Der vakuose Durchlauf: Warum Verifikation Schweigen nicht von Unbedenklichkeit unterscheiden kann

Jedes Verifikationssystem, so ausgefeilt es auch sein mag, muss sein Urteil letztlich durch einen Kanal mit begrenzter Bandbreite ausgeben. Irgendwo zwischen der Tiefe dessen, was tatsächlich geprüft wurde, und dem Bericht, den ein Mensch liest, wird diese Tiefe auf etwas komprimiert, das einem einzigen Bit nahekommt: markiert oder nicht markiert. Diese Kompression ist kein Umsetzungsfehler, sie ist nahezu unvermeidlich, denn ein Mensch, der täglich Tausende von Ergebnissen sichtet, kann nicht für jedes einzelne den vollständigen internen Zustand eines Prüfers aufnehmen. Doch die Kompression hat einen spezifischen und wenig untersuchten Preis, und dieser Preis sinkt nicht, wenn Verifikationssysteme besser werden. Er steigt, denn besseren Systemen wird mehr vertraut, und Vertrauen ist genau die Ressource, die ein komprimiertes Signal in Wahrheit nicht rechtfertigen kann.

Die These in präziser Form

Die strukturelle These dieses Beitrags lautet, so präzise formuliert, wie es ohne Bezug auf ein bestimmtes System möglich ist: Eine Verifikationsarchitektur, die ihr Ergebnis über einen Kanal meldet, der gerade ausdrucksstark genug ist, um bestanden von durchgefallen zu unterscheiden, kann konstruktionsbedingt nicht bestanden von nicht geprüft unterscheiden. Beides fällt in denselben beobachtbaren Zustand zusammen. Keine noch so große Sorgfalt im Nachgelagerten, kein Prüfer, der die Ausgabe erneut liest, keine Neugestaltung eines Dashboards, die denselben Kanal beibehält, kann eine Unterscheidung wiederherstellen, die bereits am Punkt der Kompression zerstört wurde. Die Korrektur, sofern es eine gibt, muss dort ansetzen, wo das Ergebnis erzeugt wird, und nicht an irgendeinem Punkt danach.

Das klingt fast zu einfach, um es förmlich festzuhalten, und genau deshalb kehrt es in Feldern wieder, die sonst nichts miteinander gemein haben.

Die vakuose Wahrheit als formaler Ursprung des Problems

Der Ausgangspunkt ist ein Stück klassischer formaler Logik, das mit Software oder Recht nichts zu tun hat. Eine allquantifizierte Aussage der Form für jedes Element dieser Menge gilt Eigenschaft P ist trivialerweise wahr, wenn die Menge leer ist. Es gibt kein Element der leeren Menge, dem die Eigenschaft P fehlt, weil es überhaupt kein Element gibt. Logiker nennen das eine vakuose Wahrheit, also eine leere Wahrheit, und das ist weder ein Paradox noch ein Taschenspielertrick, sondern schlicht das, was der Quantor bedeutet. Alle Fundstellen in diesem Schriftsatz wurden als aktuell verifiziert ist eine Behauptung genau dieser Gestalt. Enthält der Schriftsatz null Fundstellen, ist die Behauptung vakuos wahr, und sie erscheint in jedem System, das Behauptungen dieser Gestalt maschinell prüft, identisch zu einem Schriftsatz, dessen vierzig Fundstellen einzeln geprüft und sämtlich als aktuell befunden wurden.

Über den Logikunterricht hinaus zählt dies deshalb, weil Verifikationssysteme fast ausnahmslos um Behauptungen dieser Gestalt herum gebaut sind. Alle markierten Positionen wurden gesichtet. Alle Transaktionen im Prüfungsumfang wurden getestet. Alle Modellausgaben wurden auf die fragliche Eigenschaft geprüft. Jede dieser Aussagen ist eine Allaussage über eine Arbeitsmenge, und jede ist genau demselben Zusammenfall ausgesetzt, sobald diese Arbeitsmenge leer sein kann, sei es durch tatsächliches Fehlen, durch eine Entscheidung über den Prüfungsumfang oder durch irgendetwas Vorgelagertes, das die Menge auf nichts zusammenschrumpfen lässt, bevor die Prüfung überhaupt läuft. Die Verifikationslogik selbst kann makellos sein. Der vakuose Fall besteht dennoch, denn Bestehen ist genau das, wozu die Logik gebaut ist, wenn nichts mehr übrig ist, woran sie scheitern könnte.

