# منهجية التقييم

إصدار الإطار: 2.0.0-draft.1. الحالة: مقترح بحثي.

## الغاية وانضباط الادعاءات

تحوّل هذه المنهجية الفرضيةَ الأمنية إلى تقييمٍ محدد النطاق قابلٍ لإعادة الإنتاج. وهي تحدد الموادَّ وقواعدَ القرار اللازمة لبحث ما إذا كان عقدٌ محدد يمكن أن يُخفق، وكيف يقع الإخفاق، وما الاستنتاجات التي تدعمها الأدلة المتاحة. ولا تقدّم عتبةً عامة لمنح الشهادات، ولا تثبت أن الإطار المقترح قد تحقق منه تجريبيًا بالفعل.

ويجب أن يفصل التقييم بين وجود الضعف، وتواتر النتيجة المرصودة في ظروف الاختبار، ومدى الأثر المبرهَن عليه، وعموميةِ التفسير المقترح. فانتقالٌ واحد غير مصرَّح به في الحالة، موثَّقٌ توثيقًا جيدًا، قد يسوّغ الاحتواء. لكنه لا يثبت الانتشار عبر عمليات النشر ولا وجود عائلة هجماتٍ جديدة. وفي المقابل، فإن الإخفاق في إعادة إنتاج حدثٍ ما دليلٌ يخص الظروف المختبَرة، لا برهانٌ على أن البلاغ الأصلي كان كاذبًا.

والموادُّ المطلوبة هي: سجلُّ النطاق والتفويض، ونموذجُ النظام ونموذجُ التهديد، وعقودُ الخصائص، وبروتوكولُ الاختبار، وسجلُّ التنفيذ، والتحليلُ، وسجلُّ التفنيد، والتصنيفُ، وحزمةُ الأدلة. وينبغي أن يتناسب تفصيلها مع الادعاء والعواقب. فالثغرة الخاصة بتنفيذٍ بعينه لا يلزمها البرهنة على عموميتها عبر النماذج؛ أما الادعاء الآلي الواسع فيتطلب أدلةً تتجاوز مثالًا واحدًا مصممًا خصيصًا.

## النطاق والتفويض

قبل الاختبار، تُسجَّل التهيئة المستهدفة، والمالك، والمقوِّم، والغرض، والواجهات المسموح بها، وفترة الاختبار، وقيود معالجة البيانات، وشروط التوقف. ويُحدَّد ما إذا كانت الأفعال تبلغ أنظمة الإنتاج، أو نشرًا تجريبيًا، أو محاكيًا، أو بدائلَ اختبارية. وتُستخدم السجلات الاصطناعية والحسابات المعزولة حيثما أمكنها اختبار العقد المعني. والإذن بفحص مكوّنٍ ما لا يعني الإذن بالتأثير في مستخدميه أو في الخدمات المتصلة به.

ويُقام الاحتواء قبل تنفيذ أي تدخلٍ مرشّح. وتُوصف، بحسب الاقتضاء، قيودُ الشبكة، واستبدالاتُ الأدوات، وحدودُ الإنفاق أو الموارد، ولقطاتُ الحالة، ومسؤولياتُ الاستعادة. وينبغي أن يحدد شرطُ التوقف من يستطيع إيقاف الاختبار، وأيُّ حدثٍ قابل للرصد يستدعيه، وكيف يُلغى العمل المتبقي. وتتطلب الاختبارات التي تنطوي على تشغيلٍ مادي أو تعريضٍ للبشر الضوابطَ الإضافية الموصوفة أدناه؛ والتجارب الحية الضارة ليست جزءًا من هذه المنهجية.

ويتبع تقييمُ الخطر غير العدائي الانضباطَ نفسه في العقود والأدلة، لكنه يسجّل الاضطرابَ بدلًا من إسناد الفعل إلى مهاجم. ويميّز التقرير بين الاكتشافات الأمنية، والأخطار، والحوادث، وعيوب الجودة، والمشاهدات المعلّقة.

