نموذج الصلاحية الموزعة عند الانقطاع: حدود القرار المحلي الآمن في خدمات الدولة الرقمية

MERIDIAN FUTURES LAB | M02 Scientific Companion | Working Paper 1.0 | Editorial date: 25 September 2026

التصنيف الحقيقي: ورقة مفاهيمية نقدية تتضمن فحص حالات حسابياً محدوداً منفذاً بالكامل (Conceptual Working Paper with an Executed Bounded Exhaustive State-Space Exploration). لا تُعرض بصفتها دراسة تشغيلية سعودية أصلية أو برهان أمن كامل أو ورقة محكمة.

قطع الأدلة: 25 سبتمبر 2026. فترة البرنامج المقترح: 2026–2035.

تبحث الورقة مشكلة مغايرة لسؤال إتاحة الخدمة زمن الانقطاع: ما حد السلطة المحلية الذي يستطيع نظام رقمي أن يمارسه عندما يتعذر عليه التثبت اللحظي من سجلات مشتركة، مع الحفاظ على ثوابت الحقوق وسلامة المستفيدين؟ وتُميز بين الاطلاع على نسخة موقعة، واستلام طلب مؤقت، وإنجاز استحقاق نادر أو فريد، والحصول على قرار نهائي قابل للإنفاذ. نربط هذا التمييز بنظرية الاتساق بوصفه رتابة منطقية (Consistency as Logical Monotonicity; CALM)، وبأبحاث تجنب التنسيق (Coordination Avoidance)، وبحدود تطابق نسخ البيانات الموزعة (Conflict-Free Replicated Data Types; CRDT)، وبالتحديات التصميمية للمدفوعات دون اتصال ضمن مشروع بولاريس (Project Polaris).

نستخدم ثلاثة مجموعات من الأدلة: انقطاع الكهرباء الإيبيري في 28 أبريل 2025 وما سجله بنك إسبانيا (Banco de España) والبنك المركزي الأوروبي (European Central Bank; ECB) من تعطل قنوات الدفع ومزية النقد وحدود توزيعه؛ استمرار بعض وظائف المكتبة البريطانية (British Library) أثناء تعطل وظائف أخرى بعد هجوم أكتوبر 2023؛ والنصوص السعودية المنشورة بشأن إدارة استمرارية الأعمال في القطاع المصرفي والحكومة الرقمية. لا تسمح أي من هذه الأدلة بقياس احتمال تعطل خدمة سعودية أو صلاحياتها المحلية الفعلية، لكنها تحدد أسئلة قابلة للتحقق.

نفذنا استكشافاً حسابياً كاملاً لحالات نموذج اصطناعي محدود يتكون من موقعين منفصلين، وثلاث وحدات حق مشتركة، وخمسة مستويات ممكنة من الطلب المحلي لكل موقع (صفر إلى أربعة)، وخمس سياسات قرار؛ أي 25 حالة طلب و125 تقييماً للسياسات. في سياسة الموافقة المحلية العمياء خولف السقف المشترك في 13 حالة من 25، بينما حافظ التفويض المقسم إلى وحدتين وواحدة على السقف في كل الحالات، وفق افتراض التنفيذ المحلي الأمين؛ لكنه فَوّت عشر فرص إنجاز آمن مقارنة بخط أساس متصل عند جمع فروق جميع الحالات. هذا عدّ حصري لحالات مجردة مفترضة، ولا يعد احتمالاً إحصائياً أو استنتاجاً عن منشأة حقيقية. ويظهر مثال منفصل أن التوقيع التشفيري الصالح، وحده، لا يمنع استعمال نسخة من القسيمة نفسها في موقعين دون تنسيق أو ضمانات مادية مقابلة.

تقترح الورقة ملفاً تشغيلياً لتحديد سلطة كل خدمة أثناء الانقطاع (Offline Authority Profile; OAP)، وبروتوكول اختبار مصرح به يوازن سلامة الحقوق، والإنجاز الفعلي، والتراكم، والإنصاف الاجتماعي، وتكلفة المراجعة. مساهمتها تنظيم الأسئلة والشروط والاختبارات، مع إبراز المواضع التي يصبح فيها التوقف أو الوعد المؤقت أكثر صدقاً وأماناً من الإنهاء غير القابل للعكس.

الكلمات المفتاحية: الصلاحية المحلية المحدودة (Bounded Local Authority)؛ الانقطاع الشبكي (Network Partition)؛ ثوابت التطبيق (Application Invariants)؛ تجنب التنسيق (Coordination Avoidance)؛ تفويض الحصص (Escrow Allocation)؛ الإنفاق المزدوج (Double Spending)؛ صلاحية التوقيع (Signature Validity)؛ المصالحة اللاحقة (Reconciliation).

The research question is which public-service decisions can be safely authorized locally during a network partition, rather than simply which interfaces remain operational. A distinction is made among viewing signed and time-bounded information, receiving provisional intent, consuming preallocated scarce authorization, and making final decisions that require shared, fresh knowledge. The synthesis draws on CALM, invariant-confluent coordination avoidance, conflict-free replication, and the Bank for International Settlements' Project Polaris research on offline payment design. Documented case evidence covers the April 2025 Iberian blackout and payment disruption, the British Library's post-2023 partial-service restoration, and Saudi rules on institutional business continuity.

An executed, fully synthetic, bounded exhaustive analysis explores 25 demand states at two disconnected sites under five decision policies. The global scarce authorization budget equals three invented units. Blindly letting each site independently commit against the old global balance violates the shared quota in 13 of 25 cases. Honest, disjoint escrow allocation preserves the quota in all enumerated cases but yields 10 fewer safely finalized units in aggregate than an always-connected benchmark. These are counts of constructed abstract states, not estimated risks, probabilities, Saudi results, or guarantees against adversarial compromise. A separate replay counterexample illustrates why a valid issuer signature alone does not ensure unique offline redemption. We propose an Offline Authority Profile and an authorized measurement protocol with explicit outcomes, safety invariants, revocation constraints, appeal handling, and distributional assessment.

Keywords: offline public services; delegated authority; safety invariants; network partition; application semantics; bounded escrow; digital identity; payment resilience; Saudi Arabia.

