什么是风险限制审计，为什么它很重要？
在一场以369票差距决出胜负的选举中，官员们没有独立的东西可以重新计数——因为投票机没有纸质记录。这个漏洞在你附近的选举中仍然存在。
美国佛罗里达州萨拉索塔县选举夜的凌晨2点，佛罗里达州第13国会选区的计票结果正在屏幕上缓慢滚动。选举以369票的差距结束。但buried在这些数字中的是更奇异的东西：该县大约18,000张选票在该选区中根本没有记录任何选择。不是抗议。不是人口统计的意外。八分之一的选民显然跳过了他们选票上争议最大的竞争。
没人能解释这一点。也没人能检查它。
该县的触屏机器——ES&S iVotronic——没有留下任何独立的纸质记录。当美国政府问责办公室后来测试这些系统时，它无法找出导致欠票的机器故障。它还以联邦审计的克制方式指出，选民验证的纸质记录"本可以提供独立的确认，证明触屏正确记录了选票"。没有这样的记录。GAO的完整报告在这里。
在一场以369票差距决出胜负的选举中，可用的审计方法是：信任机器。
那是2006年。今天的问题是，我们现在拥有的基础设施——纸质选票、选后审计、使用它们的统计工具——是否足够强大，能够用怀疑公民可以独立验证的东西来替代这种盲目信任。答案是：有时候。在某些地方。在某些条件下。而"有时候"和"总是"之间的差距正是整个问题。
审计为什么存在——以及为什么大多数审计都很薄弱
每场选举都会产生一个数字。这个数字来自一台机器、手工计数，或两者兼有。审计试图回答的问题是：所报告的获胜者真的赢了吗？
这听起来很明显。但机制非常重要，因为世界上大多数选后审计实际上并不是为了用统计信心来回答这个问题而设计的。它们的设计看起来像是这样做的。
最常见的类型是固定百分比审计：选举后，官员们抽取一定百分比的选票——比如1%或5%——逐张检查，并将结果与机器计数进行比较。如果匹配得足够接近，大家就可以回家了。这种方法很直观。感觉很严格。但实际上不是。
问题在这里。在一场大幅领先的选举中抽取1%的样本，和在一场以0.1%的票数差距决出胜负的选举中抽取1%的样本在统计工作上是完全不同的。在大幅领先的情况下，即使计数出现中等程度的缺陷也会非常明显，小样本可以捕捉到它。但在势均力敌的选举中——在捕捉错误实际上很重要的地方——那同样的1%样本可能几乎没有机会检测到问题。选举越接近，需要的检查就越多。固定百分比颠倒了逻辑。
然而，固定百分比审计仍然是大多数民主国家的标准做法。审计的表面严谨性和其实际统计能力之间的差距正是计数错误的选举可能无人察觉地消失的地方。
风险限制审计实际上有什么不同
风险限制审计或RLA从相反的方向开始。
它不是问"我们应该检查多少百分比？"，而是问"我们愿意接受错误结果被遗漏的最大概率是多少？"这个概率——风险限度——在审计开始前就设定。率先采用这种方法的科罗拉多州起初设定为9%，后来收紧到3%。5%的风险限度意味着：如果所报告的获胜者实际上失败了，该审计最多有1/20的机会无法捕捉到它。
数学然后从那个保证反向工作，以确定需要手工检查多少张选票。结果是以最好的方式出人意料的：**选举越接近，RLA要求的样本越大。**压倒性胜利可能只需检查数百张选票。以不到百分之一的差距赢得的选举可能需要对司法管辖区内的每一张选票进行全面手工重新计数——这正是乔治亚州在2020年必须做的。
另一个关键要素是值得信赖的纸质记录。RLA不能审计自身的数字账本。它需要物理的、选民标记的选票——选民实际接触过的那种——作为基本事实。萨拉索塔县在2006年没有这样的东西。在那里进行的RLA在数学上将是合理的，但物理上是不可能的。
科罗拉多州，2017年：第一个真正做到这一点的州
2017年11月22日，科罗拉多州国务卿宣布该州已完成美国历史上首次全州风险限制审计。
