← Все статьи

Без бумаги, без пересчёта: что 18 000 пустых голосов в Сарасоте говорят об избирательной системе

Конгрессная гонка завершилась с перевесом в 369 голосов. В том же округе, на тех же машинах, 18 000 бюллетеней не содержали никакого выбора — и проверить было нечего.

Идёт второй час ночи 8 ноября 2006 года. В комнате без окон в Таллахасси число на экране перестало меняться. Тринадцатый избирательный округ Флориды — полоса прибрежных общин вдоль Персидского залива, проходящая через округа Сарасота и Шарлотт — только что дал один из самых близких результатов в истории выборов в палату представителей. Республиканец Верн Бьюкенен опережает демократку Кристин Дженнингс на 369 голосов из примерно 237 000 поданных по всему округу.

Триста шестьдесят девять.

Это перевес в 0,15 процента. Любой серьёзный пересчёт должен был бы проверить каждый спорный бюллетень. И здесь проблема: в округе Сарасота — округе, дающем подавляющее большинство голосов этому округу — примерно 18 000 бюллетеней не содержали голоса в конгрессной гонке вообще. Не испорченный бюллетень. Не протест. Просто... ничего.

Восемнадцать тысяч четыреста двенадцать пустых голосов. Перевес в 369.

Одно число в пятьдесят раз больше другого. А поскольку машины, создавшие большее число, не оставили никаких бумажных следов, пересчитывать было нечего.

Что на самом деле означает «пустой голос» — и почему 13% это не просто статистический шум

Каждые выборы дают какое-то количество пустых голосов. Избиратели иногда пропускают гонку, которая их не интересует. Это нормально. В типичной конгрессной гонке уровень пустых голосов обычно составляет от одного до трёх процентов.

В гонке за CD-13 округа Сарасота в ноябре 2006 года он составил 13,9 процента.

По всему штату в тех же выборах средний уровень пустых голосов в конгрессной гонке составил примерно 2,5 процента. В соседних округах, использовавших оптические сканеры с бумажными бюллетенями — когда избиратель помечает физический лист, который затем сканируется — уровень пустых голосов в той же гонке был ниже 3 процентов.

Этот разрыв — не статистическая ошибка. Это вопросительный знак размером с конгрессное кресло.

Округ Сарасота использовал сенсорные машины ES&S iVotronic без бумаги — прямые системы электронной записи, или DRE. Избиратель входил, касался экрана, видел краткое содержание своего выбора и нажимал «Отправить бюллетень». Машина издавала звуковой сигнал. Счётчик где-то в флеш-памяти увеличивался. И всё. Никакого бумажного квитанция. Никакого печатного чека. Никакой независимо проверяемой записи того, что выбрал избиратель.

Журнал машины указывал, что 18 412 избирателей отправили бюллетени без выбора кандидата в конгрессной гонке. Он не мог сказать вам, намеренно ли эти избиратели пропустили гонку, пропустили её случайно или пытались голосовать, но их выбор не был зарегистрирован. Он не мог этого сказать, потому что не был разработан для этого. Единственным артефактом каждой транзакции было число, сохранённое на карте памяти.

Управление подотчётности государства изучило проблему. И не смогло найти ответ.

Конгресс в конце концов попросил Управление подотчётности государства провести расследование. Управление протестировало системы. Его следователи проверили машины iVotronic, искали свидетельства программного сбоя и пытались определить, мог ли дефект машин вызвать необычный уровень пустых голосов.

Их вывод в GAO-08-97T был неутешительным — не потому, что они обнаружили мошенничество или неисправность, а потому, что они не могли его исключить. Тесты не выявили неисправность машины, вызвавшую пустые голоса. Но они также заметили, явно, что система проверки бюллетеней, подтверждённая избирателями, могла бы дать независимое подтверждение того, что сенсорные экраны корректно записали голоса.

Прочитайте это ещё раз: собственные аудиторы правительства заявили, что система не имела базового артефакта, необходимого для проверки собственного результата.

