Ewidencja, która ma przekonać kogoś, kto nie ufa jej autorowi
Siedem kierunków wokół ewidencji czasu prac badawczych, której wiarygodność nie może zależeć od dobrej woli autora: niezmienność ze stornem zamiast edycji, dwie daty, kotwice uprawdopodabniające zamiast mierzących, dowód przeżywający utratę systemu, materiał dowodowy bez ujawniania treści i ewidencja, która sama odcina własne godziny.
Koch Laboratory — ewidencja, która ma przekonać kogoś, kto nie ufa jej autorowi
Ewidencja czasu pracy badawczej jest szczególnym rodzajem dokumentu: sporządza ją ten, kto na niej korzysta, a czyta ktoś, kto zawodowo zakłada, że mogła powstać wczoraj. Cała trudność techniczna bierze się z tej asymetrii — nie z liczenia godzin. Ten kierunek pyta, jakie własności musi mieć zapis, żeby jego wiarygodność nie zależała od dobrej woli autora, i gdzie leżą granice tego, co da się w ogóle wykazać.
Metodyka. Problem → hipoteza → falsyfikowalne kryterium → wynik z warunkami brzegowymi. Statusy jawne; zmiany projektowe wymuszone zderzeniem z rzeczywistością są opisane jako zmiany, nie wygładzone po fakcie.
1. Kierunek 1 — zapis, w którym nie ma czego poprawić
Pytanie badawcze. Czy da się prowadzić ewidencję tak, żeby brak możliwości poprawienia wpisu był własnością systemu, a nie deklaracją jego użytkownika? Dlaczego to trudne. Każdy system dopuszczający edycję jest, z punktu widzenia czytającego, tym samym co arkusz kalkulacyjny — a ludzie popełniają błędy i muszą je korygować. Zakaz edycji bez mechanizmu korekty jest więc nie do utrzymania w praktyce; mechanizm korekty bez śladu niweczy cały zamysł. Stan techniki (publikowany). Wymogi niezmienności zapisów w prawie podatkowym (GoBD, § 146 ordynacji podatkowej), księgowa zasada storna, nośniki i magazyny w trybie WORM, systemy zdarzeniowe. Kryterium sukcesu. Po zamknięciu tygodnia nie istnieje żadna ścieżka edycji ani usunięcia wpisu; korekta jest nowym wpisem wskazującym wpis korygowany, a oryginał zostaje widoczny. Wynik. Potwierdzony: wpisy zamknięte są niemodyfikowalne, korekta to storno ze wskazaniem, usuwanie zablokowane. Warunek brzegowy: własność dotyczy zapisu, nie nośnika — kto ma dostęp administracyjny do bazy, ma dostęp do bazy; dowodowo broni tego dopiero kierunek 4, a nie same reguły aplikacji. Mówimy to wprost, bo systemy „niezmienne z definicji” zwykle tego nie mówią. Status: wdrożone.
2. Kierunek 2 — dwie daty zamiast jednej
Pytanie badawcze. Jak zapisać pracę wykonaną trzy miesiące temu, nie udając, że zapis powstał wtedy? Dlaczego to trudne. Ewidencja odtwarzana po fakcie ma mniejszą wartość dowodową niż bieżąca, ale jest nieunikniona: laboratoria zaczynają dokumentować systematycznie dopiero w którymś momencie, a wcześniejsza praca istniała naprawdę. System, który pozwala wpisać datę pracy bez śladu, kiedy powstał wpis, zamienia całą ewidencję w zapis o jednej, nieweryfikowalnej jakości. Stan techniki (publikowany). Rozróżnienie czasu zdarzenia i czasu zapisu w bazach dwuczasowych; wymóg „zeitnah” w metodyce ulgi badawczej. Kryterium sukcesu. Data pracy i data sporządzenia są osobnymi polami, druga nadawana automatycznie; reżim wpisu (bieżący / rekonstrukcja) jest jawny i przeżywa import starych materiałów. Wynik. Potwierdzony: dwa pola dat i dwa reżimy, import dawnej księgi wchodzi jako rekonstrukcja i pozostaje tak oznaczony na zawsze. Efekt uboczny okazał się ważniejszy od zamierzonego: jawne przyznanie się do rekonstrukcji podnosi wiarygodność pozostałej części ewidencji, zamiast ją obniżać. Status: wdrożone.
