Dokazi, sledljivost in forenzika
KAKO RAZMIŠLJATI, KO IMAJO VSI ODGOVOR
Pet poročil kaže isto. Trije sistemi vrnejo enak rezultat. Več analiz pride do iste ugotovitve, na desetih spletnih straneh pa se pojavi ista trditev.
Takšno ujemanje hitro vzbudi zaupanje, kar je razumljivo. Če več virov kaže v isto smer, se zdi manj verjetno, da se vsi motijo. Vendar lahko pri tem spregledamo nekaj pomembnega: viri, ki jih štejemo kot različne, morda niso nastali neodvisno.

Pet rezultatov lahko izhaja iz iste meritve. Več poročil lahko uporablja isto zbirko podatkov, navidezno ločeni sistemi kličejo isti API ali uporabljajo isto programsko komponento, deset člankov pa povzema en sam prvotni vir.
Število odgovorov se povečuje, količina neodvisnih dokazov pa ne nujno. Včasih imamo pred seboj več dokazov, drugič predvsem več odsevov istega dokaza.
Ujemanje ima ozadje
Razliko med ponovitvijo in neodvisnim preverjanjem dobro pokaže znanstvena metodologija.
National Academies of Sciences, Engineering, and Medicine v poročilu Reproducibility and Replicability in Science uporabljajo dva ločena pojma. Reproduktivnost pomeni pridobitev skladnih računskih rezultatov z istimi vhodnimi podatki, postopki, metodami in kodo. Pri replikabilnosti druga raziskava obravnava isto znanstveno vprašanje, vendar pridobi lastne podatke. [1]
Oboje je pomembno, vendar ne preverja iste stvari. Če isti izračun dvakrat izvedemo nad istimi podatki in dobimo isti rezultat, smo pokazali, da se rezultat v danih pogojih ponovi. Drugi zagon pa ni ustvaril novega nabora podatkov, zato pri presoji dokazov ni pomemben samo končni rezultat, ampak tudi način, kako smo do njega prišli.
Pet zelenih indikatorjev
Predstavljajmo si organizacijo, ki uporablja pet nadzornih aplikacij. Vseh pet prikazuje stanje iste storitve in na vseh zaslonih sveti zelena. Videti je, kot da je delovanje storitve potrjeno petkrat.
Podrobnejši pogled v arhitekturo lahko pokaže drugačno sliko. Vseh pet aplikacij morda bere stanje iz iste centralne nadzorne zbirke. Dejanska meritev je bila opravljena enkrat, preostali sistemi pa njen rezultat prikazujejo ali posredujejo naprej.
Napačna začetna meritev se lahko zato razširi na vseh pet prikazov. Ujemanje med njimi je popolno, vendar ni nastalo s petimi ločenimi meritvami.
S tem ni nič narobe, dokler vemo, kaj gledamo. Več prikazov ima lahko povsem upravičen operativni namen in povečuje preglednost. Problem nastane, ko pet prikazov začnemo razlagati kot pet neodvisnih kontrol. Pri pomembni odločitvi zato podatek, da se sistemi strinjajo, ni dovolj; poznati moramo tudi njihove skupne točke.
Odvisnost se lahko skriva več korakov nazaj
Nekatere povezave je preprosto opaziti. Dve aplikaciji uporabljata isto bazo, več poročil črpa iz istega sistema, različni uporabniški vmesniki pa kličejo isti vir podatkov. V drugih primerih je povezava bolj oddaljena in zato manj očitna.
Sistem A ustvari podatek. B ga prevzame in shrani v svoji zbirki, C ga obdela, D uporablja izvoz iz C, poročilo E pa povzame rezultat iz D.
Na koncu obstaja pet ločenih objektov. Imajo drugačna imena, datume, oblike in morda tudi različne lastnike, kljub temu pa lahko vsi temeljijo na enem samem začetnem opazovanju. Če se je napaka pojavila tam in je poznejši koraki niso preverili po drugi poti, se lahko brez večjih sprememb prenese skozi celotno verigo.
Sledljivost je pri tem koristna zato, ker razkrije povezave. Ne ugotavljamo samo, od kod je neka informacija prišla, ampak tudi koliko domnevno različnih potrditev ima skupno izhodišče. Dve kopiji iste informacije sta lahko povsem pravilni, vendar zaradi tega še ne predstavljata dveh neodvisnih dokazov.
