← Все статьи

Зависший чад и стандарт, который никто не записал

Выборы на Флориде в 2000 году провалились не из-за мошенничества — они провалились, потому что никто не записал, что должно означать наполовину пробитое отверстие в избирательной карточке.

Это ночь выборов, 7 ноября 2000 года, и где-то в округе Палм-Бич, Флорида, член избирательной комиссии держит маленький прямоугольник из картона против света.

Она щурится на отверстие, которое не совсем отверстие. Чад — крошечный квадрат картона, который должен был быть чисто пробит стилусом — все еще прикреплен. Он помят. Согнут. Беременный, если говорить языком, который вскоре станет печально известным. И ни у кого в комнате нет правила, что с этим делать.

Этот момент — не флоридская аномалия. Это окно в проблему, которая пронизывает каждую когда-либо созданную избирательную систему: физический документ ничего не значит без заранее определённого, публично известного стандарта его прочтения.

Технология, спроектированная на молчаливый отказ

Избирательная карточка для перфорации уже была старинкой к 2000 году. Карточки стиля Votomatic использовались с 1960-х годов, и администраторы выборов уже много лет знали, что они производят «неполные голоса» — избирательные бюллетени, которые машина подсчета просто отказывалась регистрировать — в размере примерно 2 процента. В заключении Bush v. Gore Верховного суда США это отмечалось ясно.

Два процента звучит незначительно. Умножьте это на количество поданных голосов на президентских выборах в крупном штате — и вы получите десятки тысяч голосов, которые машина молча отложила, ожидая, пока кто-нибудь посмотрит на них вручную.

Проблема была не в том, что Флорида перешла к ручному переподсчету. Проблема была в том, что никто не решил до дня выборов, что должен был найти этот ручной переподсчет.

Правило, которого не существовало

Когда Флорида приказала ручной переподсчет неполных голосов, избирательные комиссии графств разъехались по всему штату и начали проверять бюллетени. То, что они нашли, — это были не чисто пробитые карточки и не чисто непробитые карточки. Они нашли спектр: полностью отделённые чады, чады, свисающие за один угол, чады, свисающие за два, чады с простыми вмятинами, чады, сквозь отверстие которых был виден свет под определенными углами.

Какой из этих чадов был голосом?

Разные графства ответили по-разному. Разные команды в одном и том же графстве ответили по-разному. И — роковым образом — не было общегосударственного стандарта, который сказал бы кому-либо, какой ответ был правильным.

Верховный суд сосредоточился именно на этом. В деле Bush v. Gore большинство судей постановило, что применение различных стандартов к идентичным бюллетеням нарушает пункт о равной защите, так как эффективно ценило выбор некоторых избирателей по-другому, чем других. Помятый чад в округе Бровард мог быть засчитан как голос. Идентичная помятость в округе Seminole могла быть не засчитана.

Суд пришел к выводу, что переподсчет, соответствующий равной защите и надлежащему судебному разбирательству, потребует, как минимум, «адекватных общегосударственных стандартов для определения того, что является действительным голосом». И он постановил, что времени на разработку и реализацию этих стандартов перед федеральным сроком сертификации выборщиков не было.

Выборы не были украдены. Они были неразрешимыми — потому что документ был неоднозначным, а правило его прочтения не существовало.

Две проблемы, а не одна

В этот момент выборы на Флориде в 2000 году наиболее ясно проявляют суть, а комментарии к ним часто эту суть размывают.

Люди сосредотачиваются на зависшем чаде как на проблеме оборудования: избирательная карточка была плохой технологией, поэтому замените её. Такой вывод правильный, но он неполный.

Более глубокий отказ был эпистемическим. Вам нужны две вещи для того, чтобы результат был независимо проверяем: однозначный физический документ и заранее определённое, публично известное правило его прочтения. Флорида в 2000 году не имела ни того, ни другого. Избирательная карточка производила неоднозначные отпечатки. И правило интерпретации этих отпечатков было изобретено графством за графством, после того как произошли события, под огромным политическим давлением, в реальном времени.

Замена избирательной карточки на оптические бюллетени решает часть проблемы. Избиратель заполняет овал; машина читает овал; бумажный бюллетень выживает для переподсчета. Но даже оптические отметки существуют на спектре — легкий штрих карандашом в сравнении с жирной линией ручкой, случайная пометка рядом с овалом, отметка, кровоточащая на двух кандидатов. Каждая юрисдикция, которая подсчитывает бюллетени вручную, должна принимать решения об определении. И каждое решение об определении — это момент, когда «правило» прочтения документа применяется — или изобретается — тем, кто держит бюллетень.

