兩個分數的建構方式

R08_unknown_pricing6個通道constraint結構中的每個風險與下限表

無罪推定作為算術規則

僅適用於針對業者的 findings，且絕不適用於被寫成已公開通道先驗的 unknown（C01 = prior_0.550）；後者是基準率，而非 finding。除此之外，對該欄位而言，risk(unknown) <= 0.50 x risk(worst confirmed value)，且絕不等於後者；caught lie 始終高於空白；在說謊軸及每個事件欄位上，risk(unknown) 一律直接為 0.000。空白的完整代價只在無知中支付一次，並在其被標為 ours 的地方支付

R09_channel_combination8個通道noisy_or讀取8個欄位

八個通道如何成為一個數字

score = 100 x product(1 - min(0.90, r_c))，取八個通道的結果；沒有一律適用的下限或上限；S18 納入 integrity 之內，而非作為第九個通道

R10_disclosure_decay揭露decaymax讀取4個欄位

不利事件也會隨時間變舊

disclosure = P01、P02 與 P03 中，該欄位自身經衰減後價格的最大值——一個路徑按其最差情況計算，絕不複合，因為同一扣押事件的三種編碼就是一次扣押；在同一事件的 P12_case_history 紀錄所載日期套用 decay(plateau=12, half_life=60, floor=0.35)，以紀錄所述的發生事項配對——P01 配對 seizure，P03 配對 court_order、subpoena 或 mandate_order——絕不依其結果配對，因為沒有產生任何結果的事件，仍是決定該發現日期的那個事件；P02 依結果配對，因為在該處結果就是事實；沒有這類紀錄的不利事件保留其未衰減值；實務曲線的形狀採用較高的下限，此處為 0.35，相較於實務證據的 0.15，因為已證實的揭露會永久留在紀錄上

R11_evidence_voiding留存揭露誠信gate讀取1個欄位

控制權變更會重設所轉移的內容

M16 之前日期的證據不附著於目前的所有者：稽核失去系列加成，揭露事件降至 R10 下限，同業發現完全不轉移

R12_report_plausibility誠信無知threshold讀取5個欄位

透明度報告的價值在於其內容

P06 = zero_implausible，當 P09 = 0、P08 高於 params.min_requests，且紀錄已確認存在可供揭露的每人紀錄——留存嚴重度達到或高於 params.min_retention。僅按使用者規模判斷，反而懲罰了它原本要處理的情況：一個公開其數字且回報沒有核准項目的業者被稱為說謊者，而一個什麼都不公開的業者則不付出任何代價。零個核准項目，只有對其自身紀錄表示持有可核准項目的業者而言才不可信；對已確認無紀錄的發現而言，這是預期答案，模型不得在一個通道所採信的內容上，於另一個通道不予相信。觸發時，P05 的態勢緩解設為 0.00，而 integrity 取得 params.route 中的路徑

R13_derived_jurisdiction管轄地noisy_ormax讀取6個欄位

義務欄位是推導而非判定

C10 = M06 in MANDATE_COUNTRIES；C11 = M11 in MANDATE_COUNTRIES；當 M11 = M06 時，兩者是同一情況，jurisdiction 取 max(C10, C11, P11)，絕不使用 noisy-OR；伺服器群暴露度取 max(C09b, P04)，這是有別於公司路徑的獨立路徑；手寫覆寫需要自身的來源，並以此形式公開

R14_disclosure_rate揭露threshold讀取2個欄位

產生資料的請求占比

rate = P09 / P08，當 P08 達到 params.min_requests 後適用；risk = params.weight x rate；與 rate 一併公開，因為跨管轄地的可比性很低——在一個國家，請求指法院命令；在另一個國家，則指信函

R15_free_tier_flag無通道flag讀取2個欄位

免費方案總有某種付費方式

S22 = flagged，當 params 所指定的每個欄位都帶有 params 為其列出的其中一個值；否則為未標記；不改變任一軸的分數——兩個輸入都已在其應在的位置計價，而替它們的合取計價，正是把兩個軸設計來拒絕的平均化

