← 所有文章

印度保留了投票机——但加强了纸质检查。为什么？

印度最高法院拒绝废除其投票机——随即下令加强纸质封条和独立抽查。这种紧张关系告诉你"信任"真正需要什么。

时间是2024年4月26日上午，在新德里某处，印度最高法院的两名法官组成的合议庭刚刚读完102页的请愿书。这些请愿要求法院做一件戏剧性的事情：废除该国的整个电子投票系统，或至少要求对每台投票机生成的每一张纸片进行手工计数。

请愿人——民主改革协会和其他组织——并非阴谋论者。他们指出了一个真实的结构性问题：在一次涉及大约9.7亿合格选民、跨越大陆规模国家的选举中，任何公民能够独立验证的电子计数有多少？

法院对两项要求都说了不。

随后它立即下令加强纸质封条、强制安全存放，以及与纸质记录相关的新的争议验证机制。

这种组合——维持投票机、加强纸质检查——值得深思。因为它包含了一个论证，适用于每个曾试图用计算机进行选举的民主国家。

印度的投票机实际上做什么，法院实际上说什么

印度的电子投票机（EVM）是独立的、非联网的设备。它们没有连接到互联网。它们不运行商业操作软件。印度选举委员会将其描述为专门设计的、防篡改的装置。自2013年以来，该系统已与选民可验证的纸质审计跟踪（VVPAT）配对——一个小型打印机，位于玻璃窗后面，在七秒内显示一张纸片，上面显示该机器记录的政党符号和候选人姓名。纸片掉落到选民无法触及的密封盒中。

在民主改革协会诉印度选举委员会案（2024 INSC 341，2024年4月26日判决书）中，印度最高法院拒绝下令回到纸质选票或对VVPAT纸片进行完整的100%手工计数。现有制度——强制性手工验证每个选区五个随机选定的投票站的VVPAT纸片——得以保留。

但法院并未仅仅说"我们信任选举委员会"。它发布了具体指令：

  • 符号加载单元（SLU）——在选举前用于将候选人和政党符号加载到投票机上的设备——在符号加载过程后必须密封和保护，并在宣布结果后至少存放45天。
  • 候选人可在支付费用的情况下，要求在发生争议时验证选区内5%的投票机的烧毁的微控制器内存。

仔细阅读这两项指令。法院不是说投票机没问题，相信我们。它说的是：密封在投票前接触投票机的设备，之后将其保持可检查状态，并给失败的候选人一个针对物理硬件证据提出质疑的机制。

即使是维持电子系统的判决，在每一个焦虑的时刻，也倚靠了独立、基于纸质和硬件的可检查性的逻辑。

这是论证。不是印度的论证——是每个人的论证。

每个国家的每个法院最终都要面对的问题

2009年3月，卡尔斯鲁厄的八名法官达成了现在对核心原则最清晰的司法声明。德国联邦宪法法院在审查2005年联邦议院选举中使用的Nedap投票计算机时认定，电子投票仅当**"投票和结果确定的基本步骤可由公民可靠地、无需任何专业知识地进行审查"**时才是合法的。

不是由经认证的专家。不是由选举当局。由普通公民。

这些机器仅将选票存储在电子内存中，没有选民可以检查的独立可验证的记录。它们未能通过测试。联邦投票机条例被认定为违宪。

印度最高法院在2024年正在处理相同的问题，规模更大，投票机架构不同，得出了不同的结论——但注意它在两个方向上保留的：选民观看掉入盒中的纸质纸片，以及现在可争议的选区可以要求检查的硬件记录。法院在信任一台机器和拥有可对抗该机器进行检查的东西之间划了一条线。

这条线不是印度的发明。它是每个认真的国家法院最终都要求的不可约分的最低限度。

当没有任何东西可检查时会发生什么

2006年佛罗里达州萨拉索塔县案例仍然是没有纸质记录实际上会让你付出什么代价的最清晰的单一例子。在佛罗里达州第13国会选区，大约18,000张选票在该竞选中显示未记录的选择——在无纸质ES&S iVotronic触摸屏投票机上的投票率为13%。该竞选以369票的差距获胜。政府问责办公室测试了这些系统，无法识别机器故障，但指出选民验证的纸质记录可能提供独立证实，证明触摸屏正确记录了选票。

没有东西可以重新计数。没有盒中的纸片。没有选民看着产生的物理产物。投票机说了它说的话，没有独立层来质疑。

不留下可检查痕迹的机器不是计数系统。它是一个声明。

无论其局限性如何，印度的VVPAT制度是对这一结果的结构性拒绝。纸质纸片存在。最高法院正在裁决的问题不是是否应该有纸质记录，而是必须手工验证多少，以及在什么条件下可以检查其下方的硬件。

这是一个真正值得讨论的论证。它与是否有任何检查的论证不同。

为什么五个投票站的样本是真正的紧张关系，而不是舒适的答案

法院保留了在每个选区五个随机选定的投票站手工计数VVPAT纸片的要求。印度有数千个选区。样本很小。

该判决的批评者——以及法院前的请愿人——辩称小型随机样本无法提供证实紧密结果所需的统计信心。这是合法的技术反对意见，而不是边缘反对意见。

比较科罗拉多州的方法：2017年，科罗拉多州成为美国第一个完成全州风险限制审计的州，这是一种根据竞选的紧密程度确定其手工检查样本大小的方法。一场大胜需要一个小样本来确认。一场接近的平局需要检查更多的选票。风险限制审计提供定义的统计信心；固定的五站样本没有，在紧密的竞选中，数学很重要。