Система голосования, которую нельзя независимо проверить, — это не система голосования. Это упражнение на доверие.

Управление не обнаружило мошенничество. Отсутствие бумаги означало, что они также не могли обнаружить, что его не было. Эти два вывода — не одно и то же, и смешивание их — это ровно то, как непрозрачность побеждает подотчётность.

Пересчёт, который не смог произойти

Закон Флориды разрешает ручной пересчёт, когда перевес составляет в пределах 0,5 процента отданных голосов. Эта гонка легко прошла этот порог — 369 голосов на 237 000 отданных хорошо укладывается в него. Кристин Дженнингс потребовала пересчёта.

Пересчитывать было нечего.

Ручной пересчёт требует физических бюллетеней — бумаги, которую можно держать, проверять и пересчитывать. Машины iVotronic сохранили каждый голос в электронной памяти. Вы могли попросить машины пересчитать, но это просто перечитывает те же данные из того же хранилища, которое создало исходное число. Это не независимая проверка; это повторный запуск одного и того же процесса и ожидание другого ответа.

Суды посмотрели на эту проблему и оказались в аналогичной ситуации. Суды Флориды и Комитет администрации палаты представителей США оба провели расследования. Кресло было в конце концов подтверждено за Бьюкененом, и он был допущен. Дженнингс в конце концов отказалась от своего возражения в 2008 году. Никто никогда не установил, что произошло с этими 18 000 голосов.

Гонка Сарасота закончилась не судебным приговором о мошенничестве. Она закончилась пожиманием плечами учреждением, потому что доказательства, необходимые для решения вопроса, никогда не существовали.

Это другой вид отказа — тише, чем мошенничество, сложнее в исправлении, и в некоторых отношениях опаснее, потому что оставляет вопрос навечно открытым.

Почему ручной пересчёт — это недостаточный ответ

Вы можете разумно спросить: даже если DRE проблематичны, разве старомодный ручной пересчёт это не решает? На выборах во Флориде в 2000 году мы все смотрели, как люди прищуриваются на «зависшие края» и спорят об намерениях избирателей. В Джорджии в 2020 году работники избирательных комиссий вручную подсчитали все пять миллионов президентских бюллетеней в 159 округах и подтвердили результат машины с точностью примерно до одной десятой процента. В Колорадо штат пионерски применил аудиты с ограничением риска, которые применяют статистическую строгость к тому, сколько бюллетеней вам нужно проверить, чтобы быть уверенным в результате.

Это подлинные достижения. Но все они зависят от одного, чего не было в Сарасоте 2006: от физического бюллетеня, который действительно отметил избиратель.

Системы оптического сканирования — где вы заполняете пузырьки на бумажной форме, которая затем сканируется — дают вам это. Бумага — это голос. Если сканер ошибаетесь, как это произошло в Виндеме, Нью-Гемпшир, где складка бюллетеня через цель голоса была неправильно прочитана как отмеченный овал, вы можете вернуться к физическим бюллетеням и пересчитать их вручную. Судебно-медицинский аудит Виндема, приказанный законодательством Нью-Гемпшира, точно отследил, что пошло не так: машина для складывания согнула бюллетени вдоль целей голосов, сканер прочитал складку как отметку, и мошенничество не требовалось для создания значительной ошибки подсчёта. Но ошибка была обнаружима, потому что бумага существовала.

С безбумажным DRE нет возврата. Бюллетень, который избиратель видел на экране, никогда не был записан ничем, что человек может прочитать. Пересчёт — это исходный подсчёт. Аудит проверяет не что иное, как собственную память машины.

Это не тонкое различие. Это вся суть.

Стандарт, установленный немецким судом — и что Сарасота не могла соответствовать

В 2009 году Федеральный конституционный суд Германии вынес решение об использовании электронных машин голосования на федеральных выборах 2005 года. Его аргументация была точна. Суд постановил, что использование электронных машин голосования требует, чтобы существенные этапы голосования и определения результата могли быть проверены гражданином надёжно и без специальных знаний. Это вытекает, сказал Суд, из конституционного принципа открытости выборов.