R16_opaque_at_mass_scale誠信threshold讀取2個欄位

涵蓋的人越多，不透明性越糟

X03 = 不透明且 M08 = mass -> 使用 params.at_mass_scale，而不是不透明狀態下 X03 自身的價格

R17_location_notice管轄地derivation讀取3個欄位

提供義務國家時，實際上有什麼

C09 = 出現在 MANDATE_COUNTRIES 中的 U02 國家，經推導而來，從不手動填寫。C09 單獨不收取任何費用，也不列入完整度分母：在這類國家提供出口本身不代表任何事情，且會依讀者選取的位置公開。真正計入的是 C09b，也就是 C09 非空時唯一值得提出的問題——硬體是否確實位於該義務的管轄下，或該位置為虛擬位置而硬體在其他地方。C09 為空時，C09b 為 n/a，並以 max 與 P04 合併：在義務管轄下的存在是同一種情況，只是編碼兩次

R18_audit_gate留存gatemax讀取2個欄位

稽核採取哪個留存分支

V11 表示留存 -> params.credence_stated 的已陳述分支；V01 = yes_* 且 V11 未陳述 -> params.credence_silent x subject_factor 的未陳述分支（主體未已確認時使用 params.subject_default），且任何分支都不超過 params.credence_max；否則完全沒有書面證據；所選分支的嚴重度 = max(C01_linkable_retention, V11_audit_findings)，絕不使用 noisy-OR——同一種情況編碼兩次不得複合（如 R04）

R19_audit_decay留存decay讀取1個欄位

設定不斷變動

decay(params.decay) — 以月為單位連續衰減，沒有節點

R20_practice_ages留存decaymax讀取1個欄位

每個有文件記載的事件都有自己的日期

P12 中每個 outcome = nothing_produced 的事件，都會以其自身日期貢獻 decay(practice)；欄位的 practice 值取其事件中的最大值，絕不加總；取代 P01 和 P03 將多次扣押合併為一次的單一日期解讀

R21_circumvention_decayusabilitydecay讀取1個欄位

封鎖速度快於證據累積

U06 = 當欄位自身的截至日期已超過 12 個月時，已證實的分數按自稱處理；名錄已為每個欄位標示日期，因此年限從該處讀取，而不是寫入值中；唯一具有衰減機制的易用性欄位，因為它是唯一真實性會到期的欄位

R22_completeness無知constraint每個欄位的完整度欄

分母計算什麼

完整度 = yes 的實質欄位；n/a 不列入分母，unknown 留在分母中；識別欄位、模型輸出、冗餘標籤和易用性欄位全部排除——易用性涵蓋率另以 S16 報告

R23_credence_defaults留存constraint結構中的每個因素表

未閱讀的證據不計入分數

R08 的鏡像，並刻意不與其對稱。factor(unknown) <= 該欄位中最弱的真正證據層級，且嚴格高於任何表示拒絕揭露的值（V06 unnamed、V02 none）。照單全收一份沒有人讀過的稽核，會讓一份購買的報告洗入分數；把我們自身的無知當成業者的拒絕，則是相反的錯誤。不採信未經驗證的證據不是指控——業者回到先驗，即市場基準率，而不是某項發現

