两个得分的构建方式

R08_unknown_pricing6个通道constraint架构中的每个风险表和下限表

作为算术规则的无罪推定

仅适用于针对服务商本身的 findings，绝不适用于被写成已公开 channel prior 的 unknown（C01 = prior_0.550）；这是基础比率，而不是 finding。除此之外，risk(unknown) <= 0.50 x risk(worst confirmed value)（针对该字段），且绝不等于该值；caught lie 始终高于空白；在 lie 轴以及每个 event 字段上，risk(unknown) 均直接为 0.000。空白的全部价格只在无知这一处支付一次，并在那里标记为 ours

R09_channel_combination8个通道noisy_or读取8个字段

八个通道如何变成一个数字

score = 100 x product(1 - min(0.90, r_c))，取八个通道的结果；不设统一下限或上限；S18 在完整度内部计入，而不是作为第九个通道

R10_disclosure_decay披露decaymax读取4个字段

不利事件也会随时间变旧

disclosure = P01、P02 和 P03 中该字段自身价格经衰减后的最大值——一条路径按其最差情况计取，从不复合，因为同一扣押的三种编码就是一次扣押；在同一事件的 P12_case_history 条目所述日期应用 decay(plateau=12, half_life=60, floor=0.35)，按条目所述发生的事情匹配——P01 匹配 seizure，P03 匹配 court_order、subpoena 或 mandate_order——从不按结果匹配，因为没有产生任何结果的事件仍然是为该结论确定日期的那个事件；P02 按结果匹配，因为在该字段中结果就是事实；没有此类条目的不利事件保留其未衰减值；实践曲线采用更高的下限，此处为 0.35，而实践证据为 0.15，因为已证实的披露会永久留在记录中

R11_evidence_voiding留存披露完整性gate读取1个字段

控制权变更会重置转移的内容

M16 之前的证据不归属于当前所有者：审计失去系列加成，披露事件降至 R10 下限，同级发现完全不转移

R12_report_plausibility完整性无知threshold读取5个字段

透明度报告的价值取决于其内容

当 P09 = 0、P08 高于 params.min_requests，且记录已确认存在一条可披露的个人记录时，P06 = zero_implausible——留存严重程度达到或高于 params.min_retention。仅按用户规模评判会惩罚与其设定目的相反的情况：一个公开其数字并报告没有获准披露记录的服务商被称为说谎者，而一个什么都不公开的服务商则无需付出代价。获准披露数量为零，只有针对其自身记录表明持有可获准披露内容的服务商时才不可信；对于已确认无日志的发现，这是预期答案，模型不得在一个通道中不相信其在另一个通道中已计入得分的内容。触发时，P05 的姿态缓解设为 0.00，完整度获得 params.route 中的路径

R13_derived_jurisdiction管辖地noisy_ormax读取6个字段

义务字段是推导得出而非判定

C10 = M06 in MANDATE_COUNTRIES；C11 = M11 in MANDATE_COUNTRIES；当 M11 = M06 时，两者属于同一情形，管辖地取 max(C10, C11, P11)，从不使用 noisy-OR；服务群暴露取 max(C09b, P04)，这是与公司路径分开的另一条路径；手写覆盖值需要有其自身出处，并按此公开

R14_disclosure_rate披露threshold读取2个字段

产生数据的请求占比

当 P08 达到 params.min_requests 后，rate = P09 / P08；risk = params.weight x rate；与 rate 一并公开，因为跨管辖地的可比性很低——在一个国家，请求意味着法院命令，在另一个国家则意味着一封信函

R15_free_tier_flag无通道flag读取2个字段

免费层级总要以某种方式付费

当 params 中指定的每个字段都取 params 为其列出的某个值时，S22 = flagged，否则为空；不改变任一轴的得分——两个输入已经在其应在的位置计入价格，而为它们的合取计价会成为两个轴存在所要拒绝的平均化

R16_opaque_at_mass_scale完整性threshold读取2个字段

覆盖的人越多，不透明性越糟

X03 = 不透明，M08 = 大规模 -> 对不透明情况使用 params.at_mass_scale，而不是 X03 自身的价格

R17_location_notice管辖地derivation读取3个字段

提供义务国家时，那里实际有什么

C09 = 出现在 MANDATE_COUNTRIES 中的 U02 国家，自动派生，绝不手动填入。C09 本身不收取任何费用，也不计入完整度分母：在这样的国家提供出口本身说明不了任何问题，而且它是针对读者选择的位置公开的。真正计入费用的是 C09b，即 C09 非空后唯一值得追问的问题——硬件是否确实处于该义务管辖之下，还是位置为虚拟位置而硬件在别处。C09 为空时，C09b 为 n/a，并按 max 与 P04 合并：在义务管辖下的存在是一种情况，却被编码两次