Машины не соответствовали этому стандарту. Поскольку голоса хранились только в электронной памяти без независимо проверяемой записи, которую избиратель мог бы проверить, обычные граждане — не криптографы, не государственные аудиторы, не адвокаты по выборам — не могли проверить подсчёт сами. Машины были объявлены неконституционными.

Суд не аннулировал выборы 2005 года, потому что неисправность не была доказана. Но он провёл линию: демократия не может полагаться на систему подсчёта, правильность которой общество должно просто принимать на веру.

Машины iVotronic Сарасоты не прошли бы этот стандарт. Управление сказало это в более ясном языке: не было доступно независимого подтверждения. Когда 18 000 голосов исчезают в памяти машины, конституционный стандарт суда «обычные граждане могут это проверить» не выполняется.

Комиссия по консультациям избирательного процесса Нидерландов пришла к тому же выводу в своём отчёте 2007 года, Stemmen met vertrouwen — «Голосование с доверием». Её основной вывод: нет секретов в избирательном процессе, и вопросы должны быть разрешимы, ответы должны быть проверяемы и верифицируемы. Любой электронный метод приемлем только если он создаёт бумажный голос, который избиратель может проверить. Нидерланды впоследствии вернулись к бумажным бюллетеням и ручному подсчёту.

Обе страны — одна через конституционное решение, другая через правительственную комиссию — пришли к одному и тому же ответу. Стандарт — это не «кто-нибудь доказал, что что-то пошло не так?» Стандарт — это «может ли общество независимо проверить, что ничего не пошло не так?»

Сарасота ответила на этот вопрос в ноябре 2006 года. Ответ был: нет.

Что на самом деле требует верифицируемость

Вот как бы выглядели проверяемые выборы в округе Сарасота в 2006 году в практическом смысле.

Избиратель касается экрана. Машина печатает бумажную запись — читаемую человеком, показывающую сделанный выбор. Избиратель проверяет эту запись через окно на машине. Если она отражает его выбор, он подтверждает и бюллетень падает в запечатанный ящик. Если нет, он может аннулировать его и попытаться снова.

Это называется подтвёрнутым избирателем бумажным следом аудита, или VVPAT. Это не теоретическая концепция. Это оборудование, которое существовало и было доступно. Вопрос был в том, требовали ли это юрисдикции.

Округ Сарасота в 2006 году нет.

С VVPAT конгрессный пересчёт был бы реальным пересчётом. Работники могли бы проверить 237 000 бумажных записей и подсчитать конкурс CD-13 вручную. Они могли бы обнаружить, что некоторые избиратели действительно пропустили гонку. Они могли бы обнаружить, что подмножество записей не содержало конгрессного выбора, несмотря на то, что избиратель сделал его на экране — свидетельство дефекта машины. Они смогли бы вам что-то сказать. Вместо этого они получили ничего.

Исправление не сложно в концепции. Это было — был — принтер, присоединённый к сенсорной машине, создающий бумажный артефакт, служащий официальным бюллетенем. То, что сделало Сарасоту возможной, — не какой-то экзотический технический отказ. Это был выбор развернуть систему подсчёта без независимого результата вообще.

Разрыв, который именует этот случай

Пустой голос Сарасоты никогда не был объяснён. Это могли быть избиратели, которые действительно пропустили гонку по дополнительному вопросу. Это могла быть проблема пользовательского интерфейса, которая вызвала, что некоторые избиратели пропустили конгрессный конкурс при навигации по длинному бюллетеню. Это могло быть что-то ещё. Мы не знаем, и мы не можем знать, потому что доказательства никогда не были созданы.

Вот урок, достойный внимания. Не «в Сарасоте произошло мошенничество». Нет никакой основы для этого утверждения. Урок ещё более суров