← 所有文章

什么区分真正的审计和走形式的审计

每次选举都会有一次"审计"。但几乎没有任何审计能够改变结果——这个词做了很多工作来掩盖这一点。

时间来到2020年11月4日早上，新罕布什尔州温德姆镇的一个文书办公室面临一个问题。选票已经计算完毕。机器打印了计票纸带。四名州众议院共和党候选人赢得了他们的席位——但胜利幅度比任何人预期的都要微弱。其中一位候选人克里斯蒂·圣洛朗只以24票的差距输给了第四名共和党人。

她的竞选团队要求进行人工重新计票。

人工计票的结果出来了。圣洛朗仍然输了——但数字有所变化。四名共和党人都各获得了大约300张额外选票。比赛中的每位民主党人都各失去了大约99张选票。在这个小镇的比赛中，机器计票和人工计票相差了数百张。这种差异并不微妙，也不是舍入误差。

这是一条需要解释的明显线索。

真正的审计应该是什么样的

新罕布什尔州做了大多数地方都不会做的事情。根据SB 43法案，州立法机关下令进行全面取证审计——不是重新计票，不是新闻稿，不是州务卿办公室的安慰声明。这是一次取证审计，由独立专家进行：哈里·赫斯蒂、马克·林德曼和菲利普·斯塔克，他们是美国最具资格的选举安全研究人员中的三位。

他们获得了对机器的访问权。他们获得了对选票的访问权。他们进行了实验。

他们的发现如下：该镇租用的用于准备缺席选票的折叠机没有沿着印刷的折线折叠纸张。折痕直接穿过了投票目标椭圆形。AccuVote光学扫描仪——这是2006年被普林斯顿研究人员研究过的同一系列机器，当时阿里尔·费尔德曼、J·亚历克斯·哈尔德曼和爱德华·费尔滕展示了一分钟的物理接触如何能够危害整个系统——将大量折痕读取为标记的椭圆形。该团队估计约44%穿过投票目标的折痕被解释为选票。试验运行产生的比率从大约20%到超过72%不等。白色粉末也在扫描仪内部积累，阻碍了透镜。

没有恶意软件。没有欺诈。没有篡改。只是折痕位置不对，导致数百张选票被无声地错误计算。

**该报告得出结论，选举总体上管理得很好。**慢慢读这句话。在一个正常的民主国家，由能干官员管理的管理良好的选举，产生了在24票差距的比赛中数百张选票的误差——没有人会知道，除非进行一次真正独立、具有约束力、实际检查了物理证据的取证调查。

这就是真正的审计应该是什么样的。它是具有约束力的（立法机关下令进行），独立的（该团队与进行计票的官员没有关系），以及基于证据的（他们检查了纸张、机器和测试运行，而不仅仅是官方证明）。它产生的发现可以——并且确实——改变了关于发生了什么的事实记录。

完整的SB 43取证审计报告是公开的。你可以阅读每一个方法论决定、每一个实验结果、每一个注意事项。这种透明度不是附带的——这是整个要点。

大多数"审计"实际上是什么

这是一个不舒服的真相，官员们很少主动透露：在美国大多数司法管辖区和世界上许多民主国家，选举后所谓的"审计"是一次没有约束力的抽查，按照设计根本无法改变经过认证的结果。

典型的选举后审计可能检查1%的选票。或5%。或跨投票站的固定样本。样本通常由进行计票的县或州选择。进行检查的人通常是县或州雇员。发现——几乎总是——机器计票看起来是对的，在预期的容限范围内。

审计完成后，无论它发现了什么，结果都保持不变。

从取证意义上讲，这不是审计。这是一个信心仪式。这是一个旨在产生保证而不是挑战权威的程序。"审计"这个词完成了传达严谨性的修辞工作，而不需要法律上要求任何东西。

不能改变结果的审计不是审计。它是一份新闻稿加上额外步骤。

想想"没有约束力"在实践中意味着什么。一位官员抽查了1%的选票。一切看起来都很好。选举被认证。后来，有人发现了一个问题——穿过投票目标的折痕，或像2020年密歇根州安特里姆县一样配置错误的制票机，那里由于文书在最后一刻比赛变更后重新编程了部分但不是所有制票机而发布了错误的非官方结果。在安特里姆，这个错误之所以被发现，不是因为任何审计，而是因为这个结果对于一个可靠的共和党县来说太不可信了，以至于立即引发了审查。一个更微妙的错误，发生在一个竞争更激烈的比赛中，在一个没有人有强烈先验的县中，可能根本不会引发什么。