Ko se ista trditev pojavi na številnih mestih
Podoben mehanizem je mogoče opazovati v strokovni literaturi.
Steven A. Greenberg je leta 2009 v reviji BMJ analiziral citatno mrežo okoli konkretne biomedicinske trditve. V analizo je vključil 242 člankov in 675 citatov. Pokazal je primere selektivnega citiranja, širjenja trditev skozi članke brez novih podatkov in sprememb njihovega pomena med nadaljnjim citiranjem. [2]
Za Vestigo je zanimiva predvsem zgradba takšne mreže. Trditev iz prvega dokumenta povzame drugi, tretji se sklicuje na drugega, naslednji pa na tretjega. Čez čas se ista ugotovitev pojavlja na številnih mestih in pridobiva videz široko potrjenega dejstva.
Število dokumentov in količina neposrednih dokazov zato nista ista podatka. Preštevanje sklicev samo po sebi pove malo; če želimo oceniti njihovo težo, moramo pogledati, kam vodijo in kje se njihove poti združijo.
Enak vzorec se lahko pojavi zunaj znanstvenih objav: v internih poročilih, medijskih povzetkih, poslovnih analizah, kazalnikih ali podatkih, ki krožijo med več informacijskimi sistemi.
Redundanca ni samo število
Inženirstvo pozna zelo podoben problem.
Dva strežnika lahko povečata razpoložljivost storitve, vendar je učinek redundance precej manjši, če sta oba odvisna od istega napajanja ali iste omrežne naprave. Podobno velja za dva komunikacijska voda, ki se na delu poti znajdeta v istem fizičnem kablu. Na diagramu sta dve povezavi, na kritični točki pa imata skupno ranljivost.
V varnostnem inženirstvu se uporablja pojem odpovedi zaradi skupnega vzroka. IAEA pri varnostno pomembnih instrumentacijskih in krmilnih sistemih ob tem obravnava redundanco skupaj z raznolikostjo, fizičnim ločevanjem in neodvisnostjo. [3]
Ista logika je uporabna pri informacijah. Dve aplikaciji nista dve povsem ločeni kontroli, če odločilni del obdelave opravljata z isto komponento. Dva kazalnika ne pomenita nujno dveh meritev, kadar oba izračunamo iz istega vhodnega podatka. Tudi dva strokovna pregleda nista nujno enakovredna dvema samostojnima presojama, če je drugi pregled že od začetka močno odvisen od prvega.
Pri redundanci zato ne štejejo samo elementi. Štejejo tudi povezave med njimi.
Neodvisnost ima stopnje
Popolnoma ločene poti so redke. Dve raziskovalni skupini poznata isto literaturo, informacijska sistema sta lahko nameščena v istem podatkovnem centru, strokovnjaka uporabljata podobne metode, mediji pa spremljajo iste tiskovne agencije in javne vire.
Zaradi tega preverjanje ne postane brez vrednosti, vendar je izraz neodvisno smiselno uporabljati previdno.
Dva sistema lahko zbirata podatke vsak zase, pri obdelavi pa uporabljata isti algoritem. Drug par uporablja različni metodi, vendar isti senzor. Drugje so primarni podatki ločeni, pozneje pa se obe poti naslonita na isto referenčno zbirko. Skupna točka je v vsakem primeru drugje in z njo tudi tveganje.
Pri pomembnem rezultatu je zato koristno poznati vsaj osnovno pot njegovega nastanka: kateri podatki so bili uporabljeni, kako so bili pridobljeni, kaj jih je obdelalo in na katerih mestih se domnevno ločene poti ponovno srečajo. Enaka previdnost velja pri človeški presoji. Drugi pregled ima lahko veliko vrednost tudi takrat, ko pregledovalec pozna prvi rezultat, vendar tak postopek ni enak presoji, izvedeni brez predhodnega vpliva prve ocene. Razliko je treba poznati, ne skrivati.
Druga kontrola mora preverjati pravo mesto
Dodajanje nove kontrole pomaga samo, če poseže v del procesa, kjer pričakujemo možno napako.
