← 所有文章

宣布获胜者与证明计票不是同一回事

欧盟观察员见证了刚果民主共和国的整个总统选举完成——却无法追踪单一结果回到其源头。这不是小的疏忽。这就是核心问题所在。

2011年11月28日晚间，刚果民主共和国各地的投票站关闭了。数百万人排过有时长达数小时的队伍。他们在一个与西欧一样大的国家投票,该国的道路在雨季会被冲毁,通信基础设施自几十年战争后从未完全恢复。选票确实存在。某处,在学校、教堂和临时计票中心里,一摞摞的纸张代表了刚果公民的选择。

然后结果出现了——欧盟选举观察团已在全国部署观察员,付出了相当的代价和风险,但他们无法将这些结果追踪回任何东西。

无法追踪到观察员可以检查的投票站级表格。无法追踪到从本地统计到国家总数的可验证链条。无法追踪到可以公开测试争议的有效法院。该团队的最终报告后来得出结论,选举委员会在当地和全国汇总及公布初步结果时缺乏透明度,而且没有有效的宪法法院意味着结果争议是在没有充分的、透明的司法程序下处理的。观察员甚至被拒绝接触相关法院判决。

一个获胜者被宣布了。但宣布和证明不是同一回事。

当一个数字没有源记录时,它不是结果——而是一个声称

想想结果真正是什么。它是一系列较小数字的链条:每个投票站的计数,汇总成地区总数,然后是省份总数,再然后是国家总数。这个链条中的每一环都必须是可见的——记录在观察员、失败的候选人、公民或记者可以拿出来并对照前一环检查的表格中。

当这个链条没有被公开——当汇总发生在观察员无法进入的房间里,或在一个没有显示其工作过程就产生总数的服务器上——被宣布的不是经过验证的计票。它是关于计票是什么的一个主张。

结果和声称的区别在于任何人都能追踪的纸张记录。

这不是一个激进的标准。肯尼亚的宪法在其2017年总统选举之前,明确要求投票是"可验证的、安全的、负责任的和透明的"。当结果系统未通过这个测试时——当不是所有投票站表格都被电子传输(如要求的那样),最终统计没有水印或序列号——最高法院完全撤销了该结果。主席在收到所有基础源文件之前就宣布了获胜者。法院的多数意见认为这还不够,并下令进行新的选举。判决书清楚地说明了理由:如果你无法检查它是从哪些表格构建的,你就无法验证总数。

在2011年的刚果民主共和国,机制更早更彻底地失败了。从单个选票到国家宣布的链条从未变成公开可见的。没有肯尼亚式的传输协议可以对照检查。没有法院愿意或能够在公开场合处理争议。因此获胜者就是选举委员会说的那个人——这正是"透明度缺失"在实践中的含义。

这个问题不是脆弱国家的专属

人们很容易将刚果民主共和国2011年的经历理解为一个特定地点在特定制度发展水平上的故事——在资源更丰富、民主传统更长的国家无法发生的事情。那会是一种安慰。但这不准确。

在2019年的马拉维,总统选举被推翻,因为官方结果表被涂改液修改过。统计发生在纸上,这是一个有有效法院的国家——但源文件、那些应该是每个投票站计票的不可变记录的统计表,结果证明是可以改变的。上诉法院的判决认定这破坏了宣布结果的可验证性。统计表上的涂改液是同一问题的低技术版本:一个作为计票出现的数字,没有可靠的链条回到实际记录的内容。

在2017年的委内瑞拉,构建和运营投票机的公司——Smartmatic——公开声称它"毫无疑问"地知道官方宣布的投票率被操纵了至少一百万张选票。该公司的声明描述了一种情况,即使系统的运营者也无法将官方总数与机器记录的内容调和。没有独立的审计线索,其他人也无法做到。

这些不是完全相同的失败模式。但它们共享一个架构:一个产生宣布总数的流程,而不公开源记录,这些源记录本来可以让任何人独立重建——因此质疑或确认——它是如何达到的。

源文件不是官僚程序上的形式。它们是证明。

当德国联邦宪法法院在2009年禁止电子投票机时,法院的理由非常精确。它指出投票和计票的基本步骤必须是普通公民"不需要任何专业知识"就能检查的。判决不是关于机器是否作弊。而是关于除了专家之外的任何人是否能验证它没有作弊。一个正确性取决于信任机器内部记录的流程不是一个可验证的流程。

同样的逻辑适用于结果汇总,而不仅仅是进行计票的机器。如果总数的汇总发生在公众无法看到的房间里,使用公众无法读取的记录,由公众无法访问的法院验证,那么宣布的总数的独立检查性不超过封闭式投票机的输出。

荷兰政府在2007年对其自身的投票计算机得出了同样的结论。其选举委员会的最终报告——Stemmen met vertrouwen,充分信任地投票——坦率地指出"选举过程中没有秘密",关于计票的问题必须是"可以回答的,答案是可检查和可验证的"。荷兰回到了在公众面前手工计票的纸质选票。不是因为计算机是邪恶的,而是因为计票必须是可检查的。