这不是一个微不足道的声明。许多州进行过审计。科罗拉多州是第一个进行了具有数学定义的置信度的审计的州——原则上任何人都可以通过检查统计工作来验证。这个程序是公开的。国务卿发布的常见问题解答用平白的语言解释了方法。样本量、风险限度、所选选票——全部都有记录。
这很重要的原因不是科罗拉多州的2017年选举有争议。没有。原因是**一个在无争议的选举中证明的方法是当有争议的选举到来时你想要等待的方法。**你不想在争议结果的一周后才发明你的审计基础设施。科罗拉多州在它需要之前就建立了。
科罗拉多州组建的关键要素：强制性纸质选票（物理基本事实）、在选举前设定的公开风险限度，以及以透明、有记录方式抽取的随机样本。移除其中任何一个，统计保证就会崩溃。
乔治亚州，2020年：当数学要求全面手工计数时
科罗拉多州2017年的RLA在统计上幸运地说是有效的。差距足够大，相对较小的样本就提供了所需的置信度。
2020年11月的乔治亚州没有那么幸运。
乔治亚州的总统差距足够小，当官员们应用风险限制审计框架时，数学给了他们没有捷径：为了满足所需的置信度，他们必须手工检查每一张选票。大约五百万张。跨越159个县。检查41,881个批次。在不到六天内。
他们做到了。乔治亚州公共广播电台报道手工计数确认了机器制表的结果，原始计数和手工计数之间的差异约为百分之零点一。美国国家公共电台的报道证实了结果。
乔治亚州的情况实际证明了什么：**纸质选票加上合理的审计方法让任何人都可以检查一个接近的结果，而不是接受机器的说法。**五百万张选票。一个可观测的、有记录的过程。任何县级观察者都可以对照自己司法管辖区的总数交叉检查的结果。
这不是小事。这比2006年萨拉索塔县用它的无纸触屏机器、369票差距和18,000个遗漏的选择要大得多。
但乔治亚州的情况也包含一个更微妙的教训。约百分之零点一的差异听起来很小。确实很小。在五百万张选票的选举中，它没有影响结果。但五百万的百分之零点一是五千张选票。在不同的选举中——州立法选举、县委员会席位、以数百而非数千张选票决出的选举——类似比率的手工计数差异可能会有影响。**即使是手工计数的黄金标准也包含不可消除的人为错误。**疲惫的计数员误读选票。额外的标记被不同的人以不同的方式解释。鉴定呼吁——什么算作有效标记？——在不同的桌子上有所不同。
这不是对乔治亚州过程的批评。这是关于任何人工操作系统的限制的一个声明。
密歇根州，2020年：在发布前没有保障时会发生什么
安特里姆县，密歇根州是一个可靠的共和党县。当2020年11月4日晚上的第一份非官方结果显示乔·拜登以大约3,000票领先，大部分选票已计数时，这个数字立即引起审查——不是因为任何内部警报系统，而是因为任何了解该县政治的人都知道这个结果是不可信的。
原因最终是人为错误。县书记员谢里尔·盖伊在对地方选举进行最后一刻更改后重新编程了计数器中使用的一些卡片，但不是全部，所以一些选区数据在编制非官方总数时合并不正确。盖伊说这个错误是她自己的。FactCheck.org的详细账户明确指出这是一个行政错误，而不是软件阴谋。该县在11月5日更正了总数。认证结果未受影响。
为了最终解决这个问题，官员们在12月17日对该县的每一张总统选票进行了手工审计。密歇根州国务卿宣布手工计数——特朗普9,759票，拜登5,959票——证实了选举结果的准确性。
现在停在这里。再读一遍那两个数字。手工计数和机器制表相差大约在大约15,700张选票中的12张。密歇根州国务卿将此呈现为确认。国务卿称其为选举准确性的确认。
但12票的差距实际上意味着什么？
