Operational Identity: A Finite Audit of Declared and Implemented Rules of Sameness

Sintesi Tecnica: Un Audit Finito delle Regole Dichiarate e Implementate di Identità

1. Enunciato del Problema

I moderni sistemi di gestione dei record, in particolare quelli che supportano l'accountability e l'allineamento legale, operano spesso sotto un persistente disaccordo su cosa sia accaduto, quali regole si applichino e chi sia il responsabile. Per mantenere una stabilità di riferimento durante le controversie, questi sistemi devono preservare l'identità dei record mentre vengono trasformati (emendati, ramificati, raffinati) ed scambiati.

Il problema centrale affrontato è la divergenza tra il regime di identità dichiarato di un sistema (ciò che il sistema afferma determini la somiglianza) e il suo comportamento di identità implementato (ciò che il sistema effettivamente fa). Un sistema può applicare una regola di somiglianza coerente che nessun artefatto dichiara. Ad esempio, uno schema può dichiarare un'identità fissa sul contenuto, mentre un workflow o una logica applicativa utilizza un campo di versione per trattare ogni modifica testuale come una nuova entità. Questa divergenza è spesso invisibile ai controlli di coerenza standard perché il sistema non emette rivendicazioni contraddittorie; il suo grafo di provenienza e i suoi log di audit possono essere internamente coerenti, eppure la regola operativa di somiglianza differisce da quella dichiarata. Il documento mira a formalizzare questa "identità operativa" e a fornire un metodo per auditare il divario tra dichiarazione e implementazione.

2. Metodologia

Il documento propone una procedura di audit formale che confronta due partizioni di un dominio di record finito $R$: la partizione dichiarata e la partizione di identità operativa.

2.1. La Partizione Dichiarata ($\pi_\tau$)
Derivata da un regime di identità dichiarato $\tau$ e da una storia di trasformazione etichettata per famiglia $H$. Il regime definisce una base di identità (es. fissa sul contenuto, fissa sulla struttura) e una funzione di classificazione che determina se le trasformazioni preservano, interrompono o sono neutrali rispetto all'identità. La partizione dichiarata è la relazione di equivalenza generata dagli archi non interruttivi nella storia.

2.2. La Partizione di Identità Operativa ($\pi_d$)
Derivata da un meccanismo di implementazione dichiarato (una "superficie") $d$ e dai suoi usi rilevanti per l'identità.

• Registro dei Meccanismi ($DB$): Un insieme finito di artefatti di implementazione dichiarati (campi, stati di workflow, predicati) con mappe di osservazione computabili.
• Risultati Rilevanti per l'Identità: L'audit si concentra su tipi specifici di risultati: assegnazione dell'identificatore del referente, risoluzione, persistenza, trattamento della trasformazione, selezione dell'applicabilità o ammissibilità dell'operazione.
• Controllo della Superficie: Un meccanismo è una superficie di audit solo se i suoi usi rilevanti per l'identità passano attraverso il suo valore. Se gli usi sono controllati congiuntamente da più artefatti, l'audit scala a un meccanismo congiunto.
• Partizione Operativa: I record sono raggruppati per le loro "firme di trattamento dell'identità" (il vettore di risultati prodotti dalla superficie). I record con firme identiche appartengono allo stesso blocco in $\pi_d$.

2.3. Il Processo di Audit
L'audit confronta $\pi_\tau$ e $\pi_d$ all'interno del reticolo di raffinamento:

• Fedeltà (Faithfulness): Una superficie è fedele se $\pi_\tau$ raffina $\pi_d$ (ovvero, la superficie non scinde mai una classe di co-riferimento dichiarata).
• Testimone di Divergenza (Divergence Witness): Una coppia $(r, s)$ dove $r \sim_\tau s$ (dichiarati uguali) ma $IT_d(r) \neq IT_d(s)$ (trattati operativamente come diversi).
• Classificazione: Se esiste una base di identità sorella (sibling) $\tau'$ (es. fissa sulla struttura vs fissa sul contenuto), la divergenza è classificata localmente nelle classi dichiarate in quattro casi:
  1. Allineata alla sorella (Sibling-aligned): La superficie scinde esattamente come la sorella.
  2. Sotto-sorella (Sub-sibling): La superficie scinde in modo più fine rispetto alla sorella.
  3. Sovra-sorella (Super-sibling): La superficie compie alcune ma non tutte le distinzioni della sorella.
  4. Incomparabile alla sorella (Sibling-incomparable): La superficie compie distinzioni che la sorella non fa e ne omette altre.
• Sostituzione del Regime: Una condizione globale più forte dove $\pi_d = \pi_{\tau'}$ sull'intero dominio. Il documento dimostra che l'allineamento con la sorella non implica la sostituzione del regime.