## السؤال والعقد التشغيلي

تُكتب الفرضية الرئيسية قبل الاختبار التأكيدي. وينبغي أن تحدد الفاعلَ أو الاضطراب، والتأثيرَ المتاح، والعقدَ المستهدف، وحدثَ الإخفاق المتوقع، ونطاقَ الاستدلال. ويُذكر تفسيرٌ بديل معقول، والمشاهداتُ التي من شأنها أن تُضعف الفرضية أو تفنّدها.

وتُستخدم P01–P23 مرجعًا، ثم تُصاغ الخاصية المختارة صياغةً تشغيلية. فعلى سبيل المثال، قد تشترط P13 «سلامة الفعل» ألا يثبّت المنفِّذ أبدًا أي عملية كتابة خارج مجموعة الموارد المعتمدة لمهمةٍ مسمّاة. ويُحدَّد ما يُعدّ موافقة، ومتى يُتحقق منها، وكيف يتغير النطاق، وأيُّ سجلٍّ أو قراءةٍ للحالة تبرهن على التثبيت. واستجابة النموذج التي تقول إنه كتب في موردٍ ما ليست المشاهدةَ نفسها.

ويُعرَّف أوراكل الحكم على النتيجة قبل تقييم النتائج. ويُفضَّل ما يمكن رصده على نحوٍ مستقل من الحالة، أو فحوص الأذونات، أو خروق الثوابت، على تفسير النصوص النثرية. وفي الأحكام الدلالية، يُقدَّم سُلّمُ ترميز، وأمثلةٌ على الحالات الحدّية، وفئةٌ للنتائج غير الحاسمة. وإذا استُخدم نموذجٌ محكِّمًا، تُجمَّد تهيئته، ويُتحقق من صحته إزاء تعليقاتٍ توضيحية مستقلة تناسب الادعاء، ويُفصح عن الخلافات وأنماط الإخفاق المشتركة المحتملة. فتسمية المحكِّم دليلٌ صادر عن عملية القياس تلك، لا حقيقةٌ مرجعية بحكم التعريف.

## التصميم وحالات الضبط

يُحدَّد خطُّ أساسٍ في ظل التشغيل العادي المصرَّح به. وتُستخدم حالةُ ضبطٍ سلبية مطابِقة تحافظ على محتوى المهمة وصعوبتها ذات الصلة مع إزالة السمة الخبيثة المفترضة. ويُميَّز بين حالة ضبط الوظيفة المصرَّح بها، التي تتحقق من أن التشغيل المشروع لا يزال ممكنًا، وحالةِ الضبط بخرقٍ مزروع، التي تتحقق من أن أوراكل الحكم يكشف إخفاقًا معروفًا في العقد ضمن بيئة اختبارٍ معزولة. ويُبيَّن الردُّ الذي ينبغي أن تُنتجه كل حالة ضبط. ويجب أن تبقى جميع حالات الضبط محتواة، وألا تُحدث ضررًا حقيقيًا.

ويُوثَّق التدخل، وما يبقى ثابتًا، والعواملُ المُربِكة التي لا يمكن تجنبها. فعبارة «لم يتغير إلا متغيرٌ واحد» هدفٌ تصميمي، لا عبارةٌ تُقال حين تغيّر الحمولةُ أيضًا الطولَ أو ترتيبَ الاسترجاع أو محتوى المهمة. وتُستخدم حالاتُ ضبطٍ إضافية أو استنتاجاتٌ محدودة حين يتعذر الفصل بين هذه العوامل. ويُعشوَأ الترتيب أو يُوازَن حين تكون آثار الترتيب محتملة.

ويجب التمييز بين البحث الاستكشافي والتقويم التأكيدي. فيُسجَّل عدد الحمولات أو الموجّهات أو التهيئات المستكشَفة وطبيعتها، بما في ذلك المحاولات غير الناجحة. ويُجمَّد المرشّح المختار قبل تقويمه على مهامٍ محجوزة أو حالاتٍ جديدة. والاستمرار في تكييف الحمولة إزاء مجموعة التقويم نفسها يحوّل الادعاء إلى ادعاءٍ بشأن الأداء في ظل إجراء البحث التكيفي ذاك.