تتحول الكثير من مناقشات استمرارية الأعمال (Business Continuity) إلى مفردات بنى تحتية: خادم ثانٍ، منطقة بديلة، اتصال احتياطي، وضع مخفض. وهي وسائل مهمة لكنها لا تجيب مباشرة عن صلاحية أثر الفعل إذا كانت المعلومة المشتركة اللازمة له غائبة. قد يعمل جهاز استقبال طلبات محلياً، لكن استلام الطلب لا يساوي التصرف النهائي في حق قانوني أو مالي. ولذلك نختار وحدة تحليل مختلفة: الفعل الإجرائي المأذون به (Authorized State-Changing Action)، أو فعل قراءة لا يغير الحالة ويجب أن يصرح بحداثة أدلته.

السؤال الرئيسي: تحت أي شروط قانونية ومعلوماتية وتشفيرية وتشغيلية يمكن لجهة فرعية، أو موقع، أو جهاز، أو ممثل خدمة، إتمام فعل محدد أثناء انقطاع غير معلوم المدة عن سلطة مشتركة، بحيث لا يتجاوز حقه المفوض ولا يخلق تعارضاً غير قابل للإصلاح؟

ونحدد خمسة أسئلة فرعية:

1. أي القرارات يمكن أن تبقى صحيحة عندما تصل معلومات إضافية في وقت لاحق، وأيها يتوقف على معرفة غياب حق أو قيد في مكان بعيد؟
2. ما الفرق بين صحة التوقيع التشفيري وصلاحية استخدام المورد أو التفويض مرة واحدة فقط؟
3. كيف يمكن تقسيم حق نادر بين مواقع مستقلة دون تعريض ثوابت السجل العام للتجاوز؟ وما ثمن الحصص غير المستغلة؟
4. متى يقدم تسجيل نية مؤقتة منفعة اجتماعية دون تحويل الإيصال إلى وعد نهائي غير صحيح؟
5. كيف تُختبر القدرة المحلية تحت قانون الخدمات وواقع الوصول الإنساني وعدم عدالة توزيع الأجهزة والكهرباء والوقت؟

هدف الورقة مفاهيمي وتصميمي مع مكون حسابي توضيحي مكتمل. لا نختبر في هذه النسخة علاقات سببية وطنية، ولا نستنتج نسب وقوع أعطال أو تعرضات، ولا نتحقق من أمان نظام دفع فعلي. نميز التقييم الوظيفي عن التقييم القانوني والأمني والاجتماعي؛ نجاح آلة حالات نموذجية في حفظ حد عددي لا يمنحها أهلية للاعتماد المؤسسي.

الفرضية والمؤشرات المضادة

H1 — تفويض مسبق مشروط: لبعض الأفعال ثوابت يمكن حفظها محلياً بتفويض محدود منفصل من سلطة مخولة، مع أدلة وتوقيع وتدقيق ومصارحة المستخدم بحالة طلبه.

H2 — حدود الجهل أثناء الانقطاع: أفعال أخرى تحتاج إلى معرفة سجل حديث أو تفرد مورد؛ فإذا سمحنا لكل موقع باستعمال صورة قديمة واحدة فقد تنشأ حقوق زائدة أو متعارضة.

H3 — ثمن الحدود: قد يضمن التوزيع المسبق الحصرية ويقلل الضرر، لكنه يجمد حصصاً في مواقع لا تحتاج إليها أثناء الأزمة، فيحرم مواقع أخرى من عمل جائز لو كان التنسيق متاحاً.

H4 — فائدة الوعد المؤقت: الاستلام المؤقت الموثق قد يحفظ وقت تقديم الطلب وحق صاحبه في المراجعة، ولكنه لا يقوم مقام التنفيذ النهائي ولا يصلح لكل نوع من الحقوق.

H5 — معارضة ممكنة: قد يكون التصميم الأفضل في معظم الوظائف الحساسة هو التوقف الآمن، أو توفير اتصال محدود محمي، أو تعزيز التحول إلى خدمة حضورية، بدلاً من تفويض محلي معقد. ينبغي أن تبقى هذه البدائل داخل المقارنة.

يمكن نقض أطروحة المنفعة العملية إذا أظهرت اختبارات مصرح بها أن تفويضاً محلياً محدداً لا يزيد الإنجاز الصالح قياساً بالتوقف المؤقت بعد احتساب الهجمات والحقوق المصححة والتكاليف، أو أنه ينتج ظلماً في الوصول لا تسمح به السياسة العامة.

2.1 لماذا لا تكفي إعادة نسخ البيانات؟

تصف بحوث الأنظمة الموزعة (Distributed Systems) بيئة تعمل فيها أجهزة مستقلة وقد تتأخر الرسائل بينها أو تنقطع. ليس «الصحيح» في هذه البيئة كلمة واحدة. فقد يعني أن تُظهر النسخ القيمة نفسها عند الالتحاق لاحقاً؛ وقد يعني أن كل قرار اتخذه مستخدم أو جهة أثناء الفترة كان منسجماً مع قاعدة لا ينبغي تجاوزها في أي لحظة. قد يتحقق الهدف الأول بعد انتهاك الثاني.

أظهر مارك شابيرو (Marc Shapiro) وزملاؤه إمكان تصميم أنواع بيانات موزعة تلتقي نسخها بعد التحديث وفق شروط معينة في أعمالهم حول الأنواع المنسوخة المتوافقة (Conflict-Free Replicated Data Types; CRDT). لكنها أدوات لضمان خصائص دمج محددة، ولا تكفي وحدها لصياغة قانون حق نادر أو واجب عدم صرفه مرتين. S10

2.2 ما الذي يمكن فعله دون تنسيق؟

تتناول نظرية الاتساق بوصفه رتابة منطقية (Consistency as Logical Monotonicity; CALM) علاقة بعض الأنماط المنطقية من العمليات بإمكان تنفيذها دون تنسيق مستمر مع المحافظة على دلالات متسقة. يعرض جوزيف هيلرستاين (Joseph M. Hellerstein) وبيتر ألفارو (Peter Alvaro) هذا التمييز ويبحثان أثره في تصميم البرمجيات الموزعة. S08

والرتابة هنا مفهوم فني: في الصياغة المنطقية المناسبة، إذا أضفنا مدخلات جديدة إلى مجموعة مدخلات، لا ينبغي أن يسحب البرنامج نتائج مثبتة سابقاً على نحو يخالف شرطه. لهذا يكون تسجيل حدث مستقل أو إضافة وثيقة مؤهلة أبسط من اتخاذ قرار يعتمد على نفي وقوع شيء في بقية النظام. لكن ليس كل «إضافة» عملية مأمونة، ويجب الانتباه إلى أن حذف الأثر أو إلغاء التصريح وموازنة المورد قد يغير الحكم.