Das Argument der Kanalkapazität

Derselbe Gedanke lässt sich in die Sprache der Informationstheorie überführen, denn diese Rahmung schärft die zweite Hälfte des Arguments erheblich, nämlich warum sich dies nicht nachgelagert flicken lässt.

Man betrachte die Ausgabe eines Verifikationsschritts als Kanal. Der Kanal hat eine endliche Kapazität, das heißt, er kann eine endliche Zahl unterschiedlicher zugrunde liegender Zustände unterscheiden. Ein System, das nur bestanden oder durchgefallen meldet, hat einen Kanal von genau einem Bit. Der tatsächliche Raum der Zustände, die diesen Bericht hervorgebracht haben könnten, ist jedoch größer als zwei. Mindestens gibt es: die Prüfung lief, und das Ziel erfüllte sie, die Prüfung lief, und das Ziel scheiterte an ihr, die Prüfung lief nicht, weil es nichts zu prüfen gab, die Prüfung lief nicht, weil etwas Vorgelagertes die benötigte Eingabe unterdrückte, und die Prüfung lief in einem degradierten Modus, der die Eigenschaft, die zu prüfen sie vorgibt, gar nicht testen konnte. Das sind mindestens vier oder fünf tatsächlich verschiedene Zustände, komprimiert in einen Kanal mit Platz für zwei.

Ein Grundergebnis der Informationstheorie ist hier unerbittlich: Ein Kanal kann keine Information tragen, für deren Übertragung er von vornherein keine Kapazität hatte, und nichts, was nach der Übertragung geschieht, kann wiederherstellen, was der Kanal selbst zu schmal war abzubilden. Es spielt keine Rolle, wie sorgfältig ein Mensch das eine überlebende Bit liest, wie erfahren der Prüfer ist oder wie oft derselbe Bericht erneut gelesen wird. Die Unterscheidungen, auf die es ankam, gingen verloren, bevor das Bit überhaupt erzeugt wurde. Jede Korrektur, die auf der Ausgabeseite ansetzt, sorgfältigeres Lesen, bessere Schulung, ein zweiter Prüfer, versucht ein Signal aus einem Kanal zu rekonstruieren, der es strukturell nicht tragen kann. Die einzige Korrektur, die wirken kann, ist die Verbreiterung des Kanals selbst, und zwar an der Stelle, an der die Kompression stattfindet, sodass nicht geprüft zu einem Zustand wird, den der Kanal tatsächlich ausdrücken und von geprüft und unbedenklich unterscheiden kann.

Dabei lohnt es sich zu verweilen, denn hier gehen die meisten operativen Korrekturen fehl. Der Reflex, wenn jemand darauf hinweist, dass ein unbedenkliches Ergebnis bedeuten könnte, dass nichts geprüft wurde, besteht darin, eine Anmerkung, einen Vorbehalt, eine Fußnote zur Erläuterung der Grenze hinzuzufügen. Eine Fußnote liegt jedoch weiterhin nachgelagert zur Kompression. Wenn der Kanal, der das Verhalten tatsächlich steuert, die Dashboard-Farbe, die automatische Eskalation, das Feld, an dem sich nachgelagerte Systeme orientieren, weiterhin nur ein Bit trägt, ist die Fußnote Dekoration. Die Zustände sind bereits verschmolzen, wenn irgendjemand die Fußnote liest.

Wo dies wiederkehrt, und warum es jedes Mal identisch wiederkehrt

Das Muster zeigt sich überall dort, wo ein System Abdeckung oder Regelkonformität über ein binäres oder nahezu binäres Signal meldet, und es lohnt sich, mehrere Fälle genau durchzugehen, denn der Mechanismus ist jedes Mal identisch, obwohl sich das Fachvokabular vollständig ändert.

