兩個分數的建構方式

R08_unknown_pricing6個通道constraint結構中的每個風險及下限表

作為算術規則的無罪推定

只適用於針對業者的 findings，絕不適用於以已公開通道先驗寫出的 unknown（C01 = prior_0.550）；後者是基準率，而不是 finding。否則，risk(unknown) <= 0.50 x 該欄位 risk(worst confirmed value)，且絕不等於後者；caught lie 的排名始終高於空白；在說謊軸及每個事件欄位上，risk(unknown) 一律直接為 0.000。空白的完整代價只會在無知狀態下支付一次，即在其被標示為我們的地方

R09_channel_combination8個通道noisy_or讀取8個欄位

八個通道如何成為一個數字

score = 100 x product(1 - min(0.90, r_c))，計算八個通道；不設一刀切的下限或上限；S18 納入 integrity 之內，而不是作為第九個通道

R10_disclosure_decay披露decaymax讀取4個欄位

不利事件也會隨時間變化

disclosure = 取 P01、P02 及 P03 中該欄位自身價格經衰減後的最大值——一條路徑按其最差情況計算，絕不複合，因為對同一次查封的三種編碼就是一次查封；在同一事件的 P12_case_history 項目所載日期套用 decay(plateau=12, half_life=60, floor=0.35)，按項目所述發生的事情配對——P01 配對查封，P03 配對 court_order、subpoena 或 mandate_order——絕不按結果如何配對，因為沒有產生任何結果的事件，仍是為該項發現定日期的那個事件；P02 則按結果配對，因為在該處結果就是事實；沒有這類項目的不利事件保留其未衰減值；實務曲線的形狀採用較高的下限，此處為 0.35，而實務證據為 0.15，因為已證實的披露會永久留在紀錄上

R11_evidence_voiding留存披露完整性gate讀取1個欄位

控制權變更會重設轉移的內容

M16 之前日期的證據不附着於現任所有者：稽核失去系列加成，披露事件降至 R10 下限，姊妹發現完全不轉移

R12_report_plausibility完整性無知threshold讀取5個欄位

透明度報告的價值取決於其內容

當 P09 = 0、P08 高於 params.min_requests，且紀錄確認存在可披露的每人紀錄——留存嚴重程度達到或高於 params.min_retention——P06 = zero_implausible。只按用戶規模判定，懲罰了它原本要代表的相反情況：一個公布其數字並報告沒有任何授予項目的業者被稱為說謊者，而一個甚麼也不公布的業者則不用付出任何代價。只有在業者自身紀錄顯示其持有可授予的項目時，授予數量為零才不可信；對已確認無日誌紀錄的判定而言，這是預期答案，而模型不得在一個通道所採信的內容上，於另一個通道不予相信。觸發時，P05 的姿態緩解設定為 0.00，而 integrity 取得 params.route 中的路徑

R13_derived_jurisdiction管轄地noisy_ormax讀取6個欄位

義務欄位是推導而非判斷

C10 = M06 in MANDATE_COUNTRIES；C11 = M11 in MANDATE_COUNTRIES；當 M11 = M06 時，兩者屬於同一情況，而 jurisdiction 取 max(C10, C11, P11)，絕不使用 noisy-OR；伺服器群組暴露取 max(C09b, P04)，這是有別於公司路徑的另一條路徑；手寫覆寫需要其自身出處，並按此公布

R14_disclosure_rate披露threshold讀取2個欄位

產生資料的請求比例

當 P08 達到 params.min_requests 後，rate = P09 / P08；risk = params.weight x rate；與 rate 一併公布，因為跨管轄地的可比性低——一個請求在一個國家代表法院命令，在另一個國家則代表一封信

R15_free_tier_flag無通道flag讀取2個欄位

免費方案總有某種付出方式

當 params 所指名的每個欄位均具有 params 為其列出的其中一個值時，S22 = flagged，否則為另一值；不改變任何一條軸線上的分數——兩個輸入已在其應有位置計價，而為兩者的合取定價，正是對兩條軸線之所以存在所要拒絕的平均化