3. Contributi Chiave

Il documento presenta cinque contributi specifici:

1. Partizione di Identità Operativa: Definisce la regola di somiglianza indotta da una superficie di implementazione come un oggetto computabile su un registro di meccanismi dichiarati.
2. Fedeltà e Divergenza: Definisce la fedeltà come una relazione di raffinamento e fornisce un testimone finito di divergenza che la confuta. Stabilisce che la fedeltà è unidirezionale: scindere una classe dichiarata è un errore, ma fondere classi dichiarate distinte non è necessariamente un errore di una singola superficie (può essere una conflazione a livello di store).
3. Classificazione della Divergenza: Introduce una classificazione locale a quattro vie nel reticolo della divergenza quando è disponibile una base sorella, distinguendo questo allineamento locale dalla condizione globale di sostituzione del regime. Fornisce una costruzione concreta (un campo di versione incrementato ad ogni modifica) che occupa il caso sotto-sorella.
4. Non-monotonicità dei Verdetto di Passaggio: Dimostra che un verdetto di "pass" (superato) non è monotono rispetto all'estensione della storia di trasformazione. L'aggiunta di storia può fondere classi dichiarate precedentemente separate, creando un testimone di divergenza tra record che erano stati precedentemente esaminati e trovati fedeli, senza alcun cambiamento alla superficie o ai record stessi.
5. Relatività della Divulgazione (Disclosure-Relativity): Inquadra esplicitamente l'audit rispetto a tre confini di divulgazione: gli artefatti nel registro, le superfici valutate e gli usi rilevanti per l'identità identificati. Ogni confine porta una rivendicazione di completezza che la procedura non può assolvere, ma può confutare con un testimone finito.

4. Risultati e Decidibilità

• Decidibilità Finita: Sotto l'assunto di un dominio di record finito, una storia finita e funzioni di classificazione decidibili, la partizione dichiarata, la partizione operativa, la fedeltà, i testimoni di divergenza e la classificazione della divergenza sono tutti computabili.
• Complessità: La costruzione delle partizioni richiede un tempo $O((n+h)\alpha(n))$ usando union-find, dove $n$ è il numero di record e $h$ è la lunghezza della storia. I verdetto e la classificazione possono essere computati in $O(n^2)$ tramite enumerazione di coppie o in un tempo atteso di $O(n)$ usando l'hashing.
• Verdetto a Tre Valori: L'audit restituisce pass (superato), fail (fallito, con un testimone e una classificazione), o indeterminate (indeterminato, se i precondizioni come l'accuratezza della storia o il controllo della superficie non sono soddisfatte).
• Esempio Pratico: Uno scenario di allineamento legale dimostra un sistema che dichiara un'identità basata sul contenuto ($RULE\text{-}C$) mentre un'implementazione di campo di versione scinde i record ad ogni modifica testuale. L'audit identifica questo come una divergenza sotto-sorella (più fine sia della base sul contenuto che di quella sulla struttura), provando che il sistema non sta eseguendo il regime dichiarato, né sta semplicemente eseguendo il regime della sorella ($RULE\text{-}S$).

5. Significato e Rivendicazioni

Il documento sostiene di fornire "l'altra metà" del confronto tra ciò che un sistema dovrebbe dichiarare e ciò che fa. Il suo significato risiede in:

• Formalizzare l'Invisibile: Rende la "regola di somiglianza non dichiarata" computabile e auditabile, distinguendola da una semplice inconsistenza o contraddizione.
• Neutralità: Non determina la "corretta" base di identità (ad esempio, se il contenuto o la struttura debba definire una regola). Al contrario, prende il regime dichiarato effettivo come input e verifica se l'implementazione è fedele ad esso.
• Rigore dell'Audit: Stabilisce che un verdetto di passaggio è un'affermazione riguardante una specifica storia e un set di divulgazione, non un certificato permanente di uno store. Evidenzia come l'estensione della storia possa invalidare retroattivamente un verdetto di passaggio.
• Limitazioni: Il documento è modesto riguardo al proprio ambito. Non scopre meccanismi nascosti al di fuori del registro dichiarato, né risolve questioni sostanziali legali o causali. Fornisce un oggetto formale (la partizione operativa) e un testimone finito di divergenza, lasciando l'identificazione della specifica base responsabile della divergenza all'auditor.

L'audit è presentato come un prerequisito necessario per l'esame di questioni di ordine superiore riguardanti la responsabilità e l'interpretazione legale, garantendo che il riferimento all'oggetto della disputa rimanga stabile e ispezionabile.