R18_audit_gate留存gatemax读取2个字段

审计采用哪条留存分支

V11 表示留存 -> 使用 params.credence_stated 中的已陈述分支；V01 = yes_* 且 V11 未作说明 -> 使用 params.credence_silent x subject_factor 的静默分支（主体未确认时使用 params.subject_default），且任何分支都不超过 params.credence_max；否则完全没有书面证据；所选分支的严重性 = max(C01_linkable_retention, V11_audit_findings)，绝不使用 noisy-OR——同一种情况被编码两次时不得叠加（如 R04）

R19_audit_decay留存decay读取1个字段

配置不断变动

decay(params.decay) — 按月连续，无折点

R20_practice_ages留存decaymax读取1个字段

每个有记录的事件都有自己的日期

P12 中每个 outcome = nothing_produced 的事件都按其自身日期计入 decay(practice, its own date)；该字段的实践值取其事件中的最大值，绝不求和；这取代了 P01 和 P03 的单一日期解读，后者将多次扣押合并为一次

R21_circumvention_decayusabilitydecay读取1个字段

封锁比证据推进得更快

U06 = proven：当该字段自身的截止日期已超过 12 个月时，得分按自称处理；记录已经为每个字段标注日期，因此从该日期读取时间跨度，而不是将其写入值中；这是唯一带衰减的易用性字段，因为它是唯一一个其真实性会到期的字段

R22_completeness无知constraint每个字段的完整度列

分母统计什么

完整度 = yes 的实质字段；n/a 不计入分母，unknown 仍计入分母；身份字段、模型输出、冗余标签和易用性字段全部排除——易用性覆盖率作为 S16 单独报告

R23_credence_defaults留存constraint架构中的每个因素表

未阅读的证据不计入得分

R08 的镜像，并且有意不与其对称。factor(未知) <= 该字段中最弱的真实证据层级，并且严格高于任何表示拒绝披露的值（V06 unnamed、V02 none）。把没人读过的审计按表面内容计入得分，是购买的报告洗入得分的方式；把我们自己的无知当作服务商的拒绝，则是相反的错误。不对未经核实的证据计入得分并不是指控——服务商回退到先验、市场基准率，而不是某项结论

R24_retention_composition留存productmax读取14个字段

留存子通道如何变成一个数字

四个子通道不取平均。credence.paper = R18 选择的分支（已陈述：credence_stated；静默：credence_silent x subject_factor）x 该分支自身的 .conf 的 source_credence x audit_decay（R19）x publication_factor x engagement_factor（服务商 x 标准 x 保证强度）x 已陈述分支上的 scope_factor x R11 保留该系列时的 series_bonus，封顶为 credence_max。credence.practice = 按日期记录的 nothing_produced 事件中 practice_credence x practice_decay（R20）的最大值。credence = min(credence_max, max(paper, practice) + secondary_weight x min(paper, practice))——两种证据优于一种证据，但再多证据也无法达到确定性。severity = 按 R18 取 max(C01, V11)，或者在两者都未确认时取先验值。retention = credence x severity + (1 - credence) x max(severity, prior)：向市场基准率回归只能向上，因此不利于自身的承认保留其表面值。retention.floor = max(retention, C12 floor:) 最后应用，因为范围仅限于隧道的审计无法排除应用中的事实

R25_integrity_composition完整性noisy_or读取14个字段

完整性路径如何变成一个数字

integrity = 1 - product(1 - route)，计算触发的各条路线：谎言轴（R04）、所有者透明度（大规模时的 R16）、所有者集团历史、变现方式与集团所销售内容的结合（R03）、事件处理、绝对化声明、终身促销、购买的覆盖范围（R01）、不可信报告路线（R12）、商店声明空白（R28）、disclosure_rate_weight x rate（R14）以及集群传染（R02、S18）。路线会叠加，因为它们是独立的发现；同一情况被编码两次的配对项已在各自规则内通过 max 合并，因此这里不会再次合并

R26_hygiene_composition卫生capped_sum读取12个字段

卫生字段如何变成一个数字

hygiene = min(params.cap, 此处各字段所经风险的价格之和)。这是安全轴上唯一的加法通道：这些是彼此独立且逐渐累积的小型泄漏，而不是由一个发现决定结果；cap 用于防止一堆轻微收集行为被读成一次披露。列表字段按其中价格最低的成员计值——一种匿名支付方式就足够——如果没有成员定价，则退回使用其自身的未知价格。C13_weakest_protocol 是这里的派生加项（R32）：仍在使用的旧式传输只是顺带多收集的一项内容，而不是决定结果的发现

R27_report_concealment完整性max读取2个字段

在保证会有请求的规模上对披露保持沉默

中等或大规模的服务商确实会收到请求，因此已确认没有数字是关于服务商的事实，而不是我们的研究空白：P05 = none 收取 0.150，fresh_no_numbers 收取 0.100——一份已公开的报告省略了唯一重要的数字，这是该情况最尖锐的形式——stale 收取 0.050。仅在已确认的值上触发；unknown 在这里不收费，而是在无知中定价，因为我们自己尚未查阅的情况属于那里。R12 的镜像：一项为难以置信的数字定价，另一项为完全没有数字的情况定价