一个无法从公开源记录独立重建的结果不是一个经过证明的结果。它是宣布它的人提出的一个主张。

司法差距与透明度差距同样危险

欧盟团队关于2011年刚果民主共和国的发现有第二个部分,往往受到的关注较少:没有有效的宪法法院来透明地处理争议。

这很重要,有一个具体的原因。即使结果是公开的,争议也会出现。有些是合法的;有些是琐碎的。区分它们的机制——审查证据、听取论证并公布其理由的独立法院或仲裁庭——本身是可验证性基础设施的一部分。

当这个机制不存在或无法访问时,失败的候选人无处可去。更关键的是,获胜的候选人没有独立的论坛来证明胜利是干净的。每个人都被迫信任宣布结果的权力机构。这不是验证;这是服从。

奥地利宪法法院在撤销2016年总统决选时,发现邮寄选票在法律允许前被未授权人员处理,数量超过了获胜票数。法院的决定没有发现欺诈证据。但它仍然撤销了,因为程序链条——本来可以证明欺诈没有发生的东西——被破坏了。这是一个独立司法者应该应用的标准:不是"有人作弊吗?"而是"任何人能证明他们没有作弊吗?"当答案是否时,无论谁赢了,结果都是无法验证的。

在2011年的刚果民主共和国,源记录和法院都不可用来回答这个问题。

什么是"结果透明度"实际需要的

短语"结果透明度"有时被用来指在网站上公布最终总数。这是一个起点,不是目标。

真正的结果透明度意味着在每个汇总级别——投票站、地区、省份、全国——都有一个公开的、机器可读的记录,带有显示何时以及由谁输入每个记录的时间戳。这意味着基础源表格(来自每个计票地点的纸质或数字记录)对任何想检查算术的观察员都是可用的。这意味着汇总过程是公开进行的,或者至少在所有竞争方方代表和独立监测员在场的情况下进行。

这意味着一个独立司法者,当争议被提出时,它能够——并且必须——公布其理由。

这些都不需要非凡的技术。它需要的是对一个原则的承诺:计票属于公众,不属于进行它的权力机构。肯尼亚法院在2017年说过这一点。奥地利法院在2016年说过。德国的在2009年说过。荷兰委员会在2007年说过。欧盟团队在2011年关于刚果民主共和国说过。

教训不是复杂的。宣布获胜者是一个行动。证明计票是一个不同的行动,它需要公开可见的源文件、透明的汇总过程和可访问的独立司法者。

跳过这些步骤并称之为选举就像提交一份诉状并称之为判决。

什么会使其可以被检查——由任何人

这就是一个完全可验证的结果流程看起来的样子,以及在几乎所有地方仍然缺少的东西。

**当存在时有效的东西:**由所有方代表签署的投票站级结果表格,在汇总前公开张贴。每个投票站总数的机器可读导出,可以下载为开放格式,带有时间戳,累积相加在发生时可见。(美国选举协助委员会自身的指导敦促正是这样,一些司法管辖区如爱达荷州已经在投票站级别这样做了。)一个风险限制审计或对检查机器总数与物理源选票的完整手工计数,如科罗拉多在2017年开创的,格鲁吉亚在2020年大规模执行的。还有一个有独立性、访问权和透明度的法院或仲裁庭,可以在公开场合测试争议的主张。

**在大多数地方仍然无法独立检查的东西:**将投票站总数编译为地区和国家数字的软件。结果数字传输的链条控制。在争议发生时在幕后的司法程序。以及——至关重要的——机器从选票中读取的数字是否反映了选民标记的内容,这是美国地区法院在Curling v. Raffensperger案件中识别的差距,当时它发现格鲁吉亚的二维码统计系统产生的记录选民无法读取和验证。

2011年的刚果民主共和国在这些点中的几乎每一点都失败了。但在任何一个点的失败都会留下一个差距,坏的行为者——或诚实的错误,或机械故障——可以默默地通过。

值得分享的要点

政府或选举委员会宣布一个结果是验证过程的开始,不是结束。宣布是一个主张。把它变成经过证明的结果的是从单个选票到最终总数的公开可见的链条——任何人都能检查的源表格,任何人都能审计的汇总,任何人都能观看的法院。

"结果已被宣布"和"计票已被证明"不是同一句话。 它们之间的距离是选举通过操纵、错误或没有人能检查的静默缺失而赢得和失去的地方。

关闭这个差距的技术——机器可读的投票站级报告、防篡改的源记录、加密审计线索——已存在并可以立即部署。在大多数地方缺少的不是工具。而是将可验证性视为不可协商的要求而不是可选的额外项目(当不方便时官员可以放弃)的承诺。

在那之前改变,"我们宣布了获胜者"会一直被与"我们证明了计票"相混淆。它们不是同一回事。它们从来不是同一回事。

查看这个透明度差距在全球选举中有多普遍 →

阅读可验证结果需要什么的两分钟版本 →

探索无法独立检查的已记录结果案例 →

来源

查看所有文章探索漏洞