قدم بيتر بيليس (Peter Bailis) وزملاؤه في بحث تجنب التنسيق (Coordination Avoidance in Database Systems) معياراً يرتبط بثوابت التطبيق، يسمى التقاء الثابت (Invariant Confluence; I-Confluence). النتيجة العملية التي تهمنا هي عدم الاكتفاء بتقارب النسخ، بل تحديد ما إذا كان دمج حالتين وصلتا إلى صحة محلية يمكن أن يخرق شرط صحة عالمياً. ويفرق البحث صراحةً بين خصائص الوصول والتقارب وبين ضمان سلامة ثوابت التطبيقات. S09

في خدمات الدولة الرقمية، قد يكون لدينا ثابت أن التصريح لا يستخدم بعد إلغائه، أو أن حصة استحقاق لا تصرف مرتين، أو أن سجلاً فريداً لا يخصص لأكثر من طرف. هذه ثوابت تحتاج إلى تعريف قانوني قبل تمثيلها كشرط برمجي. لا يستطيع الباحث بناء قانون صرف افتراضي ثم اعتبار كل مؤسسة ملزمة به.

2.3 المدفوعات دون اتصال ليست خانة تشغيلية جاهزة

أصدر بنك التسويات الدولية (Bank for International Settlements; BIS) ضمن مشروع بولاريس (Project Polaris) دليلاً لمدفوعات العملات الرقمية للبنوك المركزية دون اتصال عام 2023. يضع التقرير موضوع الخصوصية، وشمول الاستخدام، وأمن الأجهزة، وحدود الاحتفاظ والإنفاق، والسياسات التشغيلية، ومخاطر إعادة الاستخدام، ضمن خيارات تصميم ليست لها صيغة واحدة تصلح للجميع. وفي وثيقة لاحقة من أكتوبر 2023، أكد أن كثيراً من الحلول كانت آنذاك في طور التجارب أو التطوير وأن عدد الحلول الجاهزة للتشغيل العام كان محدوداً. S06S07

أما البنك المركزي الأوروبي (European Central Bank; ECB) فأعلن في أغسطس 2026 مشاورات بشأن معايير عناصر آمنة وشرائح مدمجة في سياق تخطيطه لقدرة اليورو الرقمي على الدفع دون اتصال. وعند قطع الأدلة الحالي، فإن اليورو الرقمي نفسه ليس عملة متاحة للجمهور؛ الطرح المحتمل في سنوات لاحقة مشروط بالتشريع والقرار والتجربة. S16S17

تجعل هذه المصادر الفكرة أضيق وأدق: الصلاحية المنقولة إلى الجهاز تحتاج إلى إدارة حقيقية للندرة ومنع النسخ والتحقق من هوية المصرح له، وتظل هناك خصائص لا يمكن إثباتها محلياً بعد تحديث في مركز غائب، منها بعض أحوال الإلغاء والتحويل المتزامن عبر أجهزة مستقلة.

3.1 إسبانيا والبرتغال في 28 أبريل 2025

سجل بنك إسبانيا (Banco de España) في قراءة منشورة يوم 27 أبريل 2026 أن انقطاع الكهرباء الواسع بدأ قرابة الساعة 12:33 ظهراً في 28 أبريل 2025، وأن تعطلاً طال الدفع الإلكتروني وأجهزة صرف، بينما بقي النقد في أيدي الناس وسيلة تبادل مباشرة لا تحتاج إلى تغذية كهربائية أو اتصال لحظي. وذكر أن بعض أجهزة الصرف لم تكن تعمل رغم احتوائها على النقد، وأن البنك والجهات الناقلة للنقود أعادوا تزويد أجهزة في يومي 29 و30 أبريل. S01

يشير البنك المركزي الأوروبي (European Central Bank; ECB) في دراسته لعام 2025 إلى انخفاض مدفوعات البطاقات حضورياً في المناطق المتأثرة بنحو 41–42% وفق المقارنات المذكورة، وتراجع مشتريات إلكترونية بنحو 54%. كما قدرت بيانات كايشا بنك للأبحاث (CaixaBank Research)، المبنية على عينة معاملات ودراسات مقارنة، أن الإنفاق الاستهلاكي الذي ترصده مقاييسها انخفض بنحو 34% في يوم الانقطاع، ثم تعوض جزء من الفرق في الأيام التالية. لا تمثل هذه النسب تجربة عشوائية أو مقدار كل نشاط اقتصادي؛ فاختلاف المناطق والشراء المؤجل ونطاق بيانات المؤسسة يغير تفسيرها. S02S04

قدمت الشبكة الأوروبية لمشغلي نقل الكهرباء (European Network of Transmission System Operators for Electricity; ENTSO-E) في 20 مارس 2026 خلاصة تحقيق في انقطاع إيبيريا ركزت على عوامل متعددة متفاعلة في النظام الكهربائي. لا نعيد تفسير سبب انقطاع الكهرباء باستخدام نظريتنا عن الصلاحيات الرقمية؛ نستخدم الحدث بصفته انقطاعاً خارجياً موثقاً يكشف حالات دفع كان لا بد فيها من استئذان شبكة غائبة. S03

3.2 المكتبة البريطانية 2023–2025

بعد الهجوم السيبراني الذي وقع على المكتبة البريطانية (British Library) في أكتوبر 2023، بقيت مرافق القراءة ومباني المؤسسة متاحة، بينما تعطلت إمكانات بحث وفهرسة وخدمات إلكترونية. أصدرت المؤسسة مراجعة من جانبها في مارس 2024، ثم تقارير تحديث خدمات تدريجية في 2025. لا تؤكد المواد المتاحة أن أي نموذج خاص بـ«الصلاحيات المحلية» كان مستخدماً؛ تبيّن فحسب أن استمرار جزء من مهمة المؤسسة يمكن أن يتعايش مع عجز كبير ومعلن في جزء آخر. S14S15

3.3 السعودية بوصفها موقع سؤال، لا حالة إخفاق مفترضة

يضم الموقع التنظيمي للبنك المركزي السعودي (Saudi Central Bank; SAMA) إطاراً لإدارة استمرارية الأعمال منشوراً منذ 2017، وتعليمات مؤرخة عام 2021 بشأن بدائل الكهرباء للمصارف وفحص مولداتها وقدرتها وعمليات الصيانة. كما تنشر هيئة الحكومة الرقمية (Digital Government Authority; DGA) مواد تنظيمية وأدلة مرجعية لإدارة المخاطر والاستمرارية في الحكومة الرقمية، منها وثيقة ضوابط نسخة 2.0 ومرشد لاحق. S11 (الدليل المرتبط لعام 2025)S12S13

لا يوجد في هذا البرنامج حق للوصول إلى سجلات أعطال أو صلاحيات داخلية، ولا نستنتج أن تطبيقاً سعودياً حساساً يفتقر إلى تفويض محلي أو يملك أحد الأشكال التي نصفها. وجود تنظيم للاستمرارية يدل على عناية مؤسسية بالموضوع، لكنه لا يثبت نوع الأفعال التي يمكن إنهاؤها قانونياً وتشغيلياً عند غياب الاتصال، أو نتائج تمارين الاستجابة.

