当投票机公司本身说：不要相信这些数字
2017年，委内瑞拉投票机制造商告诉世界，官方投票率数字是谎言——至少虚报了一百万张选票。没有人能证明否则。
时间是2017年7月30日晚间，委内瑞拉国家选举委员会刚刚宣布，有750万人参加了制宪大会选举。这个数字传到了世界各地的新闻编辑室。各国政府发表声明。反对派称其造假。然后，两天后，发生了一件在地球上任何地方的选举历史中几乎没有先例的事情。
制造机器的公司——编写软件的、管理服务器的、计算每一张电子选票的——走到麦克风前说：我们毫无疑问地知道，这个数字是错误的。不是舍入误差。不是几千张选票的偏差。是至少一百万张。
那家公司叫Smartmatic。
供应商否认计票结果
2017年8月2日，Smartmatic就两天前举行的制宪大会选举发表了公开声明。公司首席执行官表示，该公司"毫无疑问"地知道委内瑞拉国家选举委员会宣布的投票率数字被篡改了，并估计实际参与率与宣布的参与率之间的差距"至少一百万"张选票。
慢慢再读一遍。
制造这个系统的人、比任何活人都更了解其架构的人，说官方数字不值得信任。 不是政治对手。不是外国政府。不是在外部工作的研究人员。是供应商。
自2004年以来，Smartmatic一直是委内瑞拉的自动投票技术合作伙伴。它在整个国家复杂的地理条件下进行了选举。它知道机器记录了什么。而根据Smartmatic的说法，机器记录的东西与政府宣布的不符。
在那份声明之后，Smartmatic退出了委内瑞拉随后的2017年地方和市政选举，并于2018年停止了在该国的所有业务。
这份声明留下的问题——最终来说——是：机器究竟记录了什么？因为没有独立审计，政府以外的任何人都从未能够回答这个问题。
无法弥合的差距
这是结构性问题所在。投票系统产生记录。这些记录由运行系统的人持有。当该机构宣布结果时，唯一能够检查宣布是否与记录相符的人，就是持有这些记录的人。
在2017年的委内瑞拉，这些人是想让750万这个数字成立的政府。
Smartmatic可以说——确实说了——有什么地方出了问题。但即使是Smartmatic的声明也有限制。该公司可以根据自己对系统架构的了解和访问权限说出已知的事情。但它本身无法公布底层机器日志、逐选区总数或密码可验证的审计线索。不是因为它在隐瞒什么，而是因为只有一方能检查的结果，在结构上对其他所有人都无法检查。
这是值得截图的一句话：只有一方能检查的结果，在结构上对其他所有人都无法检查。
这不是委内瑞拉的问题。这不是只存在于专制国家的问题。这是任何选举系统的默认状态——无论其管理者意图多好——如果它不公布防篡改的、机器可读的、独立可验证的每个计票阶段每一张选票的记录。
为什么即使你不住在加拉加斯也应该关心
委内瑞拉案例是极端的。据称操纵的规模——如果Smartmatic的估计是对的——不是舍入误差；是一百万张选票。政治背景没有歧义。
但问题的机制是通用的，它以较温和的形式出现在没有人质疑的选举中。
在2020年的密歇根州安特里姆县，选举之夜发布的结果是错误的——不是因为欺诈，而是因为配置错误。这些数字之所以被发现，仅仅是因为结果对于一个人人都知道其政治倾向的县来说极其不合理。一个更微妙的错误——一个在不改变县的颜色的情况下推动紧争比赛的错误——可能完全未被注意到。即使随后进行的人工审计也相差约十几张选票，提醒我们没有验证方法是完全无缺的。
在2006年的佛罗里达州萨拉索塔县，在一场以369票之差决出胜负的国会竞选中，大约18,000张选票凭空消失。机器没有纸质记录。联邦审计员找不到故障，但他们也不能排除故障的可能——因为没有独立的东西可以对照。机器的说法就是全部了。
在两种情况下——一个是诚实错误，一个是永久谜团——故障模式在结构层面与委内瑞拉的相同：关于发生了什么的唯一证据由产生结果的同一系统持有。
"供应商确认了它"实际上意味着什么
这里有一个听起来令人放心的事件版本：选举机构进行计票，供应商认证系统，审计确认结果，州务卿宣布一切相符。
现在这里是更难的版本：选举机构宣布结果。供应商在选举前认证了一个系统，而不是之后的具体计票。审计由持有选票的同一机构运行。州务卿的宣布基于来自该机构的报告。该链中的每个确认环节都经过同样的手。