R16_opaque_at_mass_scale完整性threshold讀取2個欄位

涵蓋的人越多，不透明度越高

X03 = 不透明及 M08 = 大規模 -> 使用 params.at_mass_scale，而非不透明情況下 X03 自身的價格

R17_location_notice管轄地derivation讀取3個欄位

提供義務國家的地方，實際上有甚麼

C09 = 出現在 MANDATE_COUNTRIES 中的 U02 國家，從資料推導而成，從不手動填寫。C09 單獨不收取任何分數，亦不納入完整度分母：在這樣的國家提供出口本身並無任何含義，而且會按讀者選取的位置公開。實際計分的是 C09b，即 C09 非空時值得提出的唯一問題——硬件是否實際位於該義務管轄之下，還是位置屬虛擬而硬件在其他地方。C09 為空時，C09b 為不適用，並以 max 與 P04 結合：在義務管轄之下的存在是一種情況，卻被編碼兩次

R18_audit_gate留存gatemax讀取2個欄位

稽核採用哪個留存分支

V11 表明留存 -> params.credence_stated 的已表明分支；V01 = yes_* 而 V11 沒有表明 -> params.credence_silent x subject_factor 的無聲分支（主體未被確認時使用 params.subject_default），且任何分支均不超過 params.credence_max；否則完全沒有書面證據；所選分支的嚴重程度 = max(C01_linkable_retention, V11_audit_findings)，而不是 noisy-OR——同一種情況被編碼兩次，不得複合計算（如 R04）

R19_audit_decay留存decay讀取1個欄位

組態反覆變更

decay(params.decay) — 以月計算的連續值，沒有節點

R20_practice_ages留存decaymax讀取1個欄位

每宗有紀錄的事件都帶有自己的日期

P12 中每個 outcome = nothing_produced 的事件，均按其自身日期計入 decay(practice)；欄位的 practice 值是其事件中的最大值，從不將它們相加；這取代了 P01 及 P03 的單一日期解讀，後者將多次扣押合併為一次

R21_circumvention_decayusabilitydecay讀取1個欄位

封鎖移動得比證據快

當欄位自身的截至日期已超過 12 個月，U06 = 已證實的分數會按自稱處理；紀錄已為每個欄位標明日期，因此年齡從該處讀取，而非寫入數值；這是唯一具有衰減的易用性欄位，因為只有它的真實性會失效

R22_completeness無知constraint每個欄位的完整度欄

分母計算的內容

完整度 = yes 的實質欄位；不適用不納入分母，未知則保留在分母內；識別欄位、模型輸出、重複標籤及易用性欄位全部排除——易用性覆蓋率另行以 S16 報告

R23_credence_defaults留存constraint結構中的每個因素表

未閱讀的證據不獲計入

R08 的鏡像，並刻意不與其對稱。factor(unknown) <= 該欄位中最弱的真正證據層級，且嚴格高於任何代表拒絕披露的值（V06 unnamed、V02 none）。照單全收地採信沒有人讀過的稽核，正是讓一份買來的報告洗成分數的方式；把我們自己的無知當作業者的拒絕，則是相反的錯誤。不採信未經核實的證據並非指控——業者回退至先驗，即市場基準率，而不是某項發現

