🤖 AI

Operational Identity: A Finite Audit of Declared and Implemented Rules of Sameness

本文通过在细化格（refinement lattice）中比较声明规则与实现规则对记录域的各自划分，利用三值非单调评估来识别特定的差异见证，从而形式化了一个用于检测声明身份规则与实现身份规则之间系统性分歧的有限审计框架，且该过程不一定需要揭示底层的实现基础。

原作者： Denise M. Case

发布于 2026-07-24

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Denise M. Case

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

“同一性”的隐形规则

想象一下，你正在和一位朋友玩一场庞大且复杂的“连点成线”游戏。你们两人都有一本规则书，上面写着：“如果我们改变了一个点的颜色，它仍然是同一个点。如果我们把它移动到新的一页，它就是一个新的点。”这就是许多计算机系统的工作方式：它们拥有一个声明（Declaration），即由设计者编写的官方规则书。它告诉系统如何判定两个数据片段是否是“同一个”（即共指关系）或“不同的”。

但转折在于：计算机不仅仅是阅读规则书，它还有一个机制（Mechanism），即代码、隐藏的开关以及它在玩游戏时自动按下的按钮。有时，计算机隐藏的按钮按出的节奏与规则书所说的并不一致。也许规则书说“颜色的改变无关紧要”，但计算机的代码却在暗中说：“如果颜色变了，我们必须把它视为一个全新的点！”

这篇论文存在于计算机科学和逻辑学领域，专门研究我们如何随着时间推移来追踪事物（如法律规则、AI智能体或数据库记录）的变化。核心问题在于，系统经常会“自我欺骗”。它们可能完美地遵循着某条隐藏规则，但这条规则与它们承诺要遵循的规则完全不同。如果你不进行检查，你可能会以为你在讨论同一个东西，而计算机却认为它在讨论另一个完全不同的东西。这至关重要，因为如果你的银行账户、医疗记录或法律合同建立在这些隐藏的不匹配之上，当你想追溯发生过程时，整个系统可能会崩溃。

伟大的“同一性”审计

这篇论文介绍了一种捕捉这些隐藏不匹配的聪明方法。作者丹尼斯·凯斯（Denise Case）将其称为操作身份审计（Operational Identity Audit）。你可以把它想象成一个侦探故事：侦探不仅阅读嫌疑人的日记（声明），还会观察嫌疑人在打字时手的动作（实现）。

两个划分
想象你有一堆100个粘土球。

声明划分（The Declared Partition）： 规则书说：“如果你捏扁一个球，它仍然是同一个球。”因此，你将所有被捏扁的球归为一类。这就是“声明划分”。
操作划分（The Operational Partition）： 现在，观察处理这些球的机器人。尽管规则书说“捏扁 = 相同”，但机器人有一个秘密传感器。每当一个球被捏扁时，机器人就会在上面画一个小点，并把它放入一个不同的箱子里。机器人遵循着一条隐藏规则：“捏扁 = 新球”。这就是“操作划分”。

论文的主要任务是比较这两个分组。它在问：机器人的隐藏分组是否曾经拆分了规则书要求保持在一起的一个组？

“分歧见证者”（The "Divergence Witness"）
如果机器人拆分了一个规则书认为应该保持在一起的组，论文称之为分歧见证者（Divergence Witness）。这就像是发现了一对粘土球，规则书说它们是双胞胎，但机器人却把它们当作陌生人。论文证明，你不需要检查每一个球就能找到问题；找到仅仅一对这样的不匹配对，就足以证明系统在对其自身规则撒谎。

“兄弟规则”的侦探工作
有时，机器人不仅仅是在遵循一条随机的秘密规则，它可能是在遵循另一条系统设计者忘记提及的官方规则。论文引入了**兄弟（Siblings）**的概念。

假设规则书说“颜色很重要”（规则 A）。
但存在一个已知的“兄弟规则”（规则 B），它说“形状很重要”。
如果机器人根据形状来拆分球，那么审计可以得出结论：“啊！你并没有遵循规则 A，但你确实在遵循规则 B。”
然而，论文在这里非常谨慎。它证明了仅仅因为机器人的分组符合“形状”规则，并不意味着机器人在所有地方都完全遵循了“形状”规则。它可能是在混合使用。论文创建了一个特定的“格（lattice）”（一种高级网格）来精确分类机器人的秘密规则与官方规则之间的差异程度。

“版本字段”陷阱
论文中最有趣的例子之一涉及“版本字段”。想象一份文档，每当你更改一个字母，版本号就会上升（1.0, 1.1, 1.2）。

规则书： “如果文本含义保持不变，它就是同一份文档。”
机器人： “如果版本号改变了，它就是一份新文档！”
结果： 机器人根据版本号将文档拆分成极小的、细碎的组，尽管规则书说它们应该是一个大组。论文表明，这是一种特定类型的错配，称为**“子兄弟分歧”（Sub-sibling Divergence）**。机器人变得过于挑剔，拆分得比即使是“形状”规则还要细碎。