这不是阴谋论。它只是对大多数选举审计实际工作方式的描述。审计员通常是值得信赖的、谨慎的，出于善意。但**"可信赖的人确认了"与"任何人都可以独立检查它"不是一回事，**当结果接近或有争议时，这两件事不可互换。
德国联邦宪法法院在2009年划定了这条线，裁定电子投票只有在普通公民——不仅仅是专家——能够为自己检查计票的每个必要步骤时才是合法的。不是因为法院怀疑欺诈。因为一个需要专业知识来验证的结果，而这种专业知识只存在于运行计票的机构，不符合公开民主选举的最低标准。
肯尼亚最高法院在2017年以相同的结构原因宣布一次总统选举无效：不是因为它能证明数字是错误的，而是因为从投票站到国家计票的数字链无法针对防篡改的源记录进行独立检查。原则不是"有人做了什么"。是"房间外的人无法确认他们没有"。
刚果民主共和国测试案例：当观察员进不去时
2011年11月，刚果民主共和国举行了总统和立法选举。欧盟选举观察团在实地部署，遍布全国各地。其最终报告得出了一个应该与委内瑞拉一起阅读的结论：结果不可信。
欧盟观察团发现的不是摄像头前的票站舞弊。是结构性不透明。选举委员会在如何编制和公布地方和全国临时结果方面缺乏透明度。观察员被拒绝访问应该裁决争议的相关法院判决。没有运作的宪法法院意味着没有独立机构可以公开审查计票。
没有人能检查数字。不是因为有人隐藏了明确证据——而是因为程序的架构不包括局外人可以透过的窗口。
那是2011年的刚果民主共和国。那是2017年的委内瑞拉。那在较温和的程度上，是每一个发布最终总数而不发布逐选区、机器可读、防篡改记录的选举系统，这些记录会让任何感兴趣的人自己调和总数。
宣布获胜者不是证明计票。这是两件不同的事。
为什么供应商的话从来就不够
Smartmatic的2017年声明之所以非凡，正是因为供应商几乎从不说这样的话。激励结构完全相反：一个系统与有争议结果相关联的供应商会失去合同。发言在商业上是自我毁灭的行为。
但即使每个选举中的每家供应商都同样愿意说不舒服的真话，供应商证词也不是独立验证。供应商了解自己的系统。它不知道选举机构在系统交出输出后做了什么。它无法审计传输、汇总、最终编制。在委内瑞拉，Smartmatic可以说宣布的数字是错误的。它无法提供经过验证的数字。
这个差距——"有什么地方出了问题"与"这就是正确的，这是证据"之间——是独立的、密码可验证的审计架构设计来弥合的。不是通过信任供应商。不是通过信任机构。通过发布防篡改的记录，使得任何方——记者、反对派候选人、外国观察员、公众成员——都可以自己运算数字并得出相同的答案。
科罗拉多州在2017年进行了美国历史上首次全州风险限制审计。该过程产生了统计证据——与实物纸质选票相关——任何统计学家都可以复制。乔治亚州在2020年手工计算了大约500万张总统选票。纸质存在；计数是公开的；方法是可检查的。这些比什么都没有好。它们不是天花板。
天花板是一个系统，在投票被投出的那一刻就向每张投出的选票发出加密承诺——这样最终总数可以通过证明在数学上，投票人和结果之间没有被添加、删除或更改任何东西，而不是通过再次计数来验证。这种可验证性不需要信任任何官员、任何供应商或任何审计团队。它只需要数学是正确的。
什么仍然无法验证——以及什么会改变它
自2017年7月30日以来，没有人能够独立确认的是：制宪大会选举的实际投票率。
Smartmatic说官方数字误差至少一百万张。政府说没有。没有独立审计线索。没有在计票开始前发布的加密承诺。没有逐选区、机器可读的结果文件，第三方可以下载并对照宣布的总数进行调和。
案件已关闭——不是因为问题得到了回答，而是因为不存在回答它的机制。
这不是委内瑞拉特有的问题。它是存在于任何混淆宣布结果与证明结果的选举系统中的问题。解决方案不是更好的官员。解决方案不是更诚实的供应商。解决方案是一个系统，其设计使得机器记录的、计票汇总的和机构宣布的东西都可以由任何人在计数前、期间和之后进行相互检查，使用没有单一方控制的证据。
供应商不应该再是那个不得不说：相信我，数字是错误的人。架构应该使这对每个人都是可检查的。
看看世界各地宣布的结果和独立可验证结果之间的差距有多普遍：浏览地图。或者阅读两分钟版本，了解为什么可验证性胜过信任：简要版本。关于无法独立确认结果的全球案例地图，请参见差距数据库。