## الوحدات وتخطيط العينة

تُعرَّف الوحدة التجريبية المستقلة. فالدور في المحادثة ليس مستقلًا تلقائيًا عن الأدوار السابقة؛ وقد تشكّل عدةُ مخرجات من جلسةٍ دائمة واحدة وحدةً واحدة. وقد يتجمّع الوكلاء المتعددون الذين يتشاركون خدمةً أو حالةَ نموذج في عنقودٍ واحد. وفي النتائج البشرية، قد تكون الوحدة مشاركًا، أو فريقًا، أو مؤسسة، بحسب طريقة التوزيع والاعتماد. وتُبيَّن وحدةُ التعشية، ووحدةُ المشاهدة، ووحدةُ التحليل حين تختلف.

ويُخطَّط حجم العينة بناءً على الادعاء، والتباين المتوقع، وأصغر أثرٍ ذي صلة أو الدقة المطلوبة، وبنية الاعتماد، والموارد المتاحة. وإذا كانت المعلومات غير كافية لحسابٍ تأكيدي مسوَّغ، تُوسم الدراسة بأنها استكشافية، وتُستخدم دراسةٌ تمهيدية لتقدير معاملات التصميم. ولا يُعتمد عددٌ ثابت من المحاولات لمجرد أن مثالًا سابقًا استخدمه. وتُبيَّن قواعدُ التوقف وكيفيةُ التعامل مع المراقبة المتتابعة أو المقارنات المتعددة.

ويُبلَّغ عن المقامات، والاستبعادات، والتشغيلات غير المكتملة، وانتهاءات المهلة، والمشاهدات المفقودة. ويُميَّز بين التنفيذات غير الصالحة لأداة الاختبار والإخفاقات الحقيقية في توافر النظام. واستبعاد النتائج غير المرغوب فيها بعد الاطلاع على ظروفها قد يُحدث تحيزًا في النتيجة. وتُحدَّد قواعدُ الإبطال مسبقًا، ويُبلَّغ عن حساسية النتائج للاستبعادات المتنازع عليها.

## التهيئة والمنشأ

تُسجَّل معرّفاتُ النماذج وتفاصيلُ المراجعة المتاحة، ومعاملاتُ أخذ العينات، ودعمُ البذرة العشوائية، والموجّهاتُ أو مواد السياسات، وطريقةُ بناء السياق، ومخططاتُ الأدوات، والأذوناتُ، ولقطاتُ الاسترجاع، وحالةُ الذاكرة، وإصداراتُ البرمجيات، والتوقيتُ ذو الصلة. وتُسجَّل صراحةً المتغيراتُ المجهولة أو التي يتحكم فيها المزوّد. فاسمُ النموذج العام قد لا يدل على سلوكٍ ثابت لا يتغير؛ لذا تُدرج تواريخ الاختبار وأي مراجعةٍ متاحة للنشر.

وتُحفظ المدخلات والمخرجات الدقيقة حيثما سُمح بذلك، مع البصمات، والطوابع الزمنية، ومعرّفات التشغيل، وسجلات التنفيذ. وقد تساعد البذرة العشوائية على إعادة الإنتاج دون أن تضمن تنفيذًا حتميًا عبر المنصات أو عند تغيّر المزوّد. وإذا تعذرت استعادة الحالة بدقة، يُوصف التقريب المستخدم في إعادة الضبط ويُختبر مدى كفايته. ويُسجَّل أثر الذاكرات المؤقتة، والتزامن، وحدود المعدل، والتحديثات الخلفية حيثما أمكن أن تؤثر في النتيجة.

وتُحمى الأسرار والمعلومات الشخصية في حزمة الأدلة. وتُستبدل القيم الحساسة بمكافئاتٍ اصطناعية قبل الاختبار متى أمكن. وينبغي أن يحافظ الحجب على الأدلة اللازمة للادعاء؛ فإن لم يفعل، يُحدَّد ما يجب أن يفحصه مراجعٌ مصرَّح له على نحوٍ خاص.

