要約

  • 2026年9月28日付のP10個人草案は、同じ閉じた証拠集合と両立する二つの異なる「世界」が、固定した主張に異なる値を与える場合の NotDemonstrated(reason=underdetermined) を検証可能な受領証にする案を示した。
  • 証明の対象は、あらかじめ定めたプロファイル、ログ、チェックポイントの内側に限られる。現実にどちらの世界が存在するかや、対象外の証拠がないこと、後続の行動が妥当だったことは示さない。

監査で「結論を出せない」と言われると、調査が十分尽くされたようにも聞こえる。しかし、結論を出せないことと、調べるべき資料をすべて調べたことは別である。二つの説明が一冊の資料に矛盾しなくても、その資料を作る段階で決定的な観測を除外していれば、精緻な計算は狭い問いにしか答えない。

Ivan Nestorovが提出した P10 Underdetermination Profile の初版 -00 は、この境目を仕様の中に書き込んだ。日付は2026年9月28日。IETF Datatracker上の状態は I-D Exists で、個人のInformational Internet-Draftである。SCITT作業部会の採択文書でもRFCでもなく、実運用で問題が起きたという報告でもない。SCITTの透明な声明に、未立証の理由が「与えられた証拠では決まらない」ことを第三者が確認できる結果として載せる提案だ。

仕組みの中心には、主張と判断規則の固定がある。プロファイルは考慮する世界の集合、証拠の受入条件、証拠集合を閉じる方法、世界と証拠の整合条件、主張の評価方法を定義する。受領証には正規化された二つの証人世界を入れる。固定された検証器は、その両方が同じ閉じた証拠集合と整合し、同じ主張について異なる結果を出すことを確かめる。この結果をin-toto Statement v1のpredicateとしてSCITT Transparent Statementに結び付ける。COSE受領証のRFC 9942とSCITTアーキテクチャのRFC 9943は公表済みだが、P10という組み合わせ自体は提案段階にある。著者も、二つの整合する世界による不確定性の論証を新しい数学的定理とは主張していない。新たに扱うのは、その論証を第三者が追えるよう規則と材料を固定する方法である。

固定する時点にも意味がある。草案は、世界の範囲、主張の意味、入場できる証拠とその収集範囲、ログの識別、証拠を受け付けられる主体、符号化方式、検証器の成果物を、対象となる案件への最初の証拠登録より前に確約するよう求める。EvidenceClosureとCoverageProofは、指定された主体が期限のチェックポイントまでにログへ登録した、有効で範囲内の証拠が収められたかを調べる。検証には必要なログの全前置部分の再生も伴う。閉鎖記録や必須の検査器がなければ HALT として認識上の判定を出さない。確約が競合したり収録に欠落があれば REJECT となり得る。これらは「主張が未決定」という判定ではなく、判定の前提に失敗した状態だ。

そこまで整っても、外側には空間が残る。完全性は特定ログの、特定要求に対し、指定された受入主体が登録した範囲内の情報を、署名付きチェックポイントまで見るという意味に限られる。登録されなかった証拠、規則で除かれた証拠、別のログ、別の要求IDで立てられた実質的に同じ問い、後から追加された記録の不存在は示せない。発行者が同じ主張に異なるプロファイルを適用する兄弟案件を複数作り、その一つだけ示していないことも、この受領証だけでは否定できない。草案はこうした制約を結果の必須部分にしようとしている。

さらに、形式上は答えを決められる証拠が存在しても、現場の収集経路では入手不能かもしれない。草案の事前検査は、その証拠が実際に得られることや代表性まで保証しない。形式的に有効なプロファイルが、運用上は棄権の結論を生みやすい場合があるという警告だ。証明器が確認できるのは定義された意味の内部での関係であり、自然言語で語られる紛争をその意味が忠実に捉えたかどうかは別途判断を要する。特定の運用者に偏りがあったという記事ではない。

将来この種の受領証を根拠に調達や安全上の判断をするなら、証拠登録前の主張とプロファイル、ログとチェックポイント、収録の閉鎖、二つの証人世界、明示された制約を一緒に保存すべきだ。可能であれば同じ問いを扱う別の案件が見えるかも確認したい。これはDaniel Kadeによる監査上の提案であり、IETFが新たに義務づけた手順ではない。形式的に確かな「まだ分からない」は役に立つ。ただし、何を調べたうえで分からないのかを切り離して使うことはできない。

出典