Man betrachte automatisierte Softwaretests. Eine Testsuite meldet eine Bestehensquote, eine bestimmte Anzahl gelaufener Tests und einen Anteil davon, der erfolgreich war. Eine Bestehensquote von hundert Prozent gilt, für sich genommen zu Recht, als gute Nachricht. Doch eine Testsuite mit drei trivialen Zusicherungen, die einen Bruchteil der tatsächlichen Logik abdecken, meldet dieselbe Kennzahl an oberster Stelle wie eine Testsuite mit erschöpfender Abdeckung jedes Zweigs und jedes Grenzfalls, hundert Prozent bestanden. Der Unterschied zwischen beiden liegt vollständig in einer zweiten Zahl, der Testabdeckung, die misst, wie viel vom System die Tests überhaupt berührt haben. Eine Bestehensquote ohne eine daneben stehende Angabe zur Testabdeckung, mit gleichem visuellem Gewicht, ist eine vakuose Wahrheit im vertrauenerweckenden Gewand. Genau deshalb bestehen ernsthafte Entwicklungsorganisationen darauf, die Testabdeckung als erstrangige Kennzahl zu führen statt als optionale Diagnose: Ohne sie kann die Bestehensquote allein gründliche Validierung nicht davon unterscheiden, dass es nichts gab, woran etwas hätte scheitern können.

Man betrachte die klinische Labordiagnostik. Ein diagnostischer Assay liefert ein negatives Ergebnis. Dieses Negativ könnte bedeuten, dass die Probe den gesuchten Analyten tatsächlich nicht enthielt, was jeder annimmt, der den Befund liest. Es könnte aber ebenso bedeuten, dass die Probe auf dem Transportweg degradierte oder falsch entnommen wurde oder dass das Reagenz versagt hatte, und zwar auf eine Weise, die den Assay den Analyten selbst dann nicht nachweisen lässt, wenn er reichlich vorhanden wäre. Ein gut entworfener Laborprozess umfasst eine interne Kontrolle, eine zweite Messung, deren einzige Aufgabe darin besteht zu bestätigen, dass der Assay tatsächlich in der Lage war, ein Positiv nachzuweisen, sofern eines vorlag, gerade damit ein negatives Ergebnis von einem Nichtergebnis im Gewand eines negativen Ergebnisses unterschieden werden kann. Ein Laborprozess ohne diese interne Kontrolle hat strukturell exakt dasselbe Ein-Bit-Kanal-Problem wie das Beispiel der Softwaretests, nur mit lebensbedrohlichen Einsätzen.

Man betrachte die Finanzprüfung. Ein Abschlussprüfer erteilt ein Urteil zu einem Jahresabschluss, und ein uneingeschränkter Bestätigungsvermerk wird von nahezu allen außerhalb des Berufsstands gelesen als diese Zahlen sind in Ordnung. Was dieses Urteil tatsächlich bescheinigt, ist erheblich enger: dass innerhalb eines definierten Prüfungsumfangs, unter Anwendung einer definierten Stichprobenmethodik und vorbehaltlich einer Wesentlichkeitsschwelle nichts Geprüftes die Schwelle einer berichtspflichtigen Abweichung erreichte. Eine aus dem Prüfungsumfang ausgeschlossene Transaktionsklasse, eine so eng definierte Grundgesamtheit, dass sie gerade die tatsächlich relevanten Transaktionen ausschließt, oder eine Stichprobe, die die problematischen Fälle zufällig nicht enthielt, erzeugen sämtlich denselben uneingeschränkten Bestätigungsvermerk, den auch eine wirklich einwandfreie Buchführung hervorbringen würde. Der Umfangsabschnitt existiert eigens, um diesen Zusammenfall zu verhindern, und ein Großteil der über Jahrzehnte der Finanzgeschichte wiederkehrenden Kritik an der Prüfungsqualität läuft im Kern auf die Beobachtung hinaus, dass Leser das Kernurteil für den Kanal halten und den Umfangsabschnitt ignorieren, der die fehlenden Bits tatsächlich trägt.

Jedes dieser Beispiele stammt aus einem Feld ohne gemeinsames Vokabular, ohne gemeinsame Aufsicht und ohne gemeinsame Geschichte. Dass der Mechanismus in allen dreien identisch wiederkehrt, ist der stärkste Beleg dafür, dass es sich um eine strukturelle Eigenschaft binärer Verifikationskanäle im Allgemeinen handelt und nicht um eine Eigenheit eines einzelnen von ihnen.