## التنفيذ والفحوص السببية

تُشغَّل حالتا خط الأساس والتدخل وفق البروتوكول المخطط. ويُلتقط أبكرُ تباعدٍ قابل للرصد، والانتقالاتُ اللاحقة، والنتيجةُ النهائية. وتُقرأ الحالة ذات الصلة فعليًا بدلًا من الاعتماد على إقرار الأداة وحده. وتُسجَّل حالات الرفض، والأفعال الجزئية، والاستعادات، والآثار المؤجلة بوصفها نتائج منفصلة حين يتطلب العقد هذا التمييز.

وتُستخدم عمليات الإزالة الانتقائية لبحث الشروط الضرورية: كإزالة إشارة السلطة المزعومة، أو تعطيل مسار الدوام المعني، أو استبدال المصدر المشتبه فيه، أو قطع علاقة تغذيةٍ راجعة مفترضة. وهذه اختباراتٌ للتفسير، لا إصلاحاتٌ تلقائية. والتدخل الذي يزيل كل وظائف النظام لا يمكنه وحده أن يثبت فعالية ضابطٍ موجَّه.

وقد يثبت التحليلُ الساكن التقليدي أو اختبارٌ مباشر للتحكم في الوصول بعضَ عقود التنفيذ دون محاولاتٍ احتمالية. ويُسجَّل المسار والشروط المسبقة، ويُتحقق من انتقالات الحالة ذات الصلة بأمان. ولا يُحشر كل تقييمٍ في تجربةٍ على نموذجٍ لغوي لمجرد أن المنتج المحيط يستخدم الذكاء الاصطناعي.

## التقويم الزمني والتكيفي

في الحالات متعددة الأدوار، يُحتفظ بالتسلسل الكامل وتُحدَّد وحدة الجلسة المستقلة. ويُختبر ما إذا كانت الأدوار السابقة ضرورية، وما إذا كان للترتيب أهمية، وما إذا كان الأثر يدوم بعد إعادة ضبطٍ موثقة. وفي L6 «الذاكرة واستمرارية الحالة»، يُفصل بين حدث الكتابة، والتمثيل المحتفَظ به، والاسترجاع اللاحق، والقرار التالي. فالاستجابة الفورية لا تثبت الدوام عبر الجلسات.

وفي الأنظمة التكيفية، تُسجَّل الحالةُ الأولية، وقاعدةُ التحديث أو سلوكُ الخدمة المتاح للمقوِّم، ومدخلاتُ التعلم المصرَّح بها، وجدولُ التحديث، وآليةُ التراجع. وتُقارن تواريخُ التحديث المتطابقة أو التدفقات القابلة لإعادة التشغيل حيثما أمكن. واختبار اللقطة الواحدة لا يشمل التكيّف اللاحق. ويجب أن تبقى الظروف المحجوزة خارج عملية التكيّف إذا كان الغرض منها قياس التعميم.

وفي الأفعال، تُحدَّد آخرُ نقطة تدخلٍ فعّال ونقطةُ الالتزام الخارجي. ويُختبر الإلغاء والإبطال في بيئةٍ محتواة، بما في ذلك حالات التسابق وإعادة المحاولة ذات الصلة. ويُبلَّغ عمّا إذا كانت النتائج المحاوَلة، والمدرجة في قائمة الانتظار، والمنفَّذة، والمعوَّضة، وغير القابلة للعكس قابلةً للتمييز في الأدلة.

## التقويم البشري والمادي

تتطلب الادعاءاتُ بأن طريقة العرض غيّرت القرارات البشرية أدلةً بشرية. أما عقدٌ أضيق يخص العرض أو الترخيص المستنير ضمن P19 «سلامة القرار البشري» فيمكن تقييمه من خلال عدم تطابقٍ قابل للفحص، دون ادعاء أن أحدًا قد خُدع أو غيّر قراره. وقد يثبت فحصُ الواجهة عدمَ تطابقٍ أو غيابَ ضابطٍ دون أن يثبت أثره على مستوى السكان. ويُوسم هذا الناتج الأضيق وسمًا دقيقًا.