最终检查了安特里姆州所有总统选票的人工审计与机器计票相差约15,700张选票中的大约十几张。官员们称之为确认。但在由少数票决定的比赛中，一个方法本身偏差数十张选票，根本无法实际解决这个问题。"审计确认了它"是一个保证，而不是证明。

风险限制审计实际承诺的是什么——以及它需要什么

科罗拉多州做了一些真正不同的事情。2017年11月，在其大选之后，它成为了美国第一个完成全州范围风险限制审计(RLA)的州。科罗拉多州务卿于2017年11月22日宣布了完成。

RLA不是固定百分比的抽查。这是一个统计程序，它回答一个具体问题：给定报告的优势幅度，报告的获胜者实际上失败的概率是多少？审计随机抽取选票并将它们与机器进行比较，直到审计达到预设的置信阈值，或样本变得如此之大，以至于原始结果应该被推翻。

关键特征是样本大小随优势幅度扩展。一个由50票决定的比赛需要检查比一个由50,000票决定的比赛多得多的选票。科罗拉多州开始时的风险限制为9%——这意味着认证错误获胜者的概率不超过9%——随后将其收紧到3%。科罗拉多州务卿的RLA常见问题解答用简单语言解释了该方法。

这与没有约束力的抽查有有意义的不同。RLA有一个明确的统计保证。如果审计触发全面人工计票，全面人工计票就会进行。数学是公开的。任何人都可以根据抽样的选票检查置信度计算。

但RLA有一个不可协商的先决条件：一份可信的纸质记录来审计。

这就是佛罗里达州萨拉索塔县变得相关的地方。2006年，在一场由369票决定的国会比赛中，出现了大约18,000张无效票。该县使用无纸张DRE触屏机器。美国政府问责办公室测试了这些系统，没有发现机器故障，但坦率地指出，投票者验证的纸质记录可能已提供独立确认。纸质记录不存在。根本没有独立审计的东西。2006年萨拉索塔的风险限制审计在数学上是不可能的，因为数学所依赖的证据层不存在。

你不能对不留下独立可检查人工制品的系统进行真正的审计。纸质选票不是一个古雅的备份。它是审计的原始材料。

乔治亚州2020证明了什么——以及它留下了什么悬而未决

乔治亚州2020年的选举后审计经常被引用为系统运行良好的证明。它值得比通常得到的更仔细的审视。

在2020年11月总统选举之后，乔治亚州进行了所有大约500万张总统选票的全面人工计票——159个县、41,881个批次，在不到六天的时间内完成。人工计票证实了机器列表的结果，原始计票和人工计票之间的变化约为千分之一。

值得称赞的是：这是一个真正令人印象深刻的选举管理壮举，投票者标记纸质选票的存在使其成为可能。乔治亚公共广播和NPR都对其进行了报道。

但乔治亚州审计无法做到的是：验证它计票的选票是否与投票者打算投的选票相同。乔治亚州使用Dominion选票标记设备(BMD)。投票者触摸屏幕；机器打印带有人类可读文本和二维码的选票。制票机读取二维码。在Curling v. Raffensperger案中，联邦法院在2020年10月引用专家证词，发现该系统"不提供可验证和可审计的选票记录，因为它依赖二维码进行计票，而该代码本身无法被投票者读取和验证。"法院还引用了国家学院2018年的结论，即目前不存在技术机制来确保投票计数应用产生准确的结果。

人工计票审计二维码所说的内容。它无法——也不能——审计二维码是否与投票者在屏幕上触摸的内容相匹配。如果BMD软件在打印前错误地记录了投票者的选择，纸张对手工计票员来说看起来很好，误差将通过每一次审计。

这不是指控。这是逻辑上的限制。**真正的审计需要被计票的人工制品与投票者验证的人工制品是相同的。**当这两件事不同时——当机器读取投票者无法读取的条形码时——审计是在检查机器的输出，而不是投票者的意图。