R24_retention_composition留存productmax讀取14個欄位

留存子通道如何成為一個數字

四個子通道不取平均。credence.paper = R18 選出的分支（已表明：credence_stated；無聲：credence_silent x subject_factor）x 該分支自身 .conf 的 source_credence x audit_decay（R19）x publication_factor x engagement_factor（firm x standard x assurance strength）x 已表明分支上的 scope_factor x R11 讓該系列維持有效時的 series_bonus，並以 credence_max 為上限。credence.practice = 按日期排列的 nothing_produced 事件中 practice_credence x practice_decay（R20）的最大值。credence = min(credence_max, max(paper, practice) + secondary_weight x min(paper, practice))——兩種證據勝過一種，而任何數量的證據都達不到確定性。severity = 按 R18 取 max(C01, V11)，或在兩者均未確認時取 prior。retention = credence x severity + (1 - credence) x max(severity, prior)：回歸市場基準率只會向上，因此不利己方的承認保留其原值。最後，retention.floor = max(retention, C12 floor:) ，因為範圍僅及通道的稽核不能排除應用程式中的事實

R25_integrity_composition完整性noisy_or讀取14個欄位

完整性路徑如何成為一個數字

完整性 = 1 - 在已觸發的路徑中，(1 - 路徑) 的連乘積：謊言軸（R04）、所有者透明度（大規模時的 R16）、所有者集團歷史、變現方式連同集團出售的產品（R03）、事故處理、絕對化聲稱、終身推送、購買的覆蓋範圍（R01）、不可信報告路徑（R12）、商店聲明空白（R28）、disclosure_rate_weight x rate（R14）以及群集傳染（R02、S18）。路徑會複合，因為它們是分開的發現；同一情況被編碼兩次的配對，已在各自規則內以 max 合併，因此這裏不會再次合併

R26_hygiene_composition衛生capped_sum讀取12個欄位

衛生欄位如何成為一個數字

衛生度 = min(params.cap, 此處各欄位所涉風險價格的總和)。安全軸上唯一的加法通道：這些是累積的小型獨立洩漏，而不是由單一發現決定結果；上限則防止一堆輕微收集行為被讀成披露。清單欄位按其最便宜的成員計算——一種匿名付款方式已經足夠——若沒有任何成員定價，則回到其本身的未知價格。C13_weakest_protocol 是此處的衍生加項（R32）：仍在運作的舊式傳輸只是順帶收集的另一項內容，而不是決定結果的發現

R27_report_concealment完整性max讀取2個欄位

在保證會有請求的規模下，對披露保持沉默

中等或大規模的業者必然會收到請求，因此已確認沒有數字，是關於業者的事實，而不是我們研究中的空白：P05 = none 收費 0.150，fresh_no_numbers 0.100——已公開的報告省略了那個關鍵數字，是這種情況最尖銳的形式——而 stale 為 0.050。只在已確認的值上觸發；未知在此不收費，而是在無知通道中定價，因為我們自己沒有查閱的情況歸於此處。這是 R12 的鏡像：一項為不可信的數字定價，另一項則為完全沒有任何數字的缺失定價

R28_store_declaration_gap完整性max讀取1個欄位

商店聲明與業者向商店提供的政策對照

強制商店表格是業者就其應用程式作出的自行簽署聲明，因此表格聲明的任何內容，也必須出現在業者自行引導商店查看的政策中。只按一個方向閱讀：應用程式是服務的子集，因此，聲明少於政策所承認內容的表格，可由範圍解釋，不收費；但表格聲明而政策從未提及的類別則沒有這種理由。按未披露類別所揭示的內容分級：識別碼或診斷資料收費 0.150；行為——應用程式活動、已安裝的應用程式、位置或任何廣告用途——收費 0.300；而聲明正是無日誌聲稱所否認的收集內容，則收費 0.450。兩個商店對收集的定義不同，因此 Apple 表格與 Google 表格之間的差異本身並不是發現。以各商店中最差的空白為準