ويتطلب البحث مع مشاركين من البشر مراجعةً أخلاقية مناسبة، وموافقةً مستنيرة، وتسويغًا للاستقطاب ولتخطيط العينة، وضماناتٍ للخصوصية، وجلسةَ إيضاحٍ حيثما انطوى الأمر على خداعٍ معتمد. وتُستخدم سيناريوهاتٌ غير ضارة بلا عواقب فعلية مالية أو صحية أو وظيفية أو أمنية. وتُحدَّد أدواتُ قياسٍ متحقق من صحتها حيثما كان ذلك مناسبًا، ويُستشهد بمصادرها في كل دراسة. ويُعمّى ترميز النتائج متى أمكن عمليًا، وتُراعى المشاهداتُ المتكررة من المشارك نفسه. ولا تقدّم هذه الوثيقة أداةً عامة لقياس التأثير البشري.

وينبغي أن تبدأ اختبارات الأنظمة المادية بالمحاكاة، أو المشاهدات المسجلة، أو عزل العتاد، أو تجهيزاتٍ غير خطرة. ويُوثَّق الفارق بين هذه الظروف وبيئة النشر. ويجب أن يراجع الممارسون المعنيون قواعدَ الاحتواء والقبول قبل أي دراسةٍ تنطوي على تشغيلٍ مادي في العالم الحقيقي. ولا يُعرَّض البشر أو الحيوانات أو البنية التحتية التشغيلية لظرفٍ ضار لإثبات إمكانية الوصول. والتلامس المحاكى أو الفعل المحظور المحاكى يبقى نتيجةً محاكاة.

## التقويم الجماعي

في L9 «التفاعل الجماعي والنظامي»، يُحدَّد العقد الجماعي والرسم البياني أو الرسم البياني الجزئي الذي ينطبق عليه. ويُسجَّل المشاركون، والموارد المشتركة، والجدولة، ودلالات الرسائل، والحالات الأولية، والاقتران. ويُقاس الانتشار أو التضخيم المقترح نسبةً إلى خط أساسٍ مطابق، مع مقامه ونافذته الزمنية.

وتُغيَّر افتراضاتُ التركيب ذات الصلة: عددُ المشاركين، والطوبولوجيا، والتأخيرات، والتبعياتُ المشتركة، والسياساتُ المحلية. فالنتيجة التي تتوقف على ترتيبٍ واحد قد تثبت ثغرةً في ذلك الترتيب؛ لكنها لا تثبت خاصيةً عامة للأنظمة متعددة الوكلاء. والسلوك المحلي المستقل لا يستبعد الإخفاق الجماعي، في حين أن الإخفاقات المترابطة الناجمة عن خدمةٍ مشتركة واحدة لا تبرهن على انتشارٍ من وكيلٍ إلى وكيل.

ويُستخدم استئصالُ العلاقات، أو استبدالُ المورد المشترك، أو جداولُ بديلة لاختبار التفسير السببي. ويُسمح بمواضع على مستوى المجموعة أو الرسم البياني الجزئي حين لا تكون أي حافةٍ منفردة مسؤولة. ويجب أن ترافق افتراضاتُ المحاكاة وحدودُ التحقق جميعَ الادعاءات النظامية؛ فالأدلة المستمدة من النمذجة لا تعادل مشاهدةَ جمهورٍ منشور فعلًا.

## التحليل وعدم اليقين

لكل حالة، يُبلَّغ عن الوحدات الصالحة، وخروق العقد المرصودة، والنتائج الأخرى، وعدم اليقين بما يناسب التصميم. فالنسبة المرصودة تصف التوزيعَ والإجراءَ المختبَرين. وليست احتمالًا للوقوع في بيئة النشر ما لم تسوّغ افتراضاتُ أخذ العينات والتعرّض هذا الاستدلال. ويُبلَّغ عن الفروق أو غيرها من تقديرات الأثر المحددة مسبقًا مع عدم اليقين فيها، بدلًا من الاكتفاء بوسم الدلالة الإحصائية.

