Operational Identity: A Finite Audit of Declared and Implemented Rules of Sameness

Technische Samenvatting: Een Eindige Audit van Verklarde en Geïmplementeerde Gelijkheidregels

1. Probleemstelling

Moderne recordsystemen, in het bijzonder systemen die verantwoording en juridische afstemming ondersteunen, opereren vaak onder voortdurend meningsverschil over wat er is gebeurd, welke regels van toepassing zijn en wie de verantwoordelijkheid draagt. Om een stabiele referentie te behouden tijdens geschillen, moeten deze systemen de identiteit van records bewaren terwijl ze worden getransformeerd (gewijzigd, gesplitst, verfijnd) en uitgewisseld.

Het kernprobleem dat wordt geadresseerd is de divergentie tussen het verklaarde identiteitsregime van een systeem (wat het systeem stelt dat de gelijkheid bepaalt) en het geïmplementeerde identiteitsgedrag (wat het systeem feitelijk doet). Een systeem kan een consistente gelijkheidsregel toepassen die geen enkel artefact verklaart. Bijvoorbeeld: een schema kan een inhoudelijk vaste identiteit verklaren, terwijl de workflow of applicatielogica een versienummer gebruikt om elke tekstuele bewerking als een nieuwe entiteit te behandelen. Deze divergentie is vaak onzichtbaar voor standaard consistentiecontroles, omdat het systeem geen tegenstrijdige claims afgeeft; de provenance-grafiek en auditlogs kunnen intern consistent zijn, terwijl de operationele gelijkheidsregel verschilt van de verklaarde. Dit artikel beoogt deze "operationele identiteit" te formaliseren en een methode te bieden om de kloof tussen verklaring en implementatie te auditeren.

2. Methodologie

Het artikel stelt een formele auditprocedure voor die twee partities van een eindig recorddomein $R$ vergelijkt: de verklaarde partitie en de operationele identiteitspartitie.

2.1. De Verklaarde Partitie ($\pi_\tau$)
Afgeleid van een verklaard identiteitsregime $\tau$ en een met labels voorzien familie-getransformeerde historie $H$. Het regime definieert een identiteitsbasis (bijv. inhoudelijk vast, structuurvast) en een classificatiefunctie die bepaalt of transformaties de identiteit behouden, verbreken of neutraal tegenover de identiteit staan. De verklaarde partitie is de equivalentierelatie die wordt gegenereerd door niet-verbrekende randen in de historie.

2.2. De Operationele Identiteitspartitie ($\pi_d$)
Afgeleid van een openbaar gemaakte implementatiemechanisme (een "oppervlakte") $d$ en de identiteitsrelevante gebruiken daarvan.

• Mechanisme-register ($DB$): Een eindige verzameling van openbaar gemaakte implementatie-artefacten (velden, workflow-statussen, predicaten) met berekenbare observatiemappen.
• Identiteitsrelevante Uitkomsten: De audit richt zich op specifieke uitkomsttypen: toewijzing van referent-identificatoren, resolutie, persistentie, behandeling van transformaties, selectie van toepasbaarheid, of de toelaatbaarheid van operaties.
• Oppervlaktecontrole: Een mechanisme is een audit-oppervlakte alleen als de identiteitsrelevante gebruiken door de waarde ervan worden gefactoreerd. Als de gebruiken gezamenlijk door meerdere artefacten worden beheerd, escaleert de audit naar een gezamenlijk mechanisme.
• Operationele Partitie: Records worden gegroepeerd op basis van hun "identiteitsbehandelings-signaturen" (de vector van uitkomsten geproduceerd door de oppervlakte). Records met identieke signaturen behoren tot dezelfde klasse in $\pi_d$.

2.3. Het Auditproces
De audit vergelijkt $\pi_\tau$ en $\pi_d$ binnen het verfijningsrooster:

• Getrouwheid (Faithfulness): Een oppervlakte is getrouw als $\pi_\tau$ de $\pi_d$ verfijnt (d.w.z. de oppervlakte splitst nooit een verklaarde co-referentieklasse).
• Divergentie-getuige: Een paar $(r, s)$ waarbij $r \sim_\tau s$ (verklaard als gelijk) maar $IT_d(r) \neq IT_d(s)$ (operationeel behandeld als verschillend).
• Classificatie: Indien een sibling-identiteitsbasis $\tau'$ bestaat (bijv. structuurvast versus inhoudelijk vast), wordt de divergentie lokaal binnen de verklaarde klassen geclassificeerd in vier gevallen:
  1. Sibling-aligned: De oppervlakte splitst exact zoals de sibling dat doet.
  2. Sub-sibling: De oppervlakte splitst strikt fijner dan de sibling.
  3. Super-sibling: De oppervlakte maakt sommige, maar niet alle onderscheidingen van de sibling.
  4. Sibling-incomparable: De oppervlakte maakt onderscheidingen die de sibling niet maakt en laat andere weg.
• Regime-substitutie: Een sterkere globale conditie waarbij $\pi_d = \pi_{\tau'}$ over het gehele domein. Het artikel bewijst dat sibling-alignment niet impliceert dat er sprake is van regime-substitutie.