Wo dies in unserem eigenen Feld wiederkehrt

Dieselbe Struktur zeigt sich beim konkreten Problem, zu verifizieren, dass die zitierten Autoritäten eines juristischen Vorbringens tatsächlich existieren, weiterhin gelten und das tragen, was ihnen zugeschrieben wird. Ein Verifikationsdurchlauf über die Fundstellen eines Dokuments erzeugt auf der Ebene, die ein Leser tatsächlich aufnimmt, etwas, das einem einzigen Signal nahekommt: Zitate geprüft, keine ungültig. Dieses Signal ist dem vakuosen Fall exakt so ausgesetzt wie jedes Beispiel oben. Ein Dokument, das keinerlei verifikationsbedürftige Fundstellen enthält, und ein Dokument, dessen Zitationsapparat der Substanz nach vorhanden, für die maschinelle Prüfung jedoch unsichtbar geworden ist, sei es durch Neuformatierung, durch Paraphrase, die die formalen Marker fallen lässt, nach denen ein Parser sucht, oder durch jede andere Transformation, die die Oberflächenmerkmale entfernt, an denen der Verifikationsschritt ansetzt, erzeugen beide denselben nachgelagerten Zustand: nichts zu markieren. Ein Leser, der auf diesen Zustand blickt, kann aus dem Zustand allein nicht erkennen, ob er ein Dokument vor sich hat, das keine fundierungsbedürftigen Behauptungen aufstellt, oder ein Dokument, das Behauptungen aufstellt, die in einer für den Prüfer unsichtbaren Form unfundiert sind.

Die Unterscheidung wiegt hier schwerer als in den meisten anderen Beispielen, denn die beiden Fälle tragen sehr unterschiedliche Folgen und lassen sich unter Druck leicht vermengen. Ein kurzer Verfahrensvermerk, der tatsächlich nichts zitiert, ist kein Risiko. Eine substanzielle Berufung auf maßgebliche Autorität, die absichtlich oder versehentlich ihrer verifizierbaren Form entkleidet wurde, ist genau das Risiko, zu dessen Aufdeckung der Verifikationsschritt existiert, und genau der Fall, den der vakuose Zusammenfall verbirgt.

Die einzige dauerhafte Korrektur folgt unmittelbar aus dem obigen Argument der Kanalkapazität: Die Verifikationsausgabe muss einen dritten, ausdrücklichen, gleichgewichtigen Zustand tragen, getrennt sowohl von bestanden als auch von durchgefallen, genau für diese Lage, und dieser dritte Zustand muss mindestens so bedeutsam behandelt werden wie ein Durchfallen und nicht als leiser Verwandter des Erfolgs. Ein Dokument mit substanziellen, nicht verifizierbaren Berufungen auf Autorität darf sich nicht so lesen wie ein Dokument, an dem es nichts zu verifizieren gibt. Diese Unterscheidung in das Signal selbst einzubauen, statt in einen Vorbehalt, der angehängt wird, nachdem das Signal bereits erzeugt und konsumiert wurde, ist die einzige Stelle der Verarbeitungskette, an der sich die fehlenden Bits noch retten lassen, denn es ist der einzige Punkt, bevor die Kompression bereits stattgefunden hat.

Das allgemeine Gestaltungsprinzip

Die Verallgemeinerung über alle obigen Fälle ergibt eine Gestaltungsregel, einfach genug für einen einzigen Satz und anspruchsvoll genug, dass sie fast keine Verifikationsarchitektur von sich aus erfüllt: Jedes System, das ein unbedenkliches Ergebnis erzeugen kann, muss ebenso in der Lage sein, als eigenständige und gleich sichtbare Ausgabe die Aussage zu erzeugen, dass es dasjenige nicht geprüft hat, als dessen Prüfer es gelesen wird.

Aus der ernsthaften Anwendung dieser Regel folgen drei Konsequenzen, und keine davon ist optionales Beiwerk.

