Operational Identity: A Finite Audit of Declared and Implemented Rules of Sameness

「同一性」に潜む見えないルール

あなたは友人と、巨大で複雑な「点つなぎ」のゲームをしていると想像してください。二人とも、「点のの色を変えても、それは同じ点である」「ページを移動させたら、それは新しい点である」と書かれたルールブックを持っています。多くのコンピュータシステムはこのように機能しています。彼らには、設計者が書き記した公式のルールブックである**「宣言（Declaration）」**があります。これは、二つのデータが「同じもの（相互参照）」であるか、あるいは「異なるもの」であるかを判断する方法をシステムに教えるものです。

しかし、ここにひねりがあります。コンピュータは単にルールブックを読んでいるだけではありません。コンピュータには、実際のコード、隠れたスイッチ、そしてゲームをしている最中に押される自動ボタンといった**「メカニズム（Mechanism）」**が存在します。時として、コンピュータの隠れたボタンは、ルールブックが示すリズムとは異なるリズムで刻まれることがあります。例えば、ルールブックには「色の変化は無視する」と書いてあるのに、コンピュータのコードは密かに「色が変化したら、それは全く新しい点として扱わなければならない！」と命じているかもしれません。

この論文は、コンピュータサイエンスと論理学の世界に属しており、特に、物事（法的規則、AIエージェント、データベースのレコードなど）が時間の経過とともにどのように変化し、追跡されるかという問題を取り上げています。大きな問題は、システムがしばしば自分自身に嘘をつくことです。システムは、提示されたルールとは全く異なる隠れたルールを完璧に一貫して実行しているにもかかわらず、自分自身がそのルールに従っていると思い込んでいることがあります。もしチェックを行わなければ、あなたは同じものについて話しているつもりでも、コンピュータは全く別のものについて話しているという事態に陥ります。これは、銀行、医療記録、あるいは法的契約がこうした隠れた不一致の上に構築されている場合、そのシステム全体が崩壊してしまう可能性があるため、非常に重要な問題です。

偉大なる「同一性」監査

この論文は、こうした隠れた不一致を捉えるための巧妙な手法を紹介しています。著者であるデニス・ケース（Denise Case）は、これを**「運用的同一性監査（Operational Identity Audit）」**と呼んでいます。これは、探偵が容疑者の日記（宣言）を読むだけでなく、容疑者がタイピングしている間の手元（実装）も観察する、という探偵小説のようなものです。

二つの分割（パーティション）
100個の粘土玉の山を想像してください。

1. 宣言された分割（The Declared Partition）： ルールブックには「球を潰しても、それは同じ球である」と書かれています。したがって、あなたは潰れた球をすべて一つのグループにまとめます。これが「宣言された分割」です。
2. 運用の分割（The Operational Partition）： 次に、球を扱うロボットを観察します。ルールブックでは「潰しても同じ」とされていますが、ロボットには秘密のセンサーがあります。球が潰されるたびに、ロボットはそこに小さな点を描き、別の箱に入れます。ロボットは「潰す＝新しい球」という隠れたルールに従っているのです。これが「運用の分割」です。

この論文の主な役割は、これら二つのグループ分けを比較することです。問いはこうです。「ロボットの隠れたグループ分けは、ルールブックが一つにまとめるべきだと定めたグループを、分割してしまうことはないか？」

「分岐の証拠（Divergence Witness）」
もしロボットが、ルールブックが一緒であるべきとしたグループを分割した場合、論文ではこれを**「分岐の証拠（Divergence Witness）」**と呼びます。それは、ルールブックでは双子であるはずなのに、ロボットは彼らを他人として扱う、たった一組の粘土玉を見つけるようなものです。論文は、問題を見つけるためにすべての球をチェックする必要はないことを証明しています。これらの不一致のあるペアをただ一つ見つけるだけで、システムが自らのルールについて嘘をついていることを証明するのに十分なのです。

「兄弟（Sibling）」による探偵作業
時として、ロボットは単にランダムな秘密のルールに従っているのではなく、システム設計者が言及し忘れた「別の公式ルール」に従っている場合があります。論文では**「兄弟（Siblings）」**という概念を導入しています。

