrements eux-mêmes.
Relativité de la Divulgation : Il cadre explicitement l'audit par rapport à trois frontières de divulgation : les artefacts dans le registre, les surfaces évaluées, et les usages pertinents pour l'identité identifiés. Chaque frontière porte une affirmation de complétude que la procédure ne peut pas prouver, mais peut réfuter avec un témoin fini.

4. Résultats et Décidabilité

Décidabilité Finie : Sous l'hypothèse d'un domaine de registres fini, d'une histoire finie et de fonctions de classification décidables, la partition déclarée, la partition opérationnelle, la fidélité, les témoins de divergence et la classification de la divergence sont tous calculables.
Complexité : La construction des partitions nécessite un temps de $O((n+h)\alpha(n))$ en utilisant l'union-find, où $n$ est le nombre d'enregistrements et $h$ la longueur de l'histoire. Les verdicts et classifications peuvent être calculés en $O(n^2)$ par énumération de paires ou en un temps attendu de $O(n)$ via le hachage.
Verdict à Trois Valeurs : L'audit retourne passage, échec (avec un témoin et une classification), ou indéterminé (si les préconditions comme l'exactitude de l'histoire ou le contrôle de la surface ne sont pas remplies).
Exemple Appliqué : Un scénario d'alignement juridique démontre un système déclarant une identité de règle fixée par le contenu ( $RULE\text{-}C$ ) tandis qu'une implémentation de champ de version divise les enregistrements à chaque changement de texte. L'audit identifie cela comme une divergence de sous-jumeau (plus fine que les bases fixée par le contenu ou par la structure), prouvant que le système ne fait pas tourner le régime déclaré, ni simplement le régime du jumeau ( $RULE\text{-}S$ ).

5. Signification et Revendications

L'article prétend fournir « l'autre moitié » de la comparaison entre ce qu'un système doit déclarer et ce qu'il fait. Sa signification réside dans :

Formaliser l'Invisible : Il rend la « règle de mêmefois non déclarée » calculable et auditable, la distinguant d'une simple incohérence ou contradiction.
Neutralité : Il ne détermine pas la « bonne » base d'identité (par exemple, si le contenu ou la structure devrait définir une règle). Au lieu de cela, il prend le régime déclaré effectif comme une entrée et vérifie si l'implémentation est fidèle à celui-ci.
Rigueur de l'Audit : Il établit qu'un verdict de passage est une déclaration concernant un historique et un ensemble de divulgation spécifiques, et non un certificat permanent d'un stockage. Il souligne que l'extension de l'histoire peut invalider rétroactivement un verdict de passage.
Limites : L'article est modeste quant à sa portée. Il ne découvre pas de mécanismes cachés en dehors du registre divulgué, et ne résout pas de questions substantielles de droit ou de causalité. Il fournit un objet formel (la partition opérationnelle) et un témoin fini de divergence, laissant l'identification de la base spécifique responsable de la divergence à l'auditeur.

L'audit est présenté comme une précondition nécessaire à l'examen de questions de rang supérieur concernant la responsabilité et l'interprétation juridique, garantissant que la référence à l'objet du litige reste stable et inspectable.