Operational Identity: A Finite Audit of Declared and Implemented Rules of Sameness

Resumo Técnico: Uma Auditoria Finita de Regras Declaradas e Implementadas de Identidade

1. Definição do Problema

Sistemas de registro modernos, particularmente aqueles que suportam responsabilidade e alinhamento legal, frequentemente operam sob um desacordo persistente sobre o que ocorreu, quais regras se aplicam e quem detém a responsabilidade. Para manter uma referência estável durante disputas, esses sistemas devem preservar a identidade dos registros conforme eles são transformados (emendados, ramificados, refinados) e trocados.

O problema central abordado é a divergência entre o regime de identidade declarado de um sistema (o que o sistema afirma determinar a identidade) e o seu comportamento de identidade implementado (o que o sistema realmente faz). Um sistema pode aplicar uma regra de identidade consistente que nenhum artefato declara. Por exemplo, um esquema pode declarar identidade baseada em conteúdo, enquanto um fluxo de trabalho ou lógica de aplicação utiliza um campo de versão para tratar cada edição textual como uma nova entidade. Essa divergência é frequentemente invisível para verificações de consistência padrão porque o sistema não emite alegações contraditórias; seu grafo de proveniência e seus logs de auditoria podem ser internamente consistentes, embora a regra operacional de identidade difira da declarada. O artigo busca formalizar essa "identidade operacional" e fornecer um método para auditar a lacuna entre declaração e implementação.

2. Metodologia

O artigo propõe um procedimento de auditoria formal que compara duas partições de um domínio de registros finito $R$: a partição declarada e a partição de identidade operacional.

2.1. A Partição Declarada ($\pi_\tau$)
Derivada de um regime de identidade declarado $\tau$ e de uma história de transformação rotulada por famílias $H$. O regime define uma base de identidade (ex: fixa por conteúdo, fixa por estrutura) e uma função de classificação que determina se as transformações preservam, quebram ou são neutras à identidade. A partição declarada é a relação de equivalência gerada pelas arestas não-quebradoras na história.

2.2. A Partição de Identidade Operacional ($\pi_d$)
Derivada de um mecanismo de implementação divulgado (uma "superfície") $d$ e de seus usos relevantes para a identidade.

• Registro de Mecanismo ($DB$): Um conjunto finito de artefatos de implementação divulgados (campos, estados de fluxo de trabalho, predicados) com mapas de observação computáveis.
• Resultados Relevantes para a Identidade: A auditoria foca em tipos específicos de resultados: atribuição de identificador de referente, resolução, persistência, tratamento de transformação, seleção de aplicabilidade ou admissibilidade de operação.
• Controle de Superfície: Um mecanismo é uma superfície de auditoria apenas se seus usos relevantes para a identidade fatorarem através de seu valor. Se os usos forem controlados conjuntamente por múltiplos artefatos, a auditoria escala para um mecanismo conjunto.
• Partição Operacional: Os registros são agrupados por suas "assinaturas de tratamento de identidade" (o vetor de resultados produzidos pela superfície). Registros com assinaturas idênticas pertencem ao mesmo bloco em $\pi_d$.

2.3. O Processo de Auditoria
A auditoria compara $\pi_\tau$ e $\pi_d$ dentro do reticulado de refinamento:

• Fidelidade (Faithfulness): Uma superfície é fiel se $\pi_\tau$ refina $\pi_d$ (ou seja, a superfície nunca divide uma classe de correferência declarada).
• Testemunha de Divergência: Um par $(r, s)$ onde $r \sim_\tau s$ (declarados como iguais) mas $IT_d(r) \neq IT_d(s)$ (tratados operacionalmente como diferentes).
• Classificação: Se existir um regime de identidade irmão (ex: fixo por estrutura vs. fixo por conteúdo), a divergência é classificada localmente dentro das classes declaradas em quatro casos:
  1. Alinhado ao irmão (Sibling-aligned): A superfície divide exatamente como o irmão faz.
  2. Sub-irmão (Sub-sibling): A superfície divide de forma estritamente mais fina que o irmão.
  3. Super-irmão (Super-sibling): A superfície realiza algumas, mas não todas, as distinções do irmão.
  4. Incomparável ao irmão (Sibling-incomparable): A superfície faz distinções que o irmão não faz e omite outras.
• Substituição de Regime: Uma condição global mais forte onde $\pi_d = \pi_{\tau'}$ em todo o domínio. O artigo prova que o alinhamento com o irmão não implica substituição de regime.