3. Kierunek 3 — kotwice uprawdopodabniają, ale nie mierzą
Pytanie badawcze. Jaka jest właściwa rola śladów maszynowych (commity, pliki, metadane) w ewidencji, której przedmiotem jest praca umysłowa? Dlaczego to trudne. Pokusa jest oczywista: skoro commit ma sygnaturę czasu, niech commit wyznacza godziny. Prowadzi to jednak do dwóch fałszów naraz. Po pierwsze, praca badawcza w znacznej części odbywa się poza komputerem — analiza, projektowanie, czytanie — i zapis oparty na kotwicach po prostu jej nie widzi. Po drugie, system wymagający kotwicy uczy ludzi produkowania kotwic, czyli psuje dokładnie ten materiał, który miał uwiarygadniać. Stan techniki (publikowany). Narzędzia mierzące czas z aktywności aplikacji; ewidencje oparte na integracjach z repozytoriami. Kryterium sukcesu. Kotwice są dowodem uprawdopodabniającym, nigdy warunkiem wpisu; godziny pozostają oświadczeniem wnioskodawcy; praca poza komputerem ma własne, jawne oznaczenie zamiast być luką. Wynik. Potwierdzony jako rozstrzygnięcie projektowe: kotwice (commity, pliki dowodowe) podpinają się automatycznie tam, gdzie istnieją, a wpis bez kotwicy jest pełnoprawny i oznaczony jako praca koncepcyjna. Hipoteza „kotwica jako warunek wpisu” została odrzucona — kosztem wygodnej narracji, na rzecz zapisu, który nie kłamie o naturze pracy badawczej. Status: wdrożone (hipoteza konkurencyjna odrzucona).
4. Kierunek 4 — dowód, który przeżywa system, w którym powstał
Pytanie badawcze. Czy niezmienność zapisu da się wykazać komuś, kto nie ma dostępu do systemu — i wykazać nadal wtedy, gdy systemu już nie ma? Dlaczego to trudne. Dowód wewnętrzny jest wart tyle, ile zaufanie do operatora; a operator jest tu jednocześnie beneficjentem. Dowód zewnętrzny wymaga natomiast, żeby to, co wychodzi na zewnątrz, nie zawierało treści — bo treść ewidencji badawczej jest tajemnicą przedsiębiorstwa. Stan techniki (publikowany). Znaczniki czasu RFC 3161, OpenTimestamps z zakotwiczeniem w Bitcoinie, drzewa Merkle i logi transparentności, podpisy Ed25519. Kryterium sukcesu. Tydzień zamykany jako kanoniczny zapis → SHA-256 → stempel w co najmniej dwóch kanałach; weryfikacja możliwa bez dostępu do instancji i po jej całkowitej utracie. Wynik. Potwierdzony w zakresie kryterium: kanoniczna postać wpisów tygodnia, skrót, stempel w podpisanym logu z drzewem Merkle oraz drugi, niezależny stempel OpenTimestamps zakotwiczony w Bitcoinie; dowody leżą jako pliki obok systemu. Zastrzeżenie i jego rozwiązanie. Pierwszy kanał to nasza własna usługa czasu — sam podpis operatora niczego by więc nie przesądzał. Rozwiązaniem nie jest zapewnienie, tylko konstrukcja: log tej usługi nie poświadcza sam siebie, ponieważ korzeń każdego zamkniętego tygodnia jest kotwiczony na zewnątrz — w Bitcoinie przez OpenTimestamps oraz w tytule przelewu księgowanym przez bank, z publikowaną referencją księgowania. Zostaje jedna granica, warta wypowiedzenia: świeżo złożony stempel trafia do tygodnia jeszcze otwartego i zewnętrznie zakotwiczony zostaje dopiero po jego zamknięciu. W tym oknie wpisu broni drugi, bezpośredni stempel OpenTimestamps, składany przez samą instancję. Status: wdrożone.