جدول تقييد الاستدلال

لنرمز إلى فعل الخدمة بـa، والجهة التي ترغب في إتمامه بـi، واللحظة الزمنية بـt. يحتاج القرار المحلي إلى تحقق من أربعة أنواع على الأقل:

1. مشروعية الفعل (Authorization): صلاحية الجهة أو الجهاز أو الموظف لفعل معين ضمن اختصاص معتبر.
2. صحة الدليل (Evidence Integrity): مصدر وتوقيع وسلامة النسخة أو الطلب، وصلاحية مفاتيح التحقق في السياسة ذات الصلة.
3. حداثة الشرط (Freshness): وقت إصدار البيانات، وخطر تغيرها أو إلغائها أثناء الانقطاع، ومدة تحمل هذا الجهل.
4. سلامة الثابت (Invariant Safety): ألا يولد الفعل حقاً مزدوجاً أو مديونية أو تغييراً محظوراً عند ضم نتائج مواقع أخرى.

يمكن تمثيل السماح بفعل محلي في إطار تصميم مقترح عبر شرط منطقي:

$$\operatorname{ALLOW}(a,i,t)=A(a,i,t)\land E(a,i,t)\land F(a,t)\land I(a,i,t).$$

وتعني قيمة صفر لأحد الشروط أن الإنهاء ينبغي أن يتوقف وفق هذه القاعدة؛ وقد يبقى الاستلام المؤقت أو الشرح أو إحالة الطلب ممكناً بمسار آخر. هذه صياغة مفاهيمية وليست آلة قرار قانوني مكتملة. تقتضي تعريف كل دالة وربطها بمراجع تنظيمية واختبارات وبيانات منشورة بالحد اللازم.

لا نساوي بين التوقيع وصحة جميع عناصر الإثبات. فالتوقيع يمكن أن يثبت أن رسالة لم تُعدَّل وأنها صادرة بمفتاح محدد إذا تحقق النموذج التشفيري، لكن لا يثبت وحده أن الحامل ما زال صاحب الحق أو أن المفتاح لم يُسحب في الوقت الذي انقطع فيه الاتصال أو أن الرسالة لم تُستعمل في موضع آخر. وهذه ليست ثغرة يلزم أن تظهر في كل تصميم: يمكن أن تعالجها حلول تفويض أقصر أجلاً، وحصص موزعة، وعتاد محمي، وحدود قيمة واستخدام وسجل تدقيق، لكن كل علاج يضيف تكلفة وشروط ثقة جديدة.

4.1 فرق ضروري بين سلامة القرار واستمرار المحادثة

نميز أربعة أنواع نتائج:

• Completed Valid: فعل نهائي سليم في نطاق تفويض معلن وقابل للتدقيق.
• Accepted Provisional: طلب مستلم بإيصال يصف أنه ما زال ينتظر مراجعة أو تسوية.
• Deferred or Escalated: طلب معلق مع مبرر وحالة واضحة ووقت مراجعة أو قناة مساعدة.
• Rejected or Unsafe: رفض صحيح بسبب غياب التفويض أو الدليل، أو محاولة فاشلة كان السماح بها سيخالف شرطاً.

لا يجوز جمع الأنواع الأربعة في عدد «معاملات أُنجزت». ومن الإنصاف أيضاً ألا يُعامل الاستلام المؤقت دائماً باعتباره فشلاً؛ فقد يحفظ دور صاحب الحق ووقت طلبه إذا وُجدت سياسة تجعل للإيصال أثراً حقيقياً، ولو غير نهائي. وتظل هذه المسألة خاضعة للسياق القانوني وطبيعة الضرر المترتب على التأخير.

نبدأ بنموذج بسيط مقصود ليسهل تدقيقه. توجد كمية كلية محدودة B من حق معيّن. قبل الانقطاع، تعطي جهة مركزية مخوّلة مواقع مستقلة حصصاً q_i غير متداخلة. ويستطيع كل موقع إنهاء استعمالات c_i ضمن حصته فقط. إذا تحقق الآتي:

$$q_i\ge0,\qquad c_i\le q_i,\qquad \sum_i q_i\le B,$$

فإن:

$$\sum_i c_i\le\sum_i q_i\le B.$$

هذه حجة صحيحة داخل النموذج، مشروطة بعدم تزوير الحصص أو تكرارها، وصدق حفظ الحالة المحلية، واتفاق جميع المشاركين على قانون الاستعمال. وهي ليست برهان أمن لنظام حقيقي؛ لا تبحث فقد الأجهزة، ولا نسخ العتاد، ولا تشارك المفاتيح، ولا هجمات إعادة التشغيل، ولا إلغاء تفويض سابق، ولا قرارات البشر التي تتجاوز السياسة. وهذه الشروط ليست تفصيلاً صغيراً، لأن انتهاك أي منها يمكن أن يحطم الحصر نفسه.

الآلية تشبه مبدأ الحجز المسبق أو الضمان المخصص (Escrow Allocation): نتجنب وجوب الاستئذان في كل حركة لأن جزءاً من حق الحركة أصبح معروف الحدود ومحجوزاً حصرياً في مكان واحد. لكن لهذه الفائدة ثمن: توزيع الحصص يسبق معرفة الطلب الفعلي أثناء الانقطاع. لا يستطيع الموقع «أ» نقل حق غير مستعمل في «ب» بمجرد رغبته، وإلا احتاج إلى اتصال أو بروتوكول جديد يضمن أن النقل لم يتكرر.