وتُراعى العنقدة، والانتقاء التكيفي، والمقارنات المتعددة، والمشاهدات غير المكتملة حيثما كان ذلك ذا صلة. ويُستخدم التحليل المزدوج حين يكون التصميم مزدوجًا. وفي البيانات الصغيرة أو المتفرقة، تُظهَر الحدود بوضوح بدلًا من عرض نسبٍ مئوية تبدو دقيقة وحدها. وإذا استُخدمت النمذجة الإحصائية، تُسجَّل الافتراضات، والتشخيصات، وتحليلات الحساسية في حزمة الأدلة.

وغياب الإخفاقات المرصودة في اختبارٍ محدود لا يثبت انعدام المخاطر. والحدُّ الإحصائي، إن أُبلغ عنه، يتوقف على افتراضات الاستقلال وأخذ العينات والنموذج. وتظل النتائج غير القابلة للعكس قابلةً للتحليل الاحتمالي، لكن الأداء المتوسط المقبول لا يعوّض عن حدثٍ كارثي محظور. وقد يكون لتقديرات إمكانية الوصول، والاحتواء، وزمن التدخل، والتواتر جميعها أهمية؛ والملف التعريفي المنطبق هو الذي يحدد قاعدة القرار.

## التفنيد والتصنيف

تُختبر التفسيرات البديلة اختبارًا فعليًا. فيُتحقق مما إذا كان خط الأساس يُظهر الخرق نفسه، وما إذا كان التدخل قد غيّر الترخيص، وما إذا كان أوراكل الحكم قد أساء قراءة مُخرَجٍ غير ضار، وما إذا كانت حالةٌ مخفية أو سلوكُ أداة الاختبار يفسّر النتيجة. فقد تُخفق فرضيةٌ خاصة بآليةٍ بعينها بينما تبقى ثغرةٌ حقيقية قائمة. وتُوثَّق النتيجتان كلتاهما.

وتُقابَل نقاط الدخول، والعقود التي أخفقت، والانتشار، والأثر كلٌّ على حدة. وتُستخدم الأسماء المعتمدة لـL1–L9 والمعرّفات الثابتة M01–M12 وD1–D7. ومجرد العبور لا يثبت إخفاق مجالٍ ما. ويُسمح بإخفاقاتٍ سببية متعددة، وبتصنيفٍ مركّب، وبالالتباس، وبالحالات غير الممثَّلة. فالطبقة الأساسية المفروضة قسرًا قد تخفي أغنى أجزاء الاكتشاف بالمعلومات.

وتُقارن أي عائلةٍ جديدة مقترحة بأقرب الآليات والفئات القائمة. فالصياغة الجديدة، أو المنتج المستهدف الجديد، أو العاقبة الأكبر لا يثبت أيٌّ منها بحد ذاته جِدّةً آلية. وفي المقابل، لا ينبغي رفض ضعفٍ تنفيذي ضيق لكنه حقيقي لمجرد أنه ليس جديدًا. ومراجعةُ السجل لمقترح فئةٍ قرارٌ مختلف عن معالجة اكتشافٍ ملموس.

## واصفات الأدلة

يُحتفظ بتسميات الأدلة الواردة في الإطار المصدر بوصفها أوجهًا وصفية، لا سُلّمًا تراكميًا إلزاميًا. فالاختبار عبر النماذج والتكرار المستقل يجيبان عن سؤالين مختلفين. وقد يكون اكتشافٌ تنفيذي مضبوط بعناية قويًا دون أن ينطبق عبر النماذج.