3. Belangrijkste Bijdragen

Het artikel levert vijf specifieke bijdragen:

1. Operationele Identiteitspartitie: Het definieert de regel van gelijkheid geïnduceerd door een implementatie-oppervlakte als een berekenbaar object over een openbaar gemaakt mechanisme-register.
2. Getrouwheid en Divergentie: Het definieert getrouwheid als een verfijningsrelatie en biedt een eindige divergentie-getuige die getrouwheid weerlegt. Het stelt vast dat getrouwheid een eenrichtingsverhouding is: het splitsen van een verklaarde klasse is een fout, maar het samenvoegen van verschillende verklaarde klassen is niet noodzakelijkerwijs een fout van een enkele oppervlakte (het kan een conflatie op opslagniveau zijn).
3. Divergentie-classificatie: Het introduceert een vierwaardige lokale roosterclassificatie voor divergentie wanneer een sibling-basis beschikbaar is, waarbij het onderscheid maakt tussen deze lokale afstemming en de globale conditie van regime-substitutie. Het biedt een concrete constructie (een versienummer dat bij elke bewerking wordt opgehoogd) die de sub-sibling casus bezet.
4. Niet-monotoniciteit van Pass-verdicten: Het bewijst dat een "pass"-verdict niet monotoon is onder de uitbreiding van de transformatiehistorie. Het toevoegen van historie kan eerder gescheiden verklaarde klassen samenvoegen, waardoor een divergentie-getuige ontstaat tussen records die eerder waren onderzocht en als getrouw werden beschouwd, zonder dat de oppervlakte of de records zelf zijn veranderd.
5. Disclosure-Relativiteit: Het kadert de audit expliciet als relatief aan drie disclosure-grenzen: de artefacten in het register, de geëvalueerde oppervlaktes en de geïdentificeerde identiteitsrelevante gebruiken. Elke grens draagt een volledigheidsclaim met zich mee die de procedure niet kan bewijzen, maar wel kan weerleggen met een eindige getuige.

4. Resultaten en Beslisbaarheid

• Eindige Beslisbaarheid: Onder de aanname van een eindig recorddomein, eindige historie en beslisbare classificatiefuncties, zijn de verklaarde partitie, de operationele partitie, getrouwheid, divergentie-getuigen en divergentie-classificaties allemaal berekenbaar.
• Complexiteit: Het construeren van partities vereist $O((n+h)\alpha(n))$ tijd met behulp van union-find, waarbij $n$ het aantal records is en $h$ de lengte van de historie. Verdicts en classificaties kunnen in $O(n^2)$ tijd worden berekend via paar-enumeratie of met een verwachte $O(n)$ tijd met behulp van hashing.
• Driedelige Verdict: De audit geeft een pass, fail (met een getuige en classificatie), of indeterminate (indien preconditions zoals historie-accuratesse of oppervlaktecontrole niet worden voldaan) terug.
• Uitgewerkt Voorbeeld: Een scenario van juridische afstemming demonstreert een systeem dat een inhoudelijk vaste regel-identiteit ($RULE\text{-}C$) verklaart, terwijl een versienummer-implementatie records splitst bij elke tekstwijziging. De audit identificeert dit als een sub-sibling divergentie (fijner dan zowel de inhoudelijk vaste als de structuurvaste basis), waarmee wordt bewezen dat het systeem niet het verklaarde regime draait, noch simpelweg het sibling-regime ($RULE\text{-}S$) uitvoert.

5. Betekenis en Claims

Het artikel beweert de "andere helft" te leveren van de vergelijking tussen wat een systeem moet verklaren en wat het doet. De betekenis ligt in:

• Formalisering van het Onzichtbare: Het maakt de "niet-verklaarde regel van gelijkheid" berekenbaar en auditeerbaar, en onderscheidt deze van eenvoudige inconsistentie of tegenstrijdigheid.
• Neutraliteit: Het bepaalt niet de "correcte" identiteitsbasis (bijv. of inhoud of structuur de regel moet definiëren). In plaats daarvan neemt het het effectieve verklaarde regime als input en controleert het of de implementatie getrouw is aan dat regime.
• Audit-rigor: Het stelt vast dat een "pass"-verdict een uitspraak is over een specifieke historie en disclosure-set, en geen permanent certificaat van een opslag. Het benadrukt dat het uitbreiden van de historie een pass-verdict achteraf ongeldig kan maken.
• Beperkingen: Het artikel is bescheiden over de reikwijdte. Het ontdekt geen verborgen mechanismen buiten het openbaar gemaakte register en lost geen substantiële juridische of causale vragen op. Het biedt een formeel object (de operationele partitie) en een eindige getuige voor divergentie, waarbij de identificatie van de specifieke basis die verantwoordelijk is voor de divergentie aan de auditor wordt overgelaten.

De audit wordt gepresenteerd als een noodzakelijke voorwaarde voor het onderzoeken van hogere vragen van verantwoordelijkheid en juridische interpretatie, waarbij wordt gewaarborgd dat de referentie naar het onderwerp van een geschil stabiel en inspecteerbaar blijft.