5. Kierunek 5 — dowód bez ujawnienia treści (zmiana projektowa)
Pytanie badawcze. Jak dołączyć do wpisu materiał dowodowy, którego właściciel nie może nikomu pokazać? Dlaczego to trudne. Pierwotny projekt zakładał załączanie plików do instancji: skanów, wydruków z aparatury, danych pomiarowych. Zderzenie z rzeczywistością było natychmiastowe — dla części laboratoriów sama treść tych plików jest tajemnicą przedsiębiorstwa, a wgranie ich do jakiegokolwiek systemu, także własnego, jest decyzją, której nie chcą podejmować. Stan techniki (publikowany). Zobowiązania kryptograficzne, dowody istnienia oparte wyłącznie na skrótach, obliczanie skrótu po stronie przeglądarki. Kryterium sukcesu. Wariant, w którym instancja nigdy nie widzi pliku, a mimo to jego skrót wchodzi pod stempel czasu tygodnia. Wynik. Potwierdzony jako zmiana projektowa: obok trybu z załączaniem istnieje tryb hash-only — przeglądarka liczy SHA-256 lokalnie, do systemu trafia wyłącznie odcisk. Warunek brzegowy podany wprost: taki dowód jest bezwartościowy bez oryginału. Weryfikacja polega na okazaniu pliku i porównaniu skrótu; kto zgubi oryginał, zostaje z liczbą, która niczego nie dowodzi. To cena, którą świadomie płaci się za nieujawnianie treści. Status: wdrożone (oba tryby, przełączane w konfiguracji instancji).
6. Kierunek 6 — ewidencja, która sama się ogranicza
Pytanie badawcze. Czy zapis może aktywnie odcinać własne godziny — i czy takie odcięcie wzmacnia jego wiarygodność? Dlaczego to trudne. Ewidencja, w której każdy tydzień kończy się równo na maksimum, jest sygnałem ostrzegawczym dla każdego czytającego, a jednocześnie naturalnym wynikiem systemu, który po prostu nie pozwala przekroczyć limitu. Praca ponad limit istnieje naprawdę; wypchnięcie jej poza zapis to strata materiału, a wpisanie w limit — nieprawda. Stan techniki (publikowany). Metodyka ulgi badawczej z tygodniowym sufitem na osobę; praktyka ewidencji czasu pracy z twardymi walidacjami. Kryterium sukcesu. Godziny ponad sufit są zapisywane i widoczne, ale jawnie oznaczone jako nierozliczane; praca rutynowa jest dokumentowana i jawnie odgraniczona od badawczej; sufit jest ustawiany per osoba, bo etaty nie są jednakowe. Wynik. Potwierdzony: trzy odrębne oznaczenia (praca badawcza rozliczana, badawcza ponad sufit — nierozliczana, praca rutynowa poza zakresem), sufit tygodniowy per konto, kotwice podpinane do wszystkich trzech kategorii. Ubocznie rozwiązuje to problem ciągłości: tygodnie bez pracy badawczej przestają być dziurami w kalendarzu. Status: wdrożone.
7. Kierunek 7 — praca zespołowa bez wglądu w godziny innych
Pytanie badawcze. Jak prowadzić wspólną ewidencję projektu, nie pokazując pracownikom nawzajem ich czasu pracy? Dlaczego to trudne. Raport dla oceniającego musi być kompletny — z podziałem na osoby i sumami. Widok dla pracownika nie powinien ujawniać wymiaru pracy kolegów, bo to informacja o charakterze płacowym. Te dwa wymagania spotykają się w jednym zbiorze danych i w jednym eksporcie. Kryterium sukcesu. Kompletność raportu zbiorczego przy jednoczesnym maskowaniu godzin między osobami — także w plikach wyjściowych, nie tylko na ekranie. Wynik. Potwierdzony: raport w rozbiciu na osoby dla prowadzącego, maskowanie między pracownikami w widokach i eksportach, przypisanie autorstwa każdego wpisu. Warunek brzegowy: maskowanie chroni przed wglądem, nie przed wnioskowaniem — kto zna skład zespołu i sumę zbiorczą, część informacji odtworzy rachunkiem. Status: wdrożone.
Status kierunku. Wszystkie siedem kierunków ma postać wdrożoną i działającą. Wynikiem, który wydaje się przenosić poza tę dziedzinę, jest obserwacja z kierunków 2, 3 i 6: wiarygodność zapisu rośnie tam, gdzie zapis jawnie przyznaje się do własnych ograniczeń — do rekonstrukcji, do braku kotwicy, do godzin, których nie wolno policzyć. Najbliższy krok badawczy: dziennik odczytów jako materiał dowodowy sam w sobie (kto i kiedy oglądał raport) oraz szyfrowanie kotwic w stanie spoczynku bez utraty weryfikowalności stempla.