Ручной подсчет — это не золотой стандарт, как его часто называют. Это человеческий процесс, который несет в себе собственную неустранимую погрешность. В округе Antrim, Мичиган, в 2020 году полная ручная проверка примерно 15 700 президентских бюллетеней все еще отличалась от машинного подсчета примерно на дюжину голосов. Двенадцать голосов. При ручном подсчете, предназначенном для подтверждения правильного результата. Департамент государства Мичигана открыто сообщил об этом.

В гонке, решённой несколькими голосами, метод, который сам по себе неопределён на несколько голосов, не может окончательно разрешить вопрос. Это не причина отказаться от ручного подсчета — это причина требовать что-то лучшее, чем «мы считали это вручную» в качестве окончательного ответа.

Законодательное исправление Конгресса, которого оказалось недостаточно

Конгресс понимал в результате выборов на Флориде в 2000 году, что проблема была отчасти технологической. Закон об оказании помощи Америке в голосовании от 2002 года создал Комиссию по оказанию помощи в выборах, установил минимальные федеральные стандарты для администрирования выборов и профинансировал замену систем перфокарт и рычажных машин по всей стране. Десятки миллионов долларов потекли в новое оборудование.

То, чего HAVA не делал — и не мог делать только законодательством — это гарантировать, что новое оборудование будет производить документы, которые были бы однозначными, защищены от подделки и публично проверяемы в соответствии с заранее определённым стандартом интерпретации.

Через три года после принятия HAVA, аудит GAO (GAO-05-956) выявил, что федеральные усилия по улучшению безопасности и надежности электронных систем голосования были в процессе, но ключевые мероприятия остались незавершенными. Механизм обеспечения проверяемости — стандарты, процедуры сертификации, инфраструктура обмена информацией об уязвимостях — все еще собирался годы спустя после кризиса 2000 года. Замена плохого оборудования — это не то же самое, что построение проверяемой системы.

И оборудование, которое заменило избирательную карточку во многих графствах, было в одном смысле хуже: сенсорный экран DRE без бумаги. В округе Sarasota, Флорида, в 2006 году примерно 18 000 голосов на выборах в Конгресс просто исчезли — уровень неполных голосов примерно 13 процентов на машинах без бумаги в гонке, решённой 369 голосами. Тестирование GAO не смогло выявить неисправность машины, но также не могло её исключить, потому что не было проверенного избирателем бумажного следа для проверки. Избирательная карточка, при всех её недостатках, по крайней мере оставляла физический артефакт, по поводу которого люди могли спорить. DRE не оставлял ничего.

Проблема стандарта не исчезает с бумагой

Вот что делает урок Флориды действительно сложным: даже когда у вас есть бумага, вам все еще нужно правило.

На президентских выборах в Джорджии в 2020 году общегосударственный ручной переподсчет всех пяти миллионов бюллетеней подтвердил машинный подсчет с точностью до примерно одной десятой процента — замечательный результат учитывая масштаб. Но это упражнение сработало частично потому, что разница в Джорджии, хотя узкая, была несколькими тысячами голосов. Решения об определении, принятые в отношении неоднозначных отметок — а они всегда есть — не изменили результат.

Что насчет гонки, решённой пятьюдесятью голосами из пяти миллионов голосов? Тогда каждое решение об определении, принятое каждым столом счетчиков, становится потенциально решающим. И правило, которое эти счетчики применяют — какие отметки считаются, какие нет, кто разрешает спор — должно быть записано, открыто доступно и применяться одинаково за каждым столом, иначе вы вернетесь в округ Broward в 2000 году с лучшей бумагой.

Это не гипотетическая проблема. Судебно-техническая проверка в Windham, Нью-Гэмпшир в 2021 году, приказанная законодательным собранием штата после того, как ручной подсчет дал другие итоги, чем машины, выявила, что складки на заочных бюллетенях были считаны сканерами как заполненные овалы — в размере между примерно 20 и 72 процентами в зависимости от условий. Никакого мошенничества. Никакого вредоноса. Механический артефакт, неправильно считанный как намерение избирателя. «Документ», который произвела машина, был неоднозначным. Ручной подсчет разрешил его — но только потому, что аудиторы имели четкое правило (читайте фактическую отметку избирателя, а не интерпретацию сканером складки) и прочные бумажные бюллетени для работы.

Документ должен быть однозначным. Правило его прочтения должно быть заранее определено. И оба должны быть публично известны до того, как кто-либо начнет считать.

Что на самом деле требует «проверяемость»

В октябре 2020 года в решении Curling v. Raffensperger Окружной суд США Северного округа Джорджии установил, что устройства для маркировки бюллетеней Джорджии не обеспечивают проверяемый и подлежащий проверке запись о бюллетене — потому что машины табулируют из QR-кодов, которые избиратели не могут читать. Вы можете посмотреть на свой отпечаток. Вы не можете подтвердить, что штрих-код кодирует то, что вы отметили. То, что считается, — это не то, что вы можете проверить.

