Niet-ondersteunde applicaties: het stille knelpunt in forensische laboratoria

Laboratoriumcijfers meten de doorvoer: verwerkte zegels, dagen per onderzoek, de omvang van de achterstand. Wat ze niet kunnen meten, is het bewijs dat aanwezig was, nooit is gelezen, en daarom nooit een bevinding werd.

Dat getal bestaat nergens. Het kan niet bestaan, omdat het vastleggen ervan zou vereisen dat men weet wat er zat in het deel dat niemand heeft geopend. Maar het is niet klein, en de grootste enkele oorzaak ervan zijn applicaties die een hulpmiddel niet heeft gedecodeerd.

Vier manieren waarop een applicatie onleesbaar wordt

Ze is regionaal. Een berichten- of sociale applicatie met een paar honderdduizend gebruikers in één land is geen prioriteit voor een leverancier die in veertig markten verkoopt. Ze kan uiterst relevant zijn als dat land is waar uw onderzoek plaatsvindt.

Ze is nieuw. De kloof tussen het populair worden van een applicatie en het verschijnen ervan in de releasenotities van een forensisch hulpmiddel wordt in kwartalen gemeten. De criminele ingebruikname van een nieuw communicatiekanaal wordt in weken gemeten, en ze is vaak sneller dan de legitieme ingebruikname, omdat de prikkel om te verhuizen sterker is.

Ze is veranderd. Dit is de grootste categorie en de minst besproken. Een ondersteunde applicatie brengt een update uit die haar opslag herindeelt, en de parser die voor de vorige versie is geschreven, geeft gedeeltelijke resultaten terug, of geen. Het hulpmiddel vermeldt de applicatie nog steeds als ondersteund. De analist moet opmerken dat de uitvoer dunner is dan ze hoort te zijn, en dat vereist dat men al ongeveer weet wat te verwachten valt.

Ze was nooit iemands prioriteit. Fitnessapplicaties, notitieapplicaties, ritgeschiedenis van taxidiensten, bezorgapplicaties, betaalportefeuilles, spraakmemo’s. Zelden centraal, af en toe doorslaggevend, en afzonderlijk nooit een kwartaal van een ingenieur waard.

Waarom het onzichtbaar blijft

Drie dingen zorgen ervoor dat dit niet verschijnt als een probleem dat iemand in eigendom heeft.

Het eerste is dat het rapport juist is. Een analist die schrijft dat bepaalde applicatiegegevens niet zijn geanalyseerd, heeft de beperking correct gedocumenteerd. Niets in een kwaliteitsbeoordeling zal het markeren.

Het tweede is dat de informele reikwijdteregel verstandig is. Onderzoek wat het hulpmiddel heeft gedecodeerd, onderzoek waar de onderzoeker specifiek naar vroeg, noteer de rest. Onder een reële werklast is dat de professioneel juiste beslissing, en ze levert elke keer dezelfde inperking van de reikwijdte op.

Het derde is dat niemand weet wat is gemist. Een onderzoeker die nooit te weten komt dat een gesprek bestond, kan niet vragen waarom het niet in het rapport stond. De afwezigheid is structureel niet waarneembaar.

Wat analisten er werkelijk aan doen

De goede doen iets, en het schaalt niet.

Sommigen openen de database met de hand, werken het schema uit en schrijven een query. Sommigen houden een persoonlijke verzameling scripts bij. Sommigen kennen een collega in een andere dienst die deze applicatie eerder is tegengekomen, en sturen een e-mail. In een paar laboratoria is er een persoon, doorgaans één, die bekendstaat als bereid dit te doen, en diens wachtrij is het werkelijke knelpunt.

Elke versie hiervan heeft dezelfde twee problemen. Het kost uren die de zaak niet kan missen, en het begrip dat ontstaat, is niet duurzaam. Het leeft in het hoofd van één persoon of in een kladbestand, en wanneer die persoon vertrekt, gaat het mee. De volgende analist in de volgende dienst komt dezelfde applicatie over zes maanden tegen en begint opnieuw.

De vorm van een oplossing

Als de beperking is dat iemand een onbekend opslagformaat moet begrijpen voordat de inhoud kan worden gelezen, zijn er slechts twee uitwegen. Dat begrip goedkoper maken om te produceren, of het duurzaam maken zodra het is geproduceerd.

Beide zijn beschikbaar, en ze versterken elkaar.

Het goedkoop produceren is nu een hanteerbaar probleem. Uitwerken waar een onbekende database voor dient, uit haar bestandspad, haar tabel- en kolomnamen, en een steekproef van haar inhoud, is een redeneertaak en geen patroonherkenningstaak, en het is het soort taak waar huidige modellen ongewoon goed in zijn. De uitvoer is een mapping: een beschrijving van hoe deze bron moet worden gelezen in de velden die een weergave verwacht.

Die uitvoer kan niet eenvoudig worden vertrouwd, en dat hoeft ook niet. Valideer haar structureel, voer haar uit op een steekproef van de echte gegevens, en toon de analist een voorbeeld van werkelijke records. Een mapping die de bron verkeerd heeft begrepen, levert een voorbeeld vol onzin op, en dat is in seconden zichtbaar. De analist aanvaardt haar, corrigeert haar in een visuele editor, of verwerpt haar.

Haar duurzaam maken is de gemakkelijkere helft en de waardevollere. Een gevalideerde mapping is een klein artefact dat geen bewijs bevat, alleen de beschrijving van hoe een structuur moet worden gelezen. Ze kan worden gedeeld. Wanneer een ander laboratorium een zegel opent dat dezelfde applicatie bevat, wordt ze automatisch toegepast.

Dat is het punt waarop de economie verandert. Vandaag wordt de inspanning om een applicatie te begrijpen herhaald in elke dienst die haar tegenkomt, en elke keer verloren. Gedeeld wordt ze één keer betaald.

De uitspraak waarbij voorzichtigheid past

Er is een versie van dit argument die te ver gaat, en het is de moeite waard de lijn te markeren.

Automatische mapping betekent niet dat een analist nooit ergens naar hoeft te kijken. Ze betekent dat het eerste begrip door de software wordt geproduceerd en dat de rol van de analist beoordeling wordt in plaats van constructie. Sommige mappings zullen onjuist zijn. Sommige bronnen zijn werkelijk dubbelzinnig, en geen enkele hoeveelheid redeneren over een schema zal oplossen wat een kolom betekent wanneer haar naam f4 is en haar inhoud gehele getallen.

Wat verandert, is niet de norm. Het is wie de eerste doorgang doet, en hoe lang een laboratorium erop wacht. In plaats van een kwartaal duurt het minuten, en het resultaat is iets wat de dienst houdt.