3. Contribuições Principais

O artigo apresenta cinco contribuições específicas:

1. Partição de Identidade Operacional: Define a regra de identidade induzida por uma superfície de implementação como um objeto computável sobre um registro de mecanismos divulgados.
2. Fidelidade e Divergência: Define fidelidade como uma relação de refinamento e fornece uma testemunha de divergência finita que refuta tal fidelidade. Estabelece que a fidelidade é unidirecional: dividir uma classe declarada é uma falha, mas fundir classes declaradas distintas não é necessariamente uma falha de uma única superfície (pode ser uma confluência ao nível do armazenamento).
3. Classificação de Divergência: Introduz uma classificação de reticulado local de quatro vias para a divergência quando uma base irmã está disponível, distinguindo este alinhamento local da condição global de substituição de regime. Fornece uma construção concreta (um campo de versão incrementado a cada edição) que ocupa o caso sub-irmão.
4. Não-monotonicidade de Vereditos de Aprovação: Prova que um veredito de "pass" (aprovado) não é monótono sob a extensão da história de transformação. Adicionar história pode fundir classes declaradas anteriormente separadas, criando uma testemunha de divergência entre registros que foram previamente examinados e considerados fiéis, sem qualquer mudança na superfície ou nos registros em si.
5. Relatividade de Divulgação: Enquadra explicitamente a auditoria como relativa a três fronteiras de divulgação: os artefatos no registro, as superfícies avaliadas e os usos relevantes para a identidade identificados. Cada fronteira carrega uma alegação de completude que o procedimento não pode descarregar, mas pode refutar com uma testemunha finita.

4. Resultados e Decidibilidade

• Decidibilidade Finita: Sob a suposição de um domínio de registros finito, história finita e funções de classificação decidíveis, a partição declarada, a partição operacional, a fidelidade, as testemunhas de divergência e a classificação de divergência são todos computáveis.
• Complexidade: A construção de partições requer $O((n+h)\alpha(n))$ de tempo usando union-find, onde $n$ é o número de registros e $h$ é o comprimento da história. Vereditos e classificações podem ser computados em $O(n^2)$ via enumeração de pares ou $O(n)$ esperado usando hashing.
• Veredito de Três Valores: A auditoria retorna pass (aprovado), fail (falha, com uma testemunha e classificação) ou indeterminate (indeterminado, se pré-condições como precisão de histórico ou controle de superfície não forem atendidas).
• Exemplo Prático: Um cenário de alinhamento legal demonstra um sistema declarando identidade de regra baseada em conteúdo ($RULE\text{-}C$) enquanto uma implementação de campo de versão divide os registros em cada mudança de texto. A auditoria identifica isso como uma divergência sub-irmã (mais fina que tanto a base de conteúdo quanto a de estrutura), provando que o sistema não está executando o regime declarado, nem está simplesmente executando o regime irmão ($RULE\text{-}S$).

5. Significância e Alegações

O artigo afirma fornecer a "outra metade" da comparação entre o que um sistema deve declarar e o que ele faz. Sua significância reside em:

• Formalizar o Invisível: Torna a "regra de identidade não declarada" computável e auditável, distinguindo-a de uma simples inconsistência ou contradição.
• Neutralidade: Não determina qual é a "correta" base de identidade (ex: se o conteúdo ou a estrutura deve definir uma regra). Em vez disso, toma o regime efetivo declarado como entrada e verifica se a implementação é fiel a ele.
• Rigor de Auditoria: Estabelece que um veredito de aprovação é uma afirmação sobre um histórico e um conjunto de divulgação específicos, não um certificado permanente de um armazenamento. Destaca que estender o histórico pode invalidar retroativamente um veredito de aprovação.
• Limitações: O artigo é modesto quanto ao seu escopo. Ele não descobre mecanismos ocultos fora do registro divulgado, nem resolve questões substantivas de ordem legal ou causal. Ele fornece um objeto formal (a partição operacional) e uma testemunha finita para a divergência, deixando a identificação da base específica responsável pela divergência para o auditor.

A auditoria é apresentada como uma precondição necessária para examinar questões de ordem superior de responsabilidade e interpretação legal, garantindo que a referência ao objeto de uma disputa permaneça estável e inspecionável.