5.1 لماذا لا يكفي رصيد قديم عند موقعين؟

إذا احتفظ الموقعان قبل الانقطاع بصورة مشتركة تقول «تبقت ثلاث وحدات»، ثم سمح كل منهما لنفسه بصرف ثلاث وحدات، تصبح المحصلة ستاً. تتصرف الجهتان بصدق بحسب النسخة المحلية، لكنهما خالفتا شرط المجموع. هذه حالة مخالفة نموذجية (Counterexample) يتيحها غياب التنسيق مع حفظ نسخة غير مقسمة من المورد النادر. ويجب فصلها عن الأموال الحقيقية: النظام المالي قد يملك قواعد وتسويات وعتاداً وضمانات أخرى، ونموذجنا لا يحاكيها.

5.2 لماذا لا تعني صحة التوقيع تفرد الصرف؟

نفذنا مثالاً منفصلاً لرمز رقمي واحد T1 يمكن نسخه، يحمل توقيع جهة إصدار صالحاً وتعرفه نقطتان منفصلتان. إذا لم تستطع كل نقطة الاطلاع على سجل استعمال الأخرى، ولم يكن الرمز مرتبطاً بعتاد لا يمكن استنساخه أو بموضع استعمال حصري، فيمكن أن تقبله كل نقطة مرة واحدة. هنا التوقيع صحيح مرتين لكن شرط استعمال الرمز مرة واحدة عالمياً فشل. يسجل data/duplicate_token_counterexample.json هذه الحالة صراحة.

ليس المقصود أن كل توقيع أو محفظة رقمية آمنة تعاني الهجوم نفسه. يبين النموذج لماذا تحتاج أي مطالبة بأن «التوقيع يمنع الإنفاق المزدوج بلا اتصال» إلى تحديد تصميم العتاد أو ربط الرصيد أو الحصص أو قيود النسخ. تميز وثائق مشروع بولاريس (Project Polaris) بين حلول ومخاطر تختلف باختلاف بنيتها، وتولي العناصر الآمنة والحدود التشغيلية مكاناً مركزياً. S06S07

6.1 نطاق الانتهاء وحدود الادعاء

أنجزنا برمجياً تعداداً كاملاً لمجموعة حالات محددة مسبقاً، وليس تجربة مونت كارلو (Monte Carlo Simulation) أو عينة من مؤسسات. للموقعين «أ» و«ب» في كل حالة عدد طلبات مستقل ينتمي إلى المجموعة {0,1,2,3,4}، فيكون عدد الأزواج 5×5=25. والحق الكلي B=3 وحدات اصطناعية. نقارن كل زوج تحت خمس سياسات. لا توجد احتمالات حدوث لهذه الأزواج، ولا أوزان سكانية، ولا مدد انقطاع أو عمليات تشفير تشغيلية، ولا نماذج سلوك بشر.

6.2 السياسات الخمس

P0 — Central Stop: جميع الموافقات النهائية تنتظر اتصالاً مركزياً؛ لا ينفذ شيء في فترة العزل. يبقى بإمكان مؤسسة أخرى أن تقدم معلومات أو مساعدة، لكن هذا خارج الحساب العددي.

P1 — Provisional Intake: يسجل النظام النيات كلها مع صفة الاستلام المؤقت؛ لا تُحسب ضمن المنجز النهائي، وتنتظر مراجعة بعد عودة الاتصال.

P2 — Escrow (1,2): تحجز وحدة لـ«أ» ووحدتان لـ«ب». لكل موقع سقف لا يستطيع تجاوزه دون اتصال، ويظل الفائض المقدم في قائمة مراجعة.

P3 — Escrow (2,1): العكس تماماً، لفحص أثر اختيار منطقة لها ضعف حصة الأخرى قبل معرفة توزع الطلب.

P4 — Blind Local Commit: كل موقع ينفذ بحد يصل إلى ثلاث وحدات كما لو أن موقعه وحده يستهلك المورد الكلي. تستخدم السياسة لكشف سلوك مخالف، ولا تُقدَّم كخيار مهني مقبول.

خط الأساس المرجعي متصل ويستطيع إنهاء min(3,d_A+d_B) وحدات في كل حالة بعد معرفة الطلبين. لا يحسب النموذج وقت الانتظار ولا تكلفة التشغيل ولا وقت التحقق، ولذلك لا يصلح للمقارنة المالية أو وصف مدة انقطاع حقيقية.

6.3 النتائج القابلة لإعادة التشغيل

في P4 لا تعني علامة صفر في عمود النقص سلامة التشغيل؛ فالسياسة تتجاوز الحق الكلي في 13 حالة، وجزء من موافقاتها غير صالح. وجميع المجاميع هي جمع عبر حالات بديلة بعضها لبعض، وليست معاملات أو أشخاصاً حدثوا في زمان واحد. لا يصح تفسير 13/25 بوصفه احتمال فشل 52%.

الشكل 2 — الحالة على كل محور تمثل طلبات موقع واحد، وعدد الخلايا 25. الخريطة الأولى تبين مقدار تجاوز الحق، والثانية تبين عدد فرص الإنهاء الآمن التي فاتت تحت تقسيم ثابت 1+2، مقارنة بمعرفة متصلة كاملة. الأرقام ناتجة مباشرة من الشيفرة ولا تحتوي بيانات سعودية.

6.4 مثال مضاد وميزة لا ينبغي نسيانها

إذا طلب الموقع «أ» ثلاث وحدات ولم يطلب «ب» شيئاً، ينجز التفويض (1،2) وحدة واحدة؛ أي تضيع عليه فرصتا إنجاز آمن كان يمكن للمركز تحقيقهما من دون تجاوز السقف. وهذا ثمن التخطيط قبل مشاهدة الطلب. ويمكن تخفيفه بإعادة توزيع الحصص عندما يكون الاتصال متاحاً قبل الأزمة، أو بتقسيم أدق، أو بقناة محدودة لتبادل التفويض متى توفرت ضمانات قانونية وتقنية. لا يمكن للمرء أن يدّعي حل الندرة ببساطة عن طريق نسخ الرصيد.

في المثال المعاكس، حين يطلب كل موقع وحدتين، تسمح السياسة العمياء بإنجاز أربع وحدات رغم أن الحق الكلي ثلاث. ويحافظ الحجز المقسم على السقف، لكنه قد يحرم أحد الطلبات أو يضعه في انتظار. الاختيار الصحيح يعتمد على كلفة الظلم والتأخير، وقواعد أولوية معلنة، وطبيعة الحق، وليس مجرد تعظيم عمود «تم الإنجاز» في لوحة متابعة.