Erstens darf nicht geprüft an keiner Stelle der Verarbeitungskette stillschweigend in denselben Behälter fallen wie geprüft und unbedenklich, vom Punkt des Prüfungslaufs bis zum Punkt, an dem ein Mensch eine Zusammenfassung davon liest. Jede Stelle, an der bei fehlenden Daten ein Vorgabewert gesetzt wird, ist eine Stelle, an der sich dieser Zusammenfall wieder einschleichen kann, selbst nachdem die zugrunde liegende Logik einmal korrigiert wurde.

Zweitens müssen die Grundgesamtheit oder die Arbeitsmenge, über die eine Prüfung läuft, protokolliert und mit derselben Prominenz ausgewiesen werden wie das Ergebnis. Das Ergebnis eines Verifikationsschritts ist nur zusammen mit einer ehrlichen Angabe dessen interpretierbar, womit er tatsächlich zu arbeiten hatte. Ein Ergebnis zu berichten, ohne Umfang und Zusammensetzung des Geprüften zu berichten, heißt, eine halbe Messung zu berichten und sie als ganze auszugeben.

Drittens, und organisatorisch am schwersten zu verinnerlichen, verdient ein ungewöhnlich unbedenkliches Ergebnis mehr Prüfung und nicht weniger, wenn die Arbeitsmenge unerwartet geschrumpft ist. Ein Verifikationsdurchlauf mit weniger zu prüfenden Gegenständen, als dieselbe Dokumentklasse üblicherweise enthält, ist ein Signal für sich, und ihn als neutral oder beruhigend zu behandeln statt als Anlass zu prüfen, warum die Arbeitsmenge schrumpfte, ist der Weg, auf dem der vakuose Fall in der Praxis den größten Schaden anrichtet. Nicht weil das jemand so entworfen hätte, sondern weil ein System, das immer nur Probleme bemerkt, konstruktionsbedingt nichts über das Ausbleiben eines Problems zu sagen hat, nach dem zu suchen es nie Gelegenheit bekam.

Warum dies mit der Automatisierung der Verifikation dringlicher wird und nicht geringer

Der letzte ausdrücklich festzuhaltende Punkt ist, warum dieses Problem wächst statt schrumpft, je mehr Verifikationsarbeit in einem Feld von einem skeptischen Menschen in Handarbeit auf ein automatisiertes System im großen Maßstab übergeht. Ein menschlicher Prüfer, der die Arbeit von Hand erledigt, bemerkt eher, wenn es ungewöhnlich wenig zu sichten gab, denn Handarbeit bedeutet, den Umfang der Arbeitsmenge unmittelbar zu erfahren. Automatisierung beseitigt genau diese beiläufige Schutzvorkehrung. Eine Verarbeitungskette, die dieselbe Prüfung millionenfach am Tag ausführt, erzeugt eine Million einzelner Bits, und niemand ist in der Lage, Fall für Fall zu bemerken, dass einige dieser Millionen Ergebnisse aus einer leeren Arbeitsmenge stammten statt aus einer wirklich unbedenklichen. Gerade das, was automatisierte Verifikation wertvoll macht, ihre Fähigkeit, ein unbedenkliches Signal zu erzeugen, ohne dass je ein Mensch das zugrunde liegende Material ansieht, ist zugleich das, was die beiläufige Kontrolle beseitigt, die ein menschlicher Prüfer früher unentgeltlich beisteuerte.

Das ist kein Argument gegen die Automatisierung der Verifikation. Es ist ein Argument dafür, dass eine Automatisierung der Verifikation ohne gesonderte und bewusste Konstruktion des oben beschriebenen dritten Zustands nicht nur daran scheitert, das Problem des vakuosen Durchlaufs zu beheben. Sie beseitigt die letzte Schutzvorkehrung, die es still eingehegt hatte, und zwar genau in dem Moment, in dem die Menge der Ergebnisse, denen ungelesen vertraut wird, um Größenordnungen zunimmt. Ein blinder Fleck, den ein sorgfältiger Mensch beiläufig auffing, Dokument für Dokument, wird zu einem blinden Fleck im Maßstab all dessen, was das automatisierte System berührt, sobald niemand die fehlende Unterscheidung absichtlich wiederherstellt.