R29_session_state留存constraint讀取2個欄位

連線不是連線紀錄

C01 評估工作階段結束後，業者仍能將哪些內容連結至某人的程度。只在通道建立期間存在的狀態——來源 IP、帳戶 ID，以及伺服器為路由封包和執行裝置限制而保留的連線時間戳記——就是連線本身，而不是其紀錄；將其作為留存定價，等於因描述 VPN 如何運作而向業者收費。更糟的是，這比什麼都不說收費更高：此欄位留白的市場先驗為 0.550，而 source_ip 為 0.750，因此，對十五分鐘緩衝的誠實描述，成本高於沉默。這項例外必須很窄，否則它會變成每個業者都會寫上的句子。它只適用於業者自己的文件明確訂出與工作階段結束相關、且不超過 24 小時的刪除期限——這是最短的曆法單位，比服務所需的任何拆除時間長，卻比日誌保留的任何輪換週期短。未聲明的時長就是留存。曆法期間——7 天、30 天、輪換週期——無論措辭如何，都是留存，因為它按設計超出工作階段而持續存在。業者在期限後仍保留的任何內容，仍按其自身級別計值；而這項例外只讀取業者的聲稱：稽核發現資料存在的情況，R18 已將該發現置於聲稱之上

R30_usability_foundationusabilitythreshold每個易用性欄位的權重欄

易用性分數有多少依據表格

易用性總和按其能讀取的權重除數：沒有人已確認的欄位會留在分母中，而不是計為零，因為覆蓋範圍不是質素。代價是，分數看不見自身的基礎——最重的欄位未被讀取的欄，會與已填寫欄位呈現相同的數字形狀。S21 = 已讀取權重 / 有效權重，其中有效權重是所有加權易用性欄位減去 n/a 的欄位。低於 usability_foundation_floor 時，S20 = no_data：建立在不足半數表格狀態上的數字，只表示哪些欄位已填寫，而不表示產品做甚麼。這個下限比安全軸的更嚴格，因為此軸沒有無知通道——安全分數會為分數內的空白收費，而易用性在任何地方都不為空白收費。分數仍會在 no_data 下公開，正如安全分數一樣；不提供數字就無法核查。

R32_protocol_floor衛生derivationmax讀取1個欄位

仍然提供的最弱傳輸

C13_weakest_protocol 是 U07_protocols 中按 C13 自身表格的風險順序排列的最差通訊協定，在載入時衍生，從不手動填寫——形態與 R17 從 U02 衍生 C09 相同。它作為另一個加項進入 R26_hygiene_composition，並像其中每一項一樣受衛生度通道上限約束。在只提供現代傳輸的伺服器群組中，該欄位是 not_applicable，而不是某個名稱：當沒有高於 0.000 的通訊協定定價時，便沒有可指出的弱點，若按平手打破順序從良好通訊協定中選出最不佳者，就會公開一項沒有人作出的發現。保留此欄位，是為了涵蓋 PPTP 和 L2TP 仍在運作的廉價區段。proprietary 的價格不是向自行編寫通訊協定的供應商收費——而是為無法判斷該通訊協定是否薄弱而定出的價格，這也是為何 vendor_open 不收費：來源已公開並經獨立審查的供應商傳輸可以接受評估，而評估沒有任何內容表示它薄弱。仍然收費，會把已解決的無知定價，並使公開來源的成本高於不公開來源。

R33_exit_conduct架構max讀取2個欄位

出口如何處理其承載的流量

架構 = max(C00_architecture 的價格、C14_traffic_modification 的價格)。誰運行出口，以及出口對經過它的內容做甚麼，是同一個問題——隧道的遠端一端是否在你這邊——而一個不良答案已足以決定結果，因此通道取兩者中較差的價格，而不是兩者的總和：由陌生人運行、同時改寫標頭的出口，不會比任何一者差兩倍，而就是那麼差。headers_injected（0.300）是加入經過的流量中的工作階段識別碼或任何其他標頭，令每個目的地都得到一個用戶名稱；content_injected（0.500）是放入頁面的指令碼、廣告或其他內容；tls_interception（0.750）是出口開啟加密工作階段。none 必須從明確如此說明的文件中讀取，而這類文件很少，因此 unknown 帶有與 C00 相同的市場先驗，其餘則由無知通道處理。