6.5 ما جرى التحقق منه فعلياً وما لم يحدث

شغلت الشيفرة وأنتجت model_check_states.csv بواقع 125 صفاً، وmodel_check_summary.csv لخمس سياسات، وملف فرضيات، وسجل مخالفة القسيمة المنسوخة، ورسمين أصليين. وأجريت تأكيدات حسابية داخل البرنامج: لا يتجاوز أي تصميم حجز أمين السقف في الحالات المحددة؛ عدد الصفوف 125؛ والسياسة العمياء تظهر مخالفات فعلية. هذا اختبار لنموذج برنامج صغير؛ لا يختبر أجهزة أو بروتوكولات دفع أو حفظ مفاتيح ولا ينشئ ضماناً مؤسسياً شاملاً.

لم نختبر الحساسية بإضافة شرائح سكان أو اختيار توزيع احتمالي متخيل؛ وسنحتاج في بحث تطبيقي إلى إعادة التشغيل تحت حصص طلب حقيقية مصرح بها، وتكاليف اختلاف الأولوية، وقيود التخزين والبطارية وفقد الاتصال وحالات إلغاء المفاتيح والمحافظ المسروقة وسلامة التدقيق.

7.1 الإبطال والحد الزمني

قد تكون وثيقة موقعة صحيحة وقت إصدارها ثم يُلغى الحق الذي تشير إليه خلال الانقطاع. في تاريخين محتملين للمنظومة: H0 لم يحدث إلغاء، وH1 حدث إلغاء في مركز لا يستطيع الجهاز المحلي سماعه. إذا كانت جميع المدخلات التي يراها الجهاز متطابقة في الحالتين، فلن يستطيع مجرد خوارزمية محلية تحديد التاريخ الصحيح من عدم. هنا نحتاج إلى سياسة معلنة تحدد عمر الدليل المقبول أو عملًا يحتفظ بصحته عند تغير الحالة، أو إلى مسار اتصال أو سلطة تخضع لحدود أقصر زمنياً، أو إلى توقف عن التنفيذ النهائي.

الوسيلة الوحيدة لتجاوز هذا الجهل ليست تعلُّم الآلة تخمين احتمال الإلغاء؛ فهذا لا يجعل قراراً غير مخول قراراً مخولاً. يستطيع نموذج ذكاء اصطناعي (Artificial Intelligence; AI) المساعدة في ترتيب قضايا المراجعة أو اكتشاف التناقضات بعد عودة الاتصال، لكنه لا يُنشئ مصدراً للسلطة القانونية ولا يثبت معلومة غير مرئية له.

7.2 الامتياز الذي لا يملكه صاحبه في الأزمة

قد يحمل المستخدم وثيقة رقمية قابلة للعرض بلا اتصال لكنه يحتاج من يقبلها وفق قانون وممارسة مؤسسية. وقد تكون بطاقة الدفع قادرة على التحقق من بعض البيانات محلياً بينما لا يقبل جهاز التاجر العمل دون كهرباء. لهذا تُختبر المنظومة كاملة: المصدر، والجهاز، والموظف، ودليل المستفيد، وقناة الشكوى، والكهرباء المحلية، ومآل الإيصال.

7.3 الخصوصية والتمييز

التمكين خارج الشبكة قد يفيد مستخدمين في مواقع أقل اتصالاً، لكنه قد يستبعد من لا يحمل جهازاً حديثاً أو وثيقة صالحة أو رصيداً مسبقاً. وقد يؤدي التركيز على سجلات تدقيق قابلة للمزامنة إلى نقل بيانات شخصية زائدة لا يلزم جمعها. نحتاج إلى حد أدنى من البيانات وإمكان مسارات بشرية موازية، وقياس فرق الأداء بحسب مناطق وفئات مناسبة تحت قواعد حماية الخصوصية والمشاركة المصرح بها. ولا يجوز استخدام متوسط سرعة عام لإخفاء أن مستخدماً قليل الحيلة بقي بلا مسار.

7.4 ليست كل الآثار قابلة للإصلاح

يمكن إصلاح ترتيب قائمة انتظار أو دمج ملاحظتين على سجل. لكن قد يستحيل إصلاح أثر تسليم سلعة فريدة إلى شخص غير مخول، أو قرار طبي غير آمن، أو تحويل قانوني لا يملك منفذه سلطة نهائية. معيار «يمكن المزامنة لاحقاً» يصف قدرة معلوماتية، وليس دائماً قابلية إعادة الحالة الاجتماعية والحقوقية إلى ما كانت عليه.

8.1 العينة ووحدة التسجيل

نقترح شراكة طوعية ومصرحاً بها مع جهات لديها وظائف خدمية يمكن إجراء تمارين معزولة عليها أو استعمال بيئات اختبار منفصلة، دون تعطيل خدمة عامة حقيقية. تكون وحدة الرصد فئة فعل في نافذة اختبار مصرح بها، لا اسم خادم أو عنوان منشأة حساسة. وتصنف الأفعال بحسب أثرها القانوني: قراءة، واستلام، وحجز مورد، وإنهاء قابل للعكس، وإنهاء عالي الأثر لا يكتمل إلا مركزياً.

8.2 المتغيرات الواجب جمعها

8.3 تصميم المقارنة

تُقارن لكل فئة متجانسة سياسات محددة مسبقاً في بيئة اختبار: إيقاف الإنهاء، والاستلام المؤقت، وحصص تفويض محلية إن كان ذلك مشروعاً وممكناً، وربما مسار اتصال بديل. يمكن إجراء توزيع عشوائي للسيناريوهات الاصطناعية داخل الاختبار بعد الموافقة، مع تماثل أنواع الطلبات والحصة وزمن انقطاع الاتصال المفترض. لا نوصي بتعريض مستخدمين حقيقيين أو حق قانوني فعلي إلى تجاوز متعمد لغرض التجربة.

النتائج الأساسية: عدد الأفعال الصحيحة المنجزة ضمن حدود قانونية؛ عدد محاولات التعدي على الثابت المكتشفة والممنوعة؛ زمن تسوية إيصالات الانتظار؛ عدد الحالات غير القابلة للتسوية من دون تدخل بشري؛ الفروق المجمعة في الوصول؛ التكلفة الكلية. ويجب تحديد الحدود المقبولة قبل مشاهدة نتائج المقارنة، وتسجيـل أي انحراف عن خطة التحليل.