印度法院的答案不是说五个站是最优的。它的答案是争议解决的架构——密封的SLU、存放45天、可根据请求进行微控制器验证——提供了不同的检查层，仅靠五站样本无法提供。

该层是否足够是判决未完全解决的技术问题。那个未解决的问题不是这篇文章的论证中的一个缺陷——它正是赋予该判决其紧张关系的问题。

法院维持了投票机。它增加了硬件级别的争议检查。它没有在紧密竞选中提供统计信心的数学保证。这三件事同时为真，任何只告诉你其中一件事的人都是在讲一个舒适的故事。

更深层的问题：七秒窗口上的"验证"实际上是什么意思

这是法院的判决真正保留开放的部分，值得清楚地命名。

VVPAT纸片在玻璃窗后面出现七秒钟。选民观看它。然后它掉入密封盒中。

选民验证的是纸片打印正确。他们没有验证机器计数该纸片是否正确。纸片进入一个密封盒，该密封盒仅在抽样的站点手工计数。

在美国，一个亚特兰大的联邦法院在2020年提出了结构上相似的观察。在Curling诉Raffensperger案中，审查乔治亚州的Dominion选票标记设备时，法院发现该系统"不提供可验证和可审计的选票记录，因为它依赖二维码进行投票计数，而该代码本身选民无法读取和验证"。纸质打印输出存在。计数产物——二维码——不是人类可读的。

印度的情况在架构上不同：VVPAT纸片是人类可读的，计数发生在投票机本身上，而不是编码在条形码中。但结构性问题是相同的：选民验证的产物和决定计数的产物必须是相同的产物，它们之间的联系必须是独立可检查的。

印度法院的新微控制器验证机制是朝着在争议案件中使该联系可检查的方向迈出的一步。它不是作为事项进程对任何公民普遍可用的通用公共验证机制。

这个差距——在法院可以下令作为补救措施的东西和系统应该作为默认值提供的东西之间——是真正的设计论证所在。

为可验证性而设计的系统会是什么样的

印度的判决、德国的宪法标准和荷兰政府2007年的委员会报告（由于明确的理由——选举必须是透明的和可检查的——该报告使荷兰回到纸质选票）都指向相同的规范。

可信赖的计数需要：

  1. 人类可读的、选民验证的物理记录——不是七秒的窗口，而是选民确认且系统保留的持久产物。
  2. 公共审计协议在统计上设计用来捕获错误的结果，按投票差距确定大小，不是为了方便。
  3. 硬件和软件监管链密封、记录且独立可验证——不仅由支付费用的候选人，而是作为透明公共记录事项。
  4. 即时的、投票站级别的结果发布以机器可读的格式，任何人都可以下载并根据纸质内容对账。

这四件事都不需要放弃电子投票。印度的法院没有说放弃它。德国的法院没有说放弃它——它说让普通公民可以检查它。荷兰委员会没有说技术是错误的——它说透明度和可检查性是非协商的，纸质目前提供它们更好。

跨越每个司法管辖区的贯穿线不是对纸张优于硅片的偏好。它是对系统产生公众可以独立审视的证据的需求——不要求任何人信任声明获胜者的当局的证据。

巴西在其投票机上进行官方公众对抗安全测试，邀请任何批准的测试计划的人尝试破坏系统。洛杉矶县建造了一个开源公众拥有的计票系统，这样局外人可以检查代码。科罗拉多州设计了其审计以提供统计信心，而不仅仅是外观。

这些都不是"纸质选票是神奇的"。全部都是"这是证据；来检查一下吧"。

什么仍未解决——什么会使其可检查

印度2024年4月的判决是一个重要的数据点，而不是已解决的结论。

以下是真正保留开放的内容：

  • 五站VVPAT样本尚未被证明在紧密选区竞选中提供充分的统计信心。没有印度法院或选举当局发布过数学分析，证明当前样本接受什么错误结果风险。
  • 微控制器验证机制仅对候选人、仅在争议案件中、仅在支付情况下、仅在5%的投票机中可用。它是一个法律补救，而不是透明的公共审计。
  • SLU密封要求是监管链改进。密封是否独立记录、谁拥有日志、如何表面和裁决不一致未在判决书中公开指定。
  • 投票机软件保持封闭。没有独立研究者发布过关于当前印度投票机的同行评审安全分析，可与普林斯顿团队2006年对Diebold AccuVote-TS的分析或识别出不可检测操纵风险的爱沙尼亚i-投票分析相比。

什么会使其中任何一个独立可检查？

发布样本大小计算。发布密封监管链日志。向独立密码分析开放投票机固件。要求每个选区的VVPAT纸片计数在投票站级别上针对其投票机总数发布，以机器可读格式任何公民都可以下载和验证。

法院移动了指针。指针还没有到"任何人都可以检查"。

这不是一个控告。这是一个设计规范——它与德国在2009年提出的规范相同，与肯尼亚最高法院在2017年执行的规范相同（当时它因结果链无法独立追踪而废除了总统选举），也是使你能够验证的选举和要求你信任的选举之间的区别。

信任不是目标。可验证性是。它们不是同一件事。

查看这个差距在世界各地选举中如何显示 · 阅读两分钟版本 · 探索完整案例档案

来源

查看所有文章探索漏洞