• ルールブックが「色が重要である（ルールA）」と定めているとします。
• しかし、そこには「形が重要である（ルールB）」という既知の「兄弟ルール」が存在します。
• もしロボットが形に基づいて球を分割しているなら、監査はこう指摘できます。「ああ、あなたはルールAに従っていないが、ルールBには従っているのだ」と。
• ただし、論文はここで非常に慎重です。ロボットがルールブックの作ったグループ内で「形」のルールに一致していたとしても、それだけでロボットが「形」のルールを至る所で完全に実行しているとは限らないことを証明しています。ロボットは混ぜ合わせたり、使い分けたりしている可能性があるからです。論文は、ロボースの秘密のルールが公式のルールとどのように異なるのかを正確に分類するために、特定の「格子（ラティス）」を作成しています。

「バージョン・フィールド」の罠
この論文の最も興味深い例の一つは、「バージョン・フィールド」に関するものです。テキストの文字を一つ変えるたびに、バージョン番号が上がる（1.0, 1.1, 1.2...）文書を想像してください。

• ルールブック： 「テキストの意味が変わらなければ、それは同じ文書である」
• ロボット： 「バージョン番号が変わったら、それは新しい文書である！」
• 結果： ロボットは、ルールブックでは一つの大きなグループであるべき文書を、バージョン番号に基づいて極めて細かなグループへと分割してしまいます。論文は、これが**「サブ・シブリング分岐（Sub-sibling Divergence）」**と呼ばれる特定の種類の間違いであることを示しています。ロボットは、「形」のルールよりもさらに細かく、過剰に厳格に分類しているのです。

「合格」の罠（非単調性）
ここがこの論文で最も難解な部分です。通常、テストに合格すれば、その合格は永続的なものです。しかし、この論文は、この種の監査において**「合格は永続的ではない」ことを証明しています。
今日、10個の球を使ってロボットをチェックし、合格したとしましょう。あなたはそれを「忠実である」と宣言します。
ところが明日、あなたがその山に「もう一個の球」を加え、他の球と接続したとします。すると突然、ルールブックはこう言います。「おや、これら二つの球は実は同じものだ！」しかし、ロボットは秘密のセンサーのせいで、依然としてそれらを別物として扱います。
ここで、ロボットは不合格となります。論文ではこれを「非単調性（Non-Monotonicity）」**と呼びます。「合格」という判定は、あなたが観察した特定の履歴に対してのみ真実なのです。もし、より多くの履歴（より多くの変化、より多くの時間）を追加すれば、昨日合格したシステムが今日不合格になることもあります。「善良な振る舞い」の永久的な証明書を得ることはできず、得られるのは「特定の瞬間までの振る舞い」に関する成績表だけなのです。

この論文が対象外としていること
この論文は、自身が「行わないこと」についても非常に厳格に定義しています。

• どちらのルールが「正しい」ものか（例：「色」と「形」のどちらがオブジェクトの真の定義か）を判定するものではありません。単に、ロボットが与えられたルールブックに従っているかどうかをチェックするものです。
• 隠れたルールを見つけ出すことはできますが、それは監査人が発見または開示されたルールに限られます。監査は、システムオペレーターが監査人に示した、あるいは監査人が調査を通じて発見した「メカニズムのレジストリ（特定のコードフィールド、ワークフローの状態、構成値など）」を検証することで機能します。もしメカニズムが、誰も明かさないドキュメント化されていないコードや秘密の実装の中に隠されている場合、監査はその姿を捉えることはできません。監査の精度は、設計者が探偵に見せた、あるいは探偵がなんとか掘り起こした「スイッチのリスト」に依存します。
• ロボットが二つのものを（ルールブックが分けたものを）統合してしまったとしても、それを「壊れている」とは断定しません。この論文が関心を持つのは、ロボットがルールブックが維持すべきものを「分割」してしまうことです。統合することは許容されるかもしれませんが、分割は「罪」なのです。

結論
この論文は、独自のやり方では「正直」であるが、約束に対しては「不誠実」であるシステムを捉えるための数学的なツールを提供しています。それは、「何かがおかしい」という漠然とした感覚を、具体的で検証可能な不一致のリストへと変えてくれます。デジタル世界においては、システムが一貫しているからといって、それが真実であるとは限らないことを示しています。そして、私たちのシステムに対する信頼は常に一時的なものであると警告しています。なぜなら、たった一つの歴史の断片を加えるだけで、システムが私たちが思っていたルールを最初から守っていなかったことが露呈してしまうからです。