System som kan förklara sig själva

Tes

Ett modernt systemlandskap behöver inte bara observeras. Det behöver kunna förklara hur en slutsats uppstod, vilket tidsspann den gäller, vilka källor som saknas och vilka handlingar slutsatsen legitimt kan bära. Samma krav måste gälla kontrollsystemets egen drift.

Detta är mer än observability. Telemetri kan visa att en komponent svarar, medan verksamhetsflödet tappar dokument. En graf kan visa en relation utan att visa när relationen gällde. En AI-agent kan producera en övertygande analys utan att kunna visa vilken källrevision eller population den täckte.

Fyra artefakter som inte får blandas

Matrix använder en praktisk fyrdelning:

1. Definition: vad som är avsett, tillåtet eller avtalat.
2. Observation: vad en namngiven källa uppfattade inom ett scope och en tid.
3. Evidens: den beständiga bärare som gör observation eller handling granskningsbar.
4. Bedömning: slutsatsen som härleds och den metod som användes.

Indelningen är en designsyntes, inte en universell ontologi. Dess värde är att den hindrar en konfigurationsfil från att presenteras som runtime, ett receipt från att presenteras som verksamhetsutfall och en modellbedömning från att presenteras som rå observation (CLAIM-CORE-002).

Sanning har minst två tider

När ett kvitto anländer sent måste systemet kunna skilja vad som gällde 09.10 från vad organisationen visste 09.10. Valid time och known time besvarar olika frågor (CLAIM-TIME-001). Utan denna skillnad skriver sena observationer om historien i stället för att förklara den.

Det påverkar incidenter, SLA, revisionsdomar och AI-analyser. En bedömning bör därför ange:

• valid_at eller giltighetsintervall,
• observed_at,
• recorded_at,
• known_at,
• källans revision och scope,
• eventuell supersession eller korrigering.

Lokala gröna lampor bildar inte global sanning

I ett distribuerat system finns inget gratis, perfekt globalt “nu”. Komponenterna observeras vid olika tidpunkter och kan vara partitionerade. Därför kan en dashboard inte summera lokala statusar till ett säkert globalt tillstånd utan att redovisa konsistensantagande, freshness och coverage (CLAIM-DIST-001).

En användbar lägesbild börjar i stället med konsekvensen:

• vilket användar- eller verksamhetsflöde påverkas,
• vilken del är verifierad,
• vad är okänt,
• varför är det okänt,
• vad skulle minska osäkerheten,
• vilken handling är tillåten nu.

Proveniens är en kedja, inte en länk

En URL eller filväg visar var något finns men inte vem som observerade det, vilken aktivitet som skapade det eller vilket resultat som härleddes. Proveniens behöver bära aktör, aktivitet, input, output, revision, tid, scope och härledning (CLAIM-PROV-001).

För AI-arbete innebär det exempelvis att prompt, modell, verktyg, policy, källrevision, tokenusage, dom och read-back inte kan ersättas av “skapad med AI”. För konfiguration innebär det att scenario, profil, overlay, generator, schema, digest, plan, apply receipt och observation måste kunna följas.

Unknown är ett resultat

Saknad observation är inte samma sak som negativ observation. En probe som inte körts får inte ge grönt. En population utan nämnare får inte ge procent. En connector utan passport får inte ärva familjens hälsa. Unknown är därför en handlingstyp: systemet ska kunna ange vad som saknas och vem som kan åtgärda det (CLAIM-CORE-003).

Kontrollplanet måste granskas med samma språk

Det är lätt att ställa höga krav på kundsystem och samtidigt låta den egna plattformen döljas bakom status=ok. Ett självförklarande kontrollplan behöver minst:

• serviceidentitet och version,
• processrevision, checkout och huvudgren,
• utrullningsstämpel,
• landad och applicerad schemarevision,
• beroenden och deras freshness,
• vilka kontroller som är tekniskt verkställda,
• vilka vägar som kan kringgå dem,
• observationstid och coverage.

Matrix Jake bridge har ett partiellt service-passport som kan avslöja processdrift och migrationsdrift. Samtidigt är Coordinatorfältet inte processbundet och andra tjänster saknar samma kontrakt. Det är ett användbart lokalt bevis, inte global plattformshälsa (CLAIM-OPS-011).

Designprinciper

1. Visa konsekvens och nästa säkra handling före rå telemetri.
2. Låt varje sammanfattning öppnas till claim, källa, tid och scope.
3. Skilj definition, observation, evidens och bedömning i datamodellen.
4. Bevara valid time och known time.
5. Visa unknown, stale, conflicting och refused explicit.
6. Ange expected population innan coverage eller procent visas.
7. Låt read-back komma från en annan väg än write-adaptern.
8. Ge kontrollplanet samma service-passport som externa system förväntas bära.
9. Redovisa enforcement per repo, tjänst och avslutningsväg.
10. Gör varje påstående svagare när dess evidens blir stale eller försvinner.

Slutsats

Självförklaring är inte en chattfunktion ovanpå loggar. Det är en egenskap hos hela kedjan från definition till observation, bedömning, beslut, handling och ny observation. Matrix är intressant just därför att samma modell används för kundlandskap, konfigurationsgeneratorer och den egna agent-/Coordinator- miljön. Den största risken är inte att systemet saknar data, utan att ett lokalt bevis presenteras som en global sanning (CLAIM-CORE-005).

Spårbarhet

CLAIM-CORE-001, CLAIM-CORE-002, CLAIM-CORE-003, CLAIM-CORE-005, CLAIM-TIME-001, CLAIM-DIST-001, CLAIM-PROV-001, CLAIM-OPS-011.

Visuella referenser

FIG-02-01 — Från verklighet till verifierad förändring

FIG-03-01 — Samma valid time, olika known time

FIG-15-01 — Självobservation, safe mode och verifierad återställning

SCREEN-05-01 — Landskapsfråga med graf, träffar och konsekvenskedja. Hel konceptvy; graf och träffar är demodata, inte observerat kundläge.

SCREEN-11-02 — Control Plane med service-passports och enforcement per repo och DONE-väg. Konceptvy byggd från daterad read-only-observation; inte en livepanel.