Interni monitoring, ki kaže dosegljivost spletne storitve, lahko dopolnimo s preverjanjem z dejanskim odjemalcem iz drugega omrežja. Pri dvomu v programski izračun lahko rezultat preverimo z drugo implementacijo. Podatek iz evidence je mogoče primerjati z ločenim primarnim zapisom.
Ključno je, kaj želimo preveriti. Pri sumu na okvarjen senzor drugačen uporabniški vmesnik ne pomaga. Če je težava v algoritmu, nova zbirka podatkov, ki jo obdelamo z istim napačnim postopkom, ne odpravi skupne točke. Dodatno poročilo iz istega vira prav tako ne ustvari novega opazovanja.
Dobra druga kontrola se mora od prve razlikovati tam, kjer šteje. To ne zahteva popolnoma novega sistema, ampak dovolj drugačno pot, da domnevna skupna napaka ne more samodejno ustvariti tudi druge potrditve.
Soglasje ima svojo zgradbo
Ujemanje neodvisnih meritev, podatkov in metod je lahko močan razlog za večje zaupanje. Iz samega števila enakih odgovorov pa ne moremo ugotoviti, kako močna je njihova skupna dokazna podlaga. Danes je to še posebej pomembno, ker lahko ista informacija v nekaj minutah postane del številnih poročil, spletnih objav, nadzornih plošč, podatkovnih zbirk in odgovorov različnih modelov. Na desetih mestih se pojavi enaka ugotovitev in sčasoma začne delovati kot desetkrat potrjena informacija, čeprav je bila morda predvsem desetkrat prenesena.
Tudi pri več modelih ali agentih je zato smiselno ločiti soglasje od neodvisnosti virov. Enak odgovor je zanimiv rezultat, vendar je njegova teža odvisna tudi od skupnih podatkov, metod in drugih povezav med sodelujočimi sistemi.
Po drugi strani je lahko odstopajoč rezultat uporaben prav zato, ker je nastal po drugačni poti. Ni nujno pravilen, lahko pa odkrije skupno predpostavko, ki je ostali niso preverili.
Sled, ki pokaže povezave
Dober nadzor ne potrebuje samo končnega odgovora. Pri pomembnih procesih mora biti mogoče vsaj v razumni meri rekonstruirati, kako je rezultat nastal.
Koristni so podatki o primarnih virih, poteh prenosa in obdelave, uporabljenih metodah, skupnih komponentah in mestih, kjer se več poti združi. Takšna sled sama ne pove, kaj je res, omogoči pa precej natančnejšo presojo tega, kar imamo pred seboj.
Pet neodvisnih meritev in pet prikazov ene meritve sta na zaslonu lahko videti podobno. Njuna dokazna vrednost ni ista.
Sklep
Ko se več odgovorov ujema, je to pomemben podatek. Pri odločitvah z večjimi posledicami pa je vredno pogledati še korak globlje: od kod prihajajo rezultati, katere podatke uporabljajo, kje imajo skupne komponente ter kje se njihove poti ločijo in ponovno srečajo.
Najpomembnejše vprašanje je, ali obstaja ena sama napaka, ki bi lahko pojasnila vse navidezno ločene potrditve.
Včasih bo tak pregled pokazal resnično večkratno potrditev.
Drugič bomo za desetimi zelenimi indikatorji našli eno samo meritev.
Število odgovorov tega ne razkrije.
Povezave med njimi pa lahko.
EVIDENCE PROFILE
Dokazni profil članka
Profil pokaže vrsto dokazne podlage in omejitve osrednjega argumenta.
Viri
- 01PRIMARY DOCUMENTATIONNational Academies of Sciences, Engineering, and MedicineNational Academies of Sciences, Engineering, and Medicine. Reproducibility and Replicability in Science. Washington, DC: The National Academies Press, 2019. DOI: 10.17226/25303.Odpri vir ↗
- 02PRIMARY RESEARCHGreenberg, S. A. How citation distortions create unfounded authority: analysis of a citation network. BMJ. 2009;339. DOI: 10.1136/bmj.b2680.Odpri vir ↗
- 03STANDARDInternational Atomic Energy Agency (IAEA)International Atomic Energy Agency. Instrumentation and Control Systems and Software Important to Safety for Research Reactors. IAEA Safety Standards Series No. SSG-37 (Rev. 1). Vienna: IAEA.