“通过”陷阱（非单调性）
这是论文中最令人费解的部分。通常情况下，如果你通过了一项测试，你会永远通过。但本文证明，在这种审计中，“通过”并不是永久的。
想象你今天用10个球检查机器人，它通过了。你宣布它是“忠实的”。
然后，明天你增加了一个更多的球，并将它与其他球连接起来。突然，规则书说：“哦，这两个球实际上是同一个！”但由于那个秘密传感器，机器人仍然将它们视为不同的。
现在，机器人失败了！论文称之为非单调性（Non-Monotonicity）。一个“通过”的结论仅对于你观察到的特定历史事件是有效的。如果你增加了更多的历史（更多的变化、更多的时间），一个昨天还通过了的系统今天可能会失败。你无法获得一份永久性的“良好行为”证书；你只能获得一份“截至此特定时刻的行为”成绩单。

论文排除的情况
论文对它不做什么有着严格的界定。

它并不告诉你哪条规则是“正确”的（例如，是“颜色”还是“形状”才是物体的真实定义）。它只是检查机器人是否遵循了它被赋予的规则书。
它可以发现隐藏规则，但前提是这些规则是被审计者披露或发现的。审计是通过检查系统操作员展示给审计者的“机制注册表”（如特定的代码字段、工作流状态或配置值），或者通过审计者通过调查发现的机制来进行的。如果某个机制隐藏在未记录的代码或无人知晓的秘密实践中，审计就无法看到它。审计的效果取决于设计师向侦探展示的开关列表，或者侦探设法挖掘出的信息。
它并不意味着如果机器人合并了规则书保持分离的事物，那么机器人就是“损坏”的。论文只关心机器人是否拆分了规则书要求保持在一起的事物。合并可能是可以接受的；拆分才是“罪行”。

底线
这篇论文为我们提供了一种数学工具，用来捕捉那些在自身逻辑内是“诚实”的、但在其承诺面前却是“不诚实”的系统。它将一种模糊的“感觉不对劲”的感觉转化为了具体的、可检查的不匹配清单。它表明，在数字世界中，仅仅因为一个系统具有一致性，并不意味着它是真实的。它警告我们，我们对系统的信任总是暂时的，因为仅仅增加一段新的历史，就可能揭示该系统从未遵循过我们所认为的规则。

技术摘要：关于声明与实现规则之同一性的有限审计

1. 问题陈述

现代记录系统，特别是那些支持问责制和法律一致性的系统，在“发生了什么”、“适用何种规则”以及“谁承担责任”的问题上，往往存在持续性的分歧。为了在争议期间维持稳定的引用，这些系统必须在记录进行转换（修订、分支、精炼）及交换过程中，保持其身份（identity）的稳定性。

本文解决的核心问题是系统的声明身份机制（即系统声称决定同一性的规则）与实现身份行为（即系统实际执行的行为）之间的背离。一个系统可能会应用一种从未被任何人工制品声明过的始终如一的同一性规则。例如，一个模式（schema）可能声明基于内容的固定身份，而工作流或应用逻辑却使用版本字段将每一次文本编辑视为一个新的实体。这种背离在标准的逻辑一致性检查中通常是不可见的，因为系统并未发布任何矛盾的声明；其溯源图（provence graph）和审计日志在内部是自洽的，但其操作层面的同一性规则却与声明的规则不同。本文旨在将这种“操作身份”（operational identity）形式化，并提供一种审计声明与实现之间差距的方法。

2. 方法论

本文提出了一种正式的审计程序，用于比较记录域 $R$ 的两个划分：声明划分与操作身份划分。

2.1. 声明划分 ( $\pi_\tau$ )
由声明的身份机制 $\tau$ 和带标签的族系转换历史 $H$ 导出。该机制定义了一个身份基准（例如：内容固定、结构固定）和一个分类函数，用于确定转换是保留、破坏还是对身份保持中性。声明划分是由历史中非破坏性边生成的等价关系。

2.2. 操作身份划分 ( $\pi_d$ )
由披露的实现机制（一个“表面”/surface） $d$ 及其身份相关用途导出。

机制注册表 ($DB$)： 一组披露的实现人工制品（字段、工作流状态、谓词）的有限集合，具有可计算的观测映射。
身份相关结果： 审计关注特定的结果类型：引用标识符分配、解析、持久化、转换处理、适用性选择或操作容许性。
表面控制： 只有当机制的身份相关用途通过其值进行传递时，该机制才构成一个审计表面。如果多个人工制品共同控制着用途，则审计应升级为联合机制。
操作划分： 记录根据其“身份处理特征签名”（即该表面产生的输出结果向量）进行分组。具有相同特征签名的记录属于 $\pi_d$ 中的同一个块。