R24_retention_composition留存productmax讀取14個欄位

留存子通道如何成為一個數字

四個子通道不取平均。credence.paper = R18 選擇的分支（已陳述：credence_stated；未陳述：credence_silent x subject_factor）x 該分支自身 .conf 的 source_credence x audit_decay (R19) x publication_factor x engagement_factor（公司 x 標準 x 保證強度）x 已陳述分支上的 scope_factor x R11 使系列維持有效時的 series_bonus，並以 credence_max 封頂。credence.practice = 具日期的 nothing_produced 事件中，practice_credence x practice_decay (R20) 的最大值。credence = min(credence_max, max(paper, practice) + secondary_weight x min(paper, practice))——兩種證據勝過一種，但再多證據也達不到確定性。severity = 依 R18 取 max(C01, V11)，或在兩者皆未已確認時取 prior。retention = credence x severity + (1 - credence) x max(severity, prior)：回歸市場基準率只能向上，因此不利於自身的承認保留其表面值。最後，retention.floor = max(retention, C12 floor:)；稽核若僅涵蓋通道，就不能清除應用程式中的事實

R25_integrity_composition誠信noisy_or讀取14個欄位

誠信路徑如何成為一個數字

完整性 = 1 - product(1 - route)，套用於已觸發的路徑：謊言軸（R04）、所有者透明度（大規模時的 R16）、所有者集團歷史、獲利方式與集團銷售內容合併考量（R03）、事件處理、絕對性聲稱、終身方案推銷、購買的涵蓋範圍（R01）、不可信報告路徑（R12）、商店聲明空白（R28）、disclosure_rate_weight x rate（R14）以及叢集傳染（R02、S18）。路徑會複合，因為它們是分開的發現；同一情況被編碼兩次的配對，已在各自規則內由 max 合併，因此這裡不會再次合併

R26_hygiene_composition衛生capped_sum讀取12個欄位

衛生欄位如何成為一個數字

衛生度 = min(params.cap, 導向此處的各欄位風險價格總和)。安全軸上唯一的加總通道：這些是累積的小型獨立洩漏，不是由單一發現決定結果，而 cap 防止一堆輕微收集行為被解讀成披露。清單欄位的價值取其成員中最便宜者——一種匿名付款方式就已足夠——若沒有成員定價，則回退至自身的未知價格。C13_weakest_protocol 是此處的衍生加數項（R32）：仍在使用的舊式傳輸只是順帶收集的另一項內容，不是決定結果的發現

R27_report_concealment誠信max讀取2個欄位

在必然產生請求的規模下對揭露保持沉默

中型或大規模的業者確實會收到請求，因此已確認的數字缺失是關於業者本身的事實，而不是我們研究中的空白：P05 = none 的費用為 0.150，fresh_no_numbers 為 0.100——已公開的報告省略了唯一重要數字，是其中最鮮明的形式——而 stale 為 0.050。僅在已確認的值上觸發；unknown 在此不收取任何費用，而是在無知通道中定價，我們自己尚未查閱的情況就屬於此處。這是 R12 的對照：一者為不可信的數字定價，另一者為完全沒有任何數字的情況定價

R28_store_declaration_gap誠信max讀取1個欄位

商店聲明與業者提供給商店的政策相對照

強制性的商店表單是業者針對其應用程式所作的親自簽署聲明，因此表單聲明的任何內容，也必須出現在業者自己引導商店查看的政策中。僅以一個方向解讀：應用程式是服務的子集，因此表單聲明少於政策承認的內容可由範圍解釋，不收取任何費用；而表單聲明了某個類別、政策卻從未提及，則沒有這種理由。依未披露類別所揭示的內容分級：識別碼或診斷資料收取 0.150，行為——應用程式活動、已安裝的應用程式、位置或任何廣告用途——收取 0.300，而聲明了無日誌聲稱所否認的實際收集行為，則收取 0.450。兩家商店對收集的定義不同，因此 Apple 表單與 Google 表單之間的差異本身不是發現。各商店中的最大空白勝出