النتيجة المنافسة القابلة لقبولها: قد تبين الدراسة أن الاتصال الاحتياطي المحدود، أو تعزيز قنوات التواصل البشري، أو سياسة وقف تنفيذ أفعال معينة يقدم منفعة أكبر وأماناً أعلى من تفويض موزع. حينها يُنصح بذلك وفق الأدلة، ولا يُجبر البحث على إثبات فائدة نموذج أراده صاحبه.

8.4 اختبار الخصم والسلامة

تُختبر في بيئة دفاعية مأذون بها الحالات التالية: دليل تجاوز حداثته، وثيقة أُلغيت أثناء الانقطاع، رمز أعيد تقديمه، جهاز مفقود، ساعة غير موثوقة، اختلاف ترتيب وصول التحديثات، إيصال قُبل مؤقتاً ثم تعذر إنفاذه، عودة اتصال جزئي لا تشمل كل السجلات، وانقطاع متكرر أثناء المصالحة. لا يستلزم تقرير بحثي عام نشر معلومات مفاتيح أو طوبولوجيا حيوية أو إجراءات تسمح باستهداف منشآت أو خدمات بعينها.

نقترح إنشاء سجل مؤسسي منظم لكل فعل حساس، ليس مجرد ملحق لخطة تشغيل الطوارئ. يجيب عن سبعة أسئلة متلازمة: الحق، وصاحب السلطة، والدليل، ومداه الزمني، وحدود الاستعمال، وقواعد التوقف، وكيفية المصالحة والاعتراض. ويمكن تمثيله تخطيطياً بالتالي:

هذه البطاقة اقتراح أولي للبحث والمراجعة وليست معياراً حكومياً أو نتيجة لورشة مع مؤسسات حقيقية. تحتاج إلى صوغ مع متخصصي القانون والهوية والأمن، وإلى الاستفادة من المعايير القائمة والأطر السعودية دون ادعاء انتماء أو اعتماد من أي جهة.

لا نربط الأثر الاقتصادي بمجرد «عدد ساعات الخدمة المتاحة». فقد تنفذ مؤسسة خمسين فعلاً بلا اتصال ثم تدفع ثمناً مرتفعاً لتسوية خمسة أخطاء غير قابلة للعكس. وقد تؤجل أفعالاً قليلة لكنها شديدة الأهمية؛ فتتضاعف كلفة الانتظار اجتماعياً. لذلك تقترح الورقة جبهة مفاضلة متعددة النتائج (Multi-Objective Decision Frontier) تشمل الإنجاز الصحيح، والحصرية، وزمن التأجيل، والضرر المحتمل، والتكلفة، وفروق الوصول. لا نبني رقماً وطنياً مركباً قبل الاتفاق على الأوزان ومشروعية المقارنة.

توجد أربعة خيارات بحثية وسياسية شرطية في الأفق السعودي:

1. مركزية كاملة في الأفعال النهائية مع منافذ استلام مؤقت. قد تكون الأفضل حيث يتعذر ضمان الحصرية أو عندما لا يسمح القانون بالتفويض. تحتاج إلى معايير إيصالات واضحة، والاحتفاظ بالطلب والتوقيت، وآليات اعتراض.

2. تفويض حصص مقسمة مسبقاً لأعمال شديدة التحديد. قد يفيد عند وجود حدود قابلة للإدارة وتجارب تدقيق مقنعة، مع تكلفة جمود الحصة أثناء انقطاع الاتصال.

3. تفويض قائم على أدلة موقعة قصيرة الصلاحية. قد يصلح لعرض معلومات أو إجراءات ذات أثر محدود، لكنه يصطدم بخطر إلغاء حديث أو حمل مفاتيح غير آمن. لا يصبح هذا التصميم مشروعاً لمجرد أن الرياضيات تستطيع التحقق من التوقيع.

4. تطوير منتجات وطنية لإدارة ملف الصلاحية والمصالحة. مجال ممكن لبرمجيات اختبار ونمذجة أفعال واستحقاقات؛ لكن السوق لا يثبت إلا بالقدرة على بيع منتج، وخضوعه لاختبارات وأمن وتشغيل متكرر لدى عملاء، لا برسم خريطة وطنية بالأسهم.

هذه ليست توقعات محددة باحتمالات أو نتائج رسمية. ويمكن أن تُعِد جهة بحث سجل توقعات مستقبلي إذا حددت حدثاً قابلاً للقياس وتاريخ حسم ومصدر نتيجة وقاعدة احتمالات، دون إرجاع زمن الإصدار إلى الوراء.

1. القياس: لا تحتوي الورقة على بيانات عن الخدمات السعودية أو توافرها أو حصة صلاحياتها أو حوادثها أو نفاذ القوانين عليها. ولا تنتقل نتائج المثال من العدد الاصطناعي ثلاثة إلى أي مبلغ أو سجل فعلي.
2. الحوسبة: جرى الاستكشاف الكامل لـ25 حالة طلب، لا لمساحة الحالات الممكنة في نظم حقيقية تحتوي آلاف الأدوار والمفاتيح والأجهزة وعمليات الإلغاء والإكراه والأخطاء البشرية.
3. الأمن: لا يبرهن النموذج مقاومة اختراق عتاد أو مفاتيح أو رسائل أو طرق دفع؛ ويعرض مثال رمز قابل للنسخ خصيصاً لبيان محدودية صحة التوقيع.
4. التمثيل الاجتماعي: كل حالة في المثال مجرد عددين؛ لم ندخل تفاوت قدرة الناس أو أهمية الفعل أو حقوق الاعتراض والتعويض، إلا بوصفها متطلبات دراسة مقترحة.
5. التاريخ: لم يتسنّ تحويل واقعة إيبيريا أو المكتبة البريطانية إلى دليل على جودة تصميم محلي بعينه؛ المصادر ترصد تعطل خدمات أو استمرار أجزاء منها، ولا تقيس أثر «بطاقة الصلاحية» المقترحة.
6. التحيز: أُدرجت سياسات توقف وتلقي مؤقت كبدائل حقيقية، وصممت السياسة العمياء عمداً لتوليد مثال مخالف، ومن ثم لا تدّعي المقارنة الحياد بين حلول تجارية مطبقة.
7. المشروعية: صلاحيات الأشخاص والمؤسسات مسألة قانونية وإدارية، ولا يحق لنموذج تجريبي أن يصدر إذناً بدلاً من جهة مخولة. وتعريف الأفعال المسموح بها يسبق البحث التقني في حدودها.