2.3. 审计过程
审计在细化格（refinement lattice）中比较 $\pi_\tau$ 和 $\pi_d$ ：

忠实性（Faithfulness）： 如果 $\pi_\tau$ 是 $\pi_d$ 的细化（即该表面从未拆分声明的共指类），则称该表面是忠实的。
背离见证（Divergence Witness）： 一对满足 $r \sim_\tau s$ （声明为相同）但 $IT_d(r) \neq IT_d(s)$ （操作处理为不同）的记录 $(r, s)$ 。
分类： 若存在兄弟身份基准 $\tau'$ $τ^{'}$ （例如：结构固定 vs 内容固定），则将背离在声明类内部进行局部分类，分为四种情况：
1. 兄弟对齐（Sibling-aligned）： 该表面拆分的方式与兄弟基准完全一致。
2. 子兄弟（Sub-sibling）： 该表面拆分的粒度比兄弟基准更细。
3. 超兄弟（Super-sibling）： 该表面实现了兄弟基准的部分区别，但未实现全部区别。
4. 兄弟不可比（Sibling-incomparable）： 该表面做出了兄弟基准未做的区别，同时也忽略了兄弟基准所做的区别。
机制替换（Regime Substitution）： 一个更强的全局条件，即 $\pi_d = \pi_{\tau'}$ 在整个定义域上成立。本文证明了兄弟对齐并不意味着机制替换。

3. 核心贡献

本文提出了五项具体贡献：

操作身份划分： 定义了通过可计算对象（基于披露机制注册表）在实现表面上诱导出的同一性规则。
忠实性与背离： 定义了将“细化”作为忠实性的判定标准，并提供了能够反驳忠实性的有限背离见证。它确立了忠实性是单向的：拆分一个声明类是缺陷，但合并两个不同的声明类对于单个表面而言不一定是缺陷（这可能是存储层级的合并）。
背离分类： 引入了在存在兄弟基准时的四向局部格分类，区分了这种局部对齐与全局机制替换之间的关系。文中提供了一个具体的构造实例（一个随每次编辑而递增的版本字段），该实例占据了子兄弟这一情形。
非单调的通过判定： 证明了“通过（pass）”判定在转换历史扩展时是非单调的。增加历史记录可能会合并先前分离的声明类，从而在原本经过检查且被视为忠实的记录之间创造出背离见证，而无需改变表面或记录本身。
披露相对性： 明确地将审计框架化为相对于三个披露边界：注册表中的人工制品、被评估的表面以及识别出的身份相关用途。每个边界都携带一个完整性主张，审计程序无法解除该主张，但可以利用有限见证对其进行反驳。

4. 结果与可判定性

有限可判定性： 在假设记录域有限、历史有限且分类函数可判定的前提下，声明划分、操作划分、忠实性、背离见证及背离分类均是可计算的。
复杂度： 使用并查集（union-find）构建划分需要 $O((n+h)\alpha(n))$ 的时间，其中 $n$ 为记录数， $h$ 为历史长度。通过对配对进行枚举，判定与分类可以在 $O(n^2)$ 时间内完成，或通过哈希技术达到期望的 $O(n)$ 时间。
三值判定： 审计返回三种结果：通过（pass）、失败（fail，附带见证与分类），或不确定（indeterminate，若不满足前提条件，如历史准确性或表面控制权未达标）。
实例演示： 一个法律对齐场景展示了一个声明内容固定规则（ $RULE\text{-}C$ ）的系统，其版本字段实现却在每次文本变更时拆分记录。审计将其识别为子兄弟背离（比内容固定和结构固定基准都更细），证明了该系统既没有运行声明的机制，也不仅仅是在运行兄弟机制（ $RULE\text{-}S$ ）。

5. 意义与主张

本文声称提供了比较“系统应当声明的内容”与“系统实际所做内容”的“另一半”信息。其意义在于：

使隐形过程形式化： 它使“未声明的同一性规则”变得可计算且可审计，将其与简单的逻辑不一致或矛盾区分开来。
中立性： 它并不判定哪种身份基准是“正确”的（例如，究竟是内容还是结构应该定义规则）。相反，它将有效的声明机制作为输入，并检查实现是否忠于该机制。
审计严谨性： 它确立了“通过”判定是对特定历史和披露集的陈述，而非对整个存储系统的永久性证明。它强调了扩展历史记录可能会追溯性地使之前的“通过”判定失效。
局限性： 本文对研究范围保持谦逊。它不会发现注册表之外的隐藏机制，也不会解决实质性的法律或因果问题。它提供了一个形式化对象（操作划分）和用于证明背离的有限见证，并将识别导致背离的具体基准的任务留给了审计员。

该审计被呈现为审查更高阶责任和法律解释问题的前置必要条件，确保对争议主题的引用保持稳定且可检查。