| الواصف | سؤال الأدلة |
| --- | --- |
| E0 فرضية | هل ثمة ادعاءٌ صريح قابل للاختبار وتفسيرٌ سببي؟ |
| E1 مشاهدة منفردة | هل وُثّق حدثٌ واحد على الأقل ذو صلة؟ |
| E2 مشاهدة أُعيد إنتاجها | هل يتكرر الحدث في ظل شروط تكرارٍ محددة؟ |
| E3 تجربة مضبوطة | هل تدعم حالاتُ الضبط المناسبة نسبةَ الأثر إلى التدخل؟ |
| E4 أدلة عبر الظروف | هل يصمد الادعاء المذكور عند تغيّر الظروف ذات الصلة؟ |
| E5 أدلة عبر النماذج | هل فُحص الادعاء عبر تنفيذاتٍ ذات صلة للنماذج؟ |
| E6 تكرار مستقل | هل أعاد مقوِّمٌ منفصل إنتاجَ الادعاء مع الإفصاح عن التبعيات؟ |

ولكل وجه، يُسجَّل supported أو unsupported أو not_tested أو inconclusive أو not_applicable، مع إحالاتٍ إلى الأدلة وتعليل. وتعني unsupported أن التقويم المستشهد به لا يدعم ذلك الوجه، لا أنه لا توجد ثغرة. ويجب أن يحدد الوجهُ الموسوم supported الادعاءَ الدقيق والنطاقَ المختبَر. ويشمل الاستقلالُ الاستقلالَ في التأليف، والتحليل، والبيانات، والتنفيذ؛ وينبغي للمراجعين أن يفصحوا عمّا هو مشترك منها.

وتُستخدم نتائج التقييم supported أو refuted أو inconclusive أو quality_issue أو hazard_only أو out_of_scope، مع سببٍ وإحالةٍ إلى الادعاء. وهذه النتائج منفصلة عن حالة المراجعة في السجل. وقد تتضمن الاكتشافات المختلطة عدة ادعاءات ذات نتائج مختلفة. وليست E0–E6 درجاتٍ عددية للثقة، ويجب ألا يُحسب متوسطٌ لمعرّفاتها.

## الخطورة وقرارات التشغيل

تُوصف الخطورة من خلال عواقب الخرق الناجح: الأصول أو الأشخاص المتأثرون، والنطاق، والامتياز، والمدة، وقابلية التعافي، والضرر المبرهَن عليه مقابل الضرر المحتمل. ويُوصف الاحتمال من خلال التعرّض، وفرصة المهاجم، والمتطلبات المسبقة، والأدلة المتاحة. ويُوصف مستوى الثقة من خلال قوة الأدلة السببية وأدلة القياس وحدودها. وتُسجَّل قابلية إعادة الإنتاج والتغطية المختبَرة كلٌّ على حدة.

وقابلية العكس خاصيةٌ سياقية للفعل أو الأثر. فيُسجَّل ما إذا كانت الاستعادة، أو الاحتواء، أو التعويض ممكنًا، وعلى يد من، وبأي كلفة، وفي أي مدة. والتعويض لا يمحو بالضرورة الكشفَ أو الإصابة. وقد يتضمن تسلسلٌ مختلط تغييراتٍ داخلية قابلة للعكس وآثارًا خارجية غير قابلة للعكس.

وينبغي أن يستند قرار التشغيل إلى ملفٍ تعريفي أو إلى سلطة قرارٍ مسمّاة، وأن يشرح لماذا تسوّغ الأدلةُ الاحتواءَ، أو المعالجة، أو مزيدًا من الدراسة، أو القبولَ المحدود. وقد يسبق الاحتواءُ العاجل التحققَ الكامل. وغياب ملفٍ تعريفي خضع للمراجعة يعني أن على المقيّم أن يبلغ عن معايير قبولٍ لم تُحسم؛ ولا يجيز اختلاق درجةٍ عامة أو ادعاء أن النشر قد اجتاز OSAFIS.