没有人公开说出的差距

所以我们有一个范围。

一端：温德姆的取证审计。独立专家、具有约束力的授权、物理证据被检查、进行了实验、发现与官方计票不同并改变了关于发生了什么的公共记录。昂贵、缓慢、政治上令人不适，也是我们知道实际发生了什么的唯一原因。

沿着范围往上：科罗拉多州的RLA。在数学上有根据、在置信水平上统计诚实、可扩展到优势幅度。仍然依赖可审计的纸张，仍然要求纸张反映投票者的实际意图，但比固定百分比抽查严谨得多。

另一端：大多数地方的标准选举后审计。没有约束力。由同样进行计票的官员运行。固定百分比，通常很小。无法触发结果变更。实际上旨在产生保证。

大多数选举生活在范围的错误一端。"审计"这个词跨越了所有这些，平等地完成了声誉工作，而它并没有获得。

德国联邦宪法法院在其2009年3月禁止投票计算机的裁决中直言不讳：投票和计票的基本步骤必须是任何公民都可以检查的，无需专业知识。不是官员可以检查。不是供应商可以检查。而是由公民检查。这是民主制度对其投票者所欠的宪法标准。

荷兰政府2007年选举委员会《投票信心》(Stemmen met vertrouwen)从另一个方向得出了相同的结论：透明度和可检查性不是值得信赖的计票的可选功能。它们就是使计票值得信赖的原因。

这两个结论都不激进。两者都遵循同一个简单的前提：没有人能够独立验证的结果不是经过验证的结果。它是一个由宣布它的人支持的已宣布结果。

对官员的信任不同于证明。2017年在委内瑞拉，Smartmatic——自2004年以来为委内瑞拉自动投票系统提供支持的公司——公开声称它"毫无疑问"地知道已宣布的投票率被操纵了，估计实际参与率和已宣布参与率之间的差异至少为一百万张选票。构建该系统的公司否认了该结果。没有独立审计可以求助于。根本没有任何东西。

那是终极案例。但那与温德姆取证审计之间的差距是一个范围，而不是一条明亮的线，大多数选举位于中间某处——使用称为"审计"的程序，功能上更像委内瑞拉的而不是温德姆的。

什么会使它可被任何人检查

解决办法不是信任更好的官员。而是设计不需要这种信任的系统。

真正的选举后审计有三个属性。它是独立的——由与结果没有利益关系且与进行选举的官员没有报告关系的人进行。它是具有约束力的——如果证据支持的话，能够产生不同的经过认证的结果。它是基于证据的——它根据已知和公开的错误率使用的方法检查物理或加密记录与机器计票。

温德姆之所以事后拥有这三个特性，是因为一个立法命令强制它拥有。科罗拉多州的RLA拥有统计严谨性和约束力。如果基础记录——选票——无法被独立验证为反映投票者的意图，则两者都不充分。

更难的结论是：即使是人工计票也带有不可约的人为误差。安特里姆县的人工审计与机器制票相差约十几张选票。乔治亚州的人工计票与500万张选票中的机器计票相差约千分之一。"人工计票确认了它"并不意味着零误差。在由12张选票决定的比赛中，一个方法本身偏差12张选票，无法明确解决问题。在由369张选票决定的比赛中——如萨拉索塔2006——没有任何纸质记录意味着问题甚至无法被提出。

什么会实际上使结果可被任何人检查，是目前零碎存在但很少一起的事物的组合：投票者标记的纸质选票，其标记明确反映投票者的选择；例行、具有约束力、独立的审计，有公开的统计置信水平；结果最终时立即以机器可读的格式发布的投票站级别的结果；以及整个审计跟踪本身是公开和可审计的文件。

这些事物中的任何一个都不需要信任任何特定的官员、供应商或政党。这就是要点。可验证性意味着公众可以检查，而不是官员已经检查过并告诉你结果。

现在，在大多数地方，"审计"这个词意味着后者。温德姆展示了前者是什么样的——事后，在压力下，因为有人人工计票并注意到数字不匹配。

这不应该是我们如何发现问题的方式。

查看非约束力审计差距如何在各司法管辖区显示 | 探索完整案例地图集 | 阅读2分钟版本的这个论点

资料来源

查看所有文章探索漏洞