R28_store_declaration_gap完整性max读取1个字段

商店声明与服务商向商店提供的政策之间的对照

强制性的商店表单是服务商针对其应用的自行签署声明，因此表单声明的任何内容也必须出现在服务商自己指向商店的政策中。只按一个方向读取：应用是服务的子集，因此，表单声明少于政策承认的内容可以由范围解释，不收取任何费用；而表单声明了某个类别、政策却从未提及，则没有这种理由。根据未披露类别所揭示的内容分级：标识符或诊断信息收取 0.150；行为——应用活动、已安装的应用、位置或任何广告目的——收取 0.300；声明了无日志声明所否认的实际收集行为，收取 0.450。两个商店对收集的定义不同，因此 Apple 表单与 Google 表单之间的差异本身不是发现。取各商店中最严重的空白

R29_session_state留存constraint读取2个字段

连接不是连接记录

C01 对服务商在会话结束后仍能将哪些内容关联到个人进行分级。仅在隧道建立期间存在的状态——源 IP、账户 id，以及服务器为路由数据包和执行设备限制而保留的连接时间戳——就是连接本身，而不是连接记录；将其作为留存定价，等于因描述 VPN 的工作方式而向服务商收费。更糟的是，这比什么也不说收费更高：该字段空白的市场先验为 0.550，source_ip 为 0.750，因此诚实描述一个十五分钟的缓冲期，比沉默的代价更高。例外范围必须狭窄，否则它就会变成每个服务商都会写的句子。它仅适用于服务商自己的文件明确说明了与会话结束相关、且不超过 24 小时的删除窗口——这是最短的日历单位，比服务所需的任何拆除时间更长，又比日志保留的任何轮换时间更短。未声明时长就是留存。日历周期——7 天、30 天、一个轮换周期——无论措辞如何，都是留存，因为它按设计存续时间超过会话。服务商在该窗口之后仍保留的任何内容，仍按其自身区间计值；而该例外只读取服务商的声明：如果审计发现数据确实存在，R18 已经将该发现置于声明之上

R30_usability_foundationusabilitythreshold每个易用性字段的权重列

易用性得分所依据的表格比例

易用性总和除以它能够读取的权重：没有任何人确认的字段会留在分母中，而不是得分为零，因为覆盖范围不是质量。代价是，得分看不见自己的基础——最重的字段无法读取的列，与已填满的列会呈现相同的数字形态。S21 = 已读取权重 / 有效权重，其中有效权重是所有加权易用性字段减去 n/a 字段后的权重。在 usability_foundation_floor 以下，S20 = no_data：一个建立在不足半数表格之上的数字，只能说明哪些字段已填写，不能说明产品做什么。该下限比安全轴的下限更严格，因为此轴没有无知通道——安全轴会为得分中的空白收费，而易用性轴在任何地方都不为其收费。得分仍会在 no_data 下公开发布，正如安全得分一样；不提供数字就无法核查

R32_protocol_floor卫生derivationmax读取1个字段

仍在提供的最弱传输协议

C13_weakest_protocol 是按 C13 自身表格中的风险顺序排列的 U07_protocols 中最差的协议，在加载时派生，绝不手动填写——形式与 R17 从 U02 派生 C09 相同。它作为又一个加项进入 R26_hygiene_composition，并像其中每一项一样受 hygiene 通道上限约束。对于只提供现代传输方式的服务群组，该字段是 not_applicable，而不是某个名称：由于协议价格没有高于 0.000 的，就没有可指出的弱项；按平局决胜顺序从优良协议中选出最不好的一个，会公开一个没有人作出的发现。该字段是为 PPTP 和 L2TP 仍在运行的低价区间保留的。proprietary价格并不是对供应商编写自有协议收取的费用——它是因为无法判断该协议是否薄弱而收取的价格，这也是为什么vendor_open不收费：源代码已公开且经过独立审查的供应商传输方式可以被评估，而评估中没有任何内容称其薄弱。仍然收费，会为已经解决的无知定价，并使公开源代码比不公开源代码更昂贵

R33_exit_conduct架构max读取2个字段

出口如何处理其承载的流量

architecture = max(C00_architecture 的价格，C14_traffic_modification 的价格)。谁运行出口，以及出口对通过其中的内容做什么，是同一个问题——隧道远端是否在你这一方——一个糟糕的答案就足以决定结果，因此该通道取两项价格中较高者，而绝不相加：由陌生人运行的出口同时改写你的标头，并不会比其中任何一种情况糟两倍，而就是那么糟。headers_injected（0.300）是添加到通过流量中的会话标识符或任何其他标头，使每个目的地都获得一个指向用户的名称；content_injected（0.500）是置入页面的脚本、广告或其他材料；tls_interception（0.750）是出口打开加密会话。none必须从明确如此说明的文件中读取，而这种文件很少，因此unknown带有与 C00 相同的市场先验，其余部分由无知通道处理