Бумажный отпечаток — это не то же самое, что однозначный, проверяемый избирателем документ. Это только то, если: та часть, которая читается человеком, это то, что табулируется, человеческие отметки однозначны, и стандарт для чтения неоднозначных отметок записан и открыт.

Немецкий Федеральный конституционный суд инстинктивно это понимал. В его знаковом решении от 2009 года суд постановил, что демократическая легитимность требует, чтобы «существенные шаги голосования и определения результата могли быть проверены гражданином надежно и без каких-либо специальных знаний». Не экспертом. Не судом. Гражданином. Без специальной подготовки.

Это высокая планка. Она исключает системы, в которых «проверяемый документ» требует криптографических знаний для декодирования. Она исключает системы, в которых стандарты определения существуют только во внутреннем учебном пособии. И она исключает ситуацию, в которой нашла себя Флорида, где стандарт чтения бюллетеня был импровизирован, публично, под взглядом национального телевидения, в гонке, стоящей президентства.

Нидерланды пришли к такому же выводу в 2007 году: их доклад Adviescommissie 'Stemmen met vertrouwen' заявил, что прозрачность и проверяемость (controleerbaarheid) являются неоспоримыми основаниями, и что любой электронный метод допустим только если он производит бумажный голос, который избиратель может проверить. Затем они отказались от машин для голосования и вернулись к бумаге. Это было не технофобией. Это был практический стандарт: может ли гражданин независимо проверить подсчет?

Вопрос, оставленный открытым Флоридой

Закон об оказании помощи Америке в голосовании заменил большинство систем перфокарт. Но он не написал правило для чтения неоднозначных отметок. Он не требовал, чтобы стандарты определения были опубликованы перед выборами, в машиночитаемой форме, и применены одинаково каждой избирательной комиссией. Он не требовал, чтобы любой наблюдатель — не просто представитель партии, но любой гражданин — мог скачать результаты на уровне участков и проверить их в соответствии с определённым, опубликованным стандартом.

Американская комиссия по оказанию помощи в выборах призывает должностных лиц публиковать результаты в машиночитаемых форматах. Некоторые юрисдикции это делают. Большинство не делают, по крайней мере не полностью, по крайней мере не в реальном времени. NCSL записывает, что большинство штатов сообщают на уровне участков — но «большинство» это не «все», и «сообщают» это не «публикуют мгновенно в форме, которую кто-либо может согласовать».

Зависший чад ушел. Основная проблема — нет.

Результат проверяем только когда две вещи верны одновременно: запись о намерении каждого избирателя однозначна и защищена от подделки, и правило чтения этого документа открыто, заранее определено и применяется одинаково везде. Если отсутствует одна половина, результат — это не факт. Это утверждение.

Прямо сейчас, в большинстве юрисдикций, стандарт определения — правило о том, какие отметки считаются — живет в папке с обучением, или в административном правиле штата, которое большинство избирателей никогда не читали, или в решении избирательной комиссии, собранной под давлением в ночь после выборов.

Это не проверка. Это подчинение. И подчинение власти — каким бы благонамеренным оно не было — это то, что выборы на Флориде в 2000 году доказали недостаточным.

Что действительно закроет разрыв

Исправление не сложно описать, даже если его сложно построить.

Во-первых: сам бумажный документ должен быть однозначным по конструкции. Отмеченный избирателем овал или писанный от руки выбор должны быть тем, что считается — не QR-код, не внутренний регистр памяти, не интерпретация машины складки.

Во-вторых: стандарт определения — каждое правило о том, что составляет действительную отметку, что составляет переголосование, как рассматривается случайная отметка — должен быть опубликован перед тем, как начнутся выборы, на простом языке, в форме, которую может прочитать и применить кто-либо. Не после. Перед.

В-третьих: каждый результат, на каждом уровне, должен быть опубликован в реальном времени при сертификации — участок за участком, в машиночитаемом формате, который может скачать и согласовать кто-либо. Не потому, что должностные лица нечестны, но потому, что честность — это не суть. Проверяемость — это суть. Результат, который никто не может независимо проверить, — это не подтвержденный результат; это утвержденный.

Ничего из этого не требует доверия поставщику, государственному секретарю или суду. Это требует системы, спроектированной так, чтобы вы — читающий это, без специальных знаний — могли сесть с открытым документом и подтвердить подсчет сами.

Вот что было отсутствующим в округе Палм-Бич в ночь 7 ноября 2000 года, когда кто-то держал прямоугольник картона против света и никто не мог согласиться о том, на что они смотрят.

Посмотрите, насколько распространён разрыв неоднозначного документа по разным странам и системам — изучите атлас. Или прочитайте двухминутную версию о том, почему проверяемость — это настоящий стандарт здесь. Для более глубокого взгляда на конкретные разрывы, которые эта проблема создает в современных системах, начните здесь.

Источники

Все статьиИзучить уязвимости