## حزمة الأدلة والتسليم

تتضمن الحزمة النطاقَ ذا الإصدار، والرسمَ البياني، والعقودَ، وقدراتِ التهديد، والبروتوكولَ، وأوراكلَ الحكم، وحالاتِ الضبط، وتسويغَ العينة، والتهيئاتِ، والموادَّ الخام أو المحمية، وحسابَ التنفيذ، والتحليلَ، والتفنيدَ، والتصنيفَ، والأثرَ، والقيودَ. وتُمنح المواد معرّفاتٍ ثابتة وبصماتِ سلامة حيثما كان ذلك مفيدًا. ويُبيَّن ما هو عام من المواد، وما هو مقيّد، وما هو غير متاح، وما أُتلف بموجب قاعدةٍ للاحتفاظ.

ومثال التصميم الآتي توضيحي ولم يُنفَّذ: يُقارن تدخلٌ في الاسترجاع بمادةٍ غير ضارة مطابِقة، باستخدام تفضيلٍ اصطناعي محتفَظ به وأداة كتابةٍ بديلة. ويعرّف البروتوكول الجلسةَ بوصفها الوحدة، ويتحقق من إعادة ضبط الحالة، ويقيس تثبيتَ التفضيل غير المصرَّح به عبر قراءة الحالة، ويسجّل على نحوٍ منفصل ما إذا كان أي فعلٍ مقترح للأداة سيتجاوز النطاق. وقد تُرك عدد المحاولات والنتائج دون تحديد عمدًا إلى أن يجري تخطيط العينة والتنفيذ. ولا يترتب على هذا المثال أي اعترافٍ في السجل.

وتُقدَّم الاكتشافات الملموسة ومقترحات الفئات إلى السجل بوصفها نوعين متمايزين من المدخلات. وينبغي أن يكون التقرير مفيدًا لمقوِّمٍ آخر دون أن يحتاج إلى تفسيرٍ خاص من مؤلفه. ويتبع الإفصاحُ المسؤول والوصولُ إلى الأدلة «سجلَّ الثغرات»؛ وتتبع قواعدُ القرار الخاصة بكل ملفٍ تعريفي «الملفاتِ التعريفية للأنظمة».

## التحقق من صحة الإطار نفسه

اختبار الأنظمة لا يتحقق من صحة إطار التصنيف. بل يُقوَّم ذلك الإطار بدراسةٍ منفصلة: تُجمَّد التعريفات وإرشادات الترميز، وتُبنى استراتيجيةٌ موثقة لأخذ عينات الحالات، ويُدرَّب المرمِّزون على حالات التطوير، وتُحجز حالاتٌ للتقويم. وتُدرج الحالات التقليدية، والدلالية، والزمنية، والبشرية، والمادية، والتكيفية، والجماعية بحسب ما يقتضيه النطاق المقصود، بما في ذلك الأمثلة السلبية.

وتُجمع التصنيفات المستقلة قبل التحكيم. ويُسجَّل الاتفاق وعدم اليقين على نحوٍ منفصل في تحديد العقود، ومقابلة المجالات، ومقابلة الآليات، والنطاق. ويُبلَّغ عن الالتباس، والحالات غير الممثَّلة، والحالات المركّبة بدلًا من معاملتها افتراضيًا على أنها أخطاءٌ من المرمِّزين. وتُحلَّل الخلافات، ويُقيَّم ما إذا كانت التقسيمات أو الدمجات المقترحة تحسّن التمييزات المفيدة في حالاتٍ جديدة. ويُقاس جهد المقيّمين، وما إذا كانت النتيجة تدعم ضوابطَ قابلة للتنفيذ، لا الاتفاق على التسميات وحده.

وتُنشر حدود أخذ العينات، ويُتجنَّب التعميم من مجموعةٍ متاحة بالمصادفة إلى الاكتمال في المستقبل. وتبقى المجالات التسعة فرضيةَ عمل. ويكون التنقيح مسوَّغًا حين تقوّض إخفاقاتُ الحدود المتكررة، أو العقودُ المفقودة، أو الفئاتُ الزائدة جدوى التقييم. وتتطلب التغييرات ترحيلًا ذا إصدار، لا إعادةَ تسميةٍ صامتة للاكتشافات السابقة.