الخطوة الأكثر إفادة ليست بناء منصة ضخمة يقال إنها تعمل بلا إنترنت؛ بل اختيار فعل عام واحد يمكن قانوناً تلقيه مؤقتاً، وفعل آخر يمكن إتمامه تحت حصة مفوضة صالحة إن أجازت السياسة ذلك، وفعل ثالث يجب أن يتوقف. تُصمم بيئة اختبار مصرح بها بمخرجات قانونية صريحة، ويُقاس فيها ما حدث للطلب والدليل والحق وصاحب الطلب خلال الانقطاع وبعد عودة الربط.

تكون الورقة الفاصلة التي نطمح إليها دراسة تستطيع أن تقول: تحت أنواع محددة من انقطاع الاتصال، وبالشروط المعينة، زادت المعمارية (X) مقدار الأفعال الصحيحة المنجزة مقارنة بالسياسة (Y) من دون تجاوز ثوابت معتمدة، وكانت كلفتها وحدودها الاجتماعية كذا. وقد تكون النتيجة أن التصميم المقترح أخفق أو أن البديل الأبسط أفضل. قبول هذه النتيجة جزء من منهج البحث، لا إحراج تحريري ينبغي إخفاؤه.

إعادة التشغيل: احفظ ملفات المجلد، ثبّت الاعتماديات المذكورة في analysis/requirements.txt، وشغّل:

python3 analysis/reproduce.py

سيعيد البرنامج إنتاج data/model_check_states.csv وdata/model_check_summary.csv وdata/model_assumptions.json وdata/duplicate_token_counterexample.json ورسمين بصيغتي SVG وPNG. الشيفرة والبيانات الاصطناعية كاملة داخل الحزمة، ولا تعتمد على مجموعات بيانات تشغيلية خاصة أو على مفاتيح وصول.

إتاحة مصادر العالم الحقيقي: تُحال المقالات والتقارير المنشورة إلى روابط الجهات والباحثين أصحابها؛ لا نعيد توزيع ملفاتهم المحمية أو نزعم ترخيص بيانات مصرفية أصلية. يسجل سجل المصادر حالة الوصول أثناء إعداد الحزمة الأصلية؛ وهي ملاحظة تدقيق تاريخية لا تصف قيداً حالياً على استخراج الوثائق. وجميع القيم الحسابية المتعلقة بالنموذج مبنية على متغيرات اصطناعية معلنة في الشيفرة.

مراجع موثقة وفق ترتيب الاستشهاد

1. S01 Banco de España. How do we pay when the power goes out? Spain’s blackout experience. 27 April 2026. Original institutional blog. https://www.bde.es/wbe/en/noticias-eventos/blog/como-pagamos-cuando-todo-se-apaga-la-experiencia-del-apagon-en-espana.html
2. S02 European Central Bank. Keep calm and carry cash: lessons on the unique role of physical currency across four crises. ECB Economic Bulletin, 2025. https://www.ecb.europa.eu/press/economic-bulletin/articles/2025/html/ecb.ebart202506_02~1a773e2ca3.en.html
3. S03 ENTSO-E. Final report of the expert panel on the blackout in Spain and Portugal. Published 20 March 2026. https://www.entsoe.eu/news/2026/03/20/entso-e-publishes-expert-panel-final-report-on-28-april-2025-blackout-in-spain-and-portugal/
4. S04 CaixaBank Research, Josep Mestres Domènech and Zoel Martín Vilató. The economic impact of the blackout in detail. 18 June 2025. https://www.caixabankresearch.com/en/sectoral-analysis/consumption/economic-impact-blackout-detail
5. S05 Banco de España. Situation of payment infrastructures and the banking sector in Spain after the blackout. 29 April 2025. https://www.bde.es/wbe/en/inicio/noticias/monitorizacion-del-impacto-del-apagon-el-sistema-financiero.html
6. S06 BIS Innovation Hub. Project Polaris: handbook for offline payments with CBDC. 11 May 2023. https://www.bis.org/publications/project-polaris-handbook-offline-payments-cbdc
7. S07 BIS Innovation Hub. Project Polaris: high-level design guide for offline payments. 26 October 2023. https://www.bis.org/publications/project-polaris-high-level-design-guide-offline-payments
8. S08 Joseph M. Hellerstein and Peter Alvaro. Keeping CALM: When Distributed Consistency is Easy. Author-hosted 2019 preprint; subsequent publication context noted separately in source ledger. https://arxiv.org/html/1901.01930v2
9. S09 Peter Bailis and collaborators. Coordination Avoidance in Database Systems. Proceedings of the VLDB Endowment, volume 8, 2014. https://www.vldb.org/pvldb/vol8/p185-bailis.pdf
10. S10 Marc Shapiro, Nuno Preguiça, Carlos Baquero and Marek Zawirski. Conflict-Free Replicated Data Types. SSS 2011, LNCS 6976. DOI: 10.1007/978-3-642-24550-3_29. https://inria.hal.science/inria-00609399v2/document
11. S11 Digital Government Authority. Controls of Risk and Business Continuity Management for Digital Government, V2.0; Guideline of Risk and Business Continuity Management for Digital Government, V1.0 (2025). https://dga.gov.sa/sites/default/files/2024-02/Controls%20Of%20Risk%20and%20Business%20Continuity%20Management%20For%20Digital%20Government%20V2.0.pdf
12. S12 Saudi Central Bank. Business Continuity Management Framework, introduction, 27 February 2017, in force. https://rulebook.sama.gov.sa/en/11-introduction-bcm-framework
13. S13 Saudi Central Bank. Providing Backup Generators in Branches and Remittance Centers, circular of 18 May 2021. https://rulebook.sama.gov.sa/en/providing-backup-generators-branches-and-remittance-centers
14. S14 British Library. British Library Cyber Incident Review. 8 March 2024, primary post-incident account. https://www.bl.uk/files/v5dwkion/production/99206a2d1e9f07b35712b78f7d75fbb09560c08d.pdf/british-library-cyber-incident-review-8-march-2024.pdf?dl=
15. S15 British Library. Restoring our services – November 2025 update. 21 November 2025. https://www.bl.uk/stories/news/restoring-our-services-november-2025-update
16. S16 European Central Bank. Call for expression of interest to provide feedback on the list of standards relevant for the offline digital euro. 18 August 2026. https://www.ecb.europa.eu/press/intro/news/html/ecb.mipnews260818.en.html
17. S17 European Central Bank. FAQs on the digital euro. Updated 17 August 2026; conditions for development, legislation and potential 2029 issuance. https://www.ecb.europa.eu/euro/digital_euro/faqs/html/ecb.faq_digital_euro.en.html