在安特里姆县的总统选举中，以其大幅差距，12票是噪音。它不会改变结果，它可能正好反映了专家会预测的：手工计票期间人为计数错误、模糊选票标记和由不同计数员在不同时刻进行的不同鉴定判断的混合。手工计数不是完美的预言。它是一个高度可靠但不完美的人工过程，其错误率——虽然很小——在任何以类似数字决出的选举中都会成为对话的内容。
安特里姆县说明的更深层问题不是12票。它是更正之前的时刻。安特里姆县已发布账户中的任何内容都没有将内部保障记为在数字发布前捕捉到了错误的数字。错误出现是因为结果明显不可信——任何人都可以观察到的县范围内的政治概况使发布的数字荒谬。**一个更微妙的错误，在一场接近的全州选举中，移动数百张选票而不翻转一个县明显的党派倾向，可能已经完全通过了可信度检查。**你不能对你看不到的东西进行审计。
这是对不依赖可信度作为警报的可验证性的论证。
"我们进行了审计"和"你可以验证审计"之间的差距
RLA听起来像是一个完整的解决方案。在许多方面，它是大规模可用的最佳选后验证工具。但值得精确说明它提供什么和不提供什么。
一个运行良好的RLA提供：
- 一个明确定义、量化的置信度，即所报告的获胜者实际赢了
- 一个由透明且可再现的过程抽取的样本
- 与选民实际标记的物理选票的比较
一个运行良好的RLA仍然要求你信任：
- 正在审计的纸质选票自投出以来没有被改动
- 这些选票的监管链——密封的袋子、上锁的房间、转移日志——在每一步都保持了
- 进行审计的司法管辖区在其自身的审计过程中没有犯错
最后一个不是假设。安特里姆县进行了手工审计，得到了与机器计数相差12的数字。乔治亚州进行了RLA，得到了约百分之零点一的差异。这些是很好的结果。它们不是零。验证审计结果的实体在两种情况下都是同一个政府机构，其工作正在接受审查。
**"审计证实了它"和"国务卿说没问题"是保证，不是证明。**它们可能确实是真实的。但保证不是可验证性。可验证性意味着一个独立方——一个研究人员、一个记者、一个有电子表格的怀疑公民——可以使用相同的输入检查工作并得到相同的答案。
"我们进行了审计"和"你可以独立验证审计"之间的差距正是基于软件和密码学的方法存在的原因。端到端可验证投票系统等技术允许选民在不透露他们如何投票的情况下确认自己的选票被计数，并允许任何观察者在不信任任何单一权威的情况下验证总体结果。这些不是理论：它们存在，一些司法管辖区已经在使用它们的版本。
问题不在于审计是否重要。它们很重要。问题是"我们审计了它"是终点，还是更高标准的开始。
在你自己的司法管辖区寻找什么
在你司法管辖区的下一场选举之前，三个问题值得知道答案：
**首先：你的司法管辖区是否使用选民验证的纸质选票？**如果没有，RLA在数学上是不可能的。没有什么东西可以审计。这是萨拉索塔的情况。如果你的司法管辖区仍然使用无纸触屏机器或没有独立纸质记录的互联网投票，审计对话甚至无法开始。
**其次：你的司法管辖区进行风险限制审计还是固定百分比审计？**差异在最接近的选举中最重要——正是那些产生最多公众关注的。在一场以0.1%的票数差距决出胜负的选举中进行检查2%选票的固定百分比审计可能几乎没有统计能力来捕捉错误的结果。同一选举中的RLA要么捕捉问题，要么明确扩大样本直到捕捉到为止。
**第三：审计结果——所采样选票的ID、手工计数总数、与机器计数的比较——是否以独立观察者可以检查的形式完整发布？**这是大多数司法管辖区，甚至那些进行良好审计的，都不足的地方。发布摘要新闻稿与发布审计数据不同。
对这三个问题的答案告诉你更多关于你当地选举真实诚信的东西，比任何官方声明都更多。
可分享的真相：**一个只能被信任但不能被独立验证的选举不是一个安全的选举。它是一个出于良好意图的选举。**这两者不同，在接近的选举中，区别就是整个故事。