R29_session_state留存constraint讀取2個欄位

連線不是該連線的紀錄

C01 評估業者在工作階段結束後，仍能將哪些內容連結至某個人。僅在隧道建立期間存在的狀態——來源 IP、帳號 ID 以及為了讓伺服器路由封包並執行裝置限制而保留的連線時間戳記——就是連線本身，而不是連線紀錄；將其作為留存定價，等於因業者描述 VPN 的運作方式而向其收費。更糟的是，這比什麼都不說收費更多：此欄位的空白是市場先驗 0.550，而 source_ip 是 0.750，因此，對十五分鐘緩衝區的誠實描述，比沉默的成本更高。例外範圍很窄，而且必須如此，否則它會變成每個業者都會寫的句子。它僅適用於業者自己的文件明確說明，與工作階段結束相關且不超過 24 小時的刪除期限——最短的曆法單位，比服務所需的任何拆除時間長，卻比日誌保留的任何輪替週期短。未聲明的期間就是留存。無論如何措辭，曆法期間——7 天、30 天、輪替週期——都是留存，因為它在設計上會超出工作階段而存在。業者在期限後仍保留的任何內容，仍值得其自身的分級，而此例外只讀取業者的聲稱：稽核發現資料存在時，R18 已將該發現置於聲稱之上

R30_usability_foundationusabilitythreshold每個易用性欄位的權重欄

易用性分數所依據的表格有多少

易用性總和除以它能讀取的權重：未有任何人確認的欄位會留在分母中，而不是計為零，因為涵蓋度不是品質。代價是分數看不見自身的基礎——最重的欄位未讀取的欄，會產生與已填滿的欄相同形式的數字。S21 = 已讀取權重 / 可用權重，其中 live 是所有加權易用性欄位扣除 n/a 欄位後的集合。低於 usability_foundation_floor 時，S20 = no_data：建立在不到一半表格上的數字，只說明哪些欄位已填寫，而不是產品的運作方式。此門檻比安全軸的門檻更嚴格，因為此軸沒有無知通道——安全分數會對分數中的空白收費，而易用性分數對空白不在任何地方收費。分數仍會在 no_data 下公開，正如安全分數一樣；不提供數字就無法檢查

R32_protocol_floor衛生derivationmax讀取1個欄位

仍在提供的最弱傳輸

C13_weakest_protocol 是 U07_protocols 中依 C13 自身表格的風險順序排列後最差的通訊協定，在載入時衍生，絕不手動填寫——其形式與 R17 衍生 C09 自 U02 相同。它以另一個加數項進入 R26_hygiene_composition，並如同其中每一項，受衛生度通道上限約束。只提供現代傳輸的伺服器群組，其欄位是 not_applicable，而不是某個名稱：當沒有任何通訊協定的定價高於 0.000 時，便沒有可指出的弱項；依平手決勝順序從優良項目中選出較差者，會公開一項沒有人提出的發現。此欄位是為 PPTP 與 L2TP 仍在使用的低價區段保留的。proprietary 的價格不是對業者自行撰寫通訊協定收費——而是對無法判斷該通訊協定是否薄弱這件事定價，這就是為何 vendor_open 不收費：原始碼已公開且經獨立審查的業者傳輸可以被評估，而評估中沒有任何內容表示它薄弱。仍對其收費，會將已解決的無知定價，並使公開原始碼比隱瞞原始碼更昂貴

R33_exit_conduct架構max讀取2個欄位

出口如何處理其承載的流量

架構 = max(C00_architecture 的價格、C14_traffic_modification 的價格)。誰執行出口，以及出口對通過其中的內容做了什麼，是同一個問題——隧道的遠端是否在你方——而一個不良答案就能決定結果，因此通道取兩個價格中較差者，而不是它們的總和：由陌生人執行、同時也改寫標頭的出口，不會比任一項糟兩倍，而就是那麼糟。headers_injected（0.300）是加入通過其中之流量的工作階段識別碼或任何其他標頭，讓每個目的地都取得使用者的名稱；content_injected（0.500）是放入頁面的指令碼、廣告或其他內容；tls_interception（0.750）是出口開啟加密工作階段。none 必須從明確如此說明的文件中讀取，而這類文件很少，因此 unknown 帶有與 C00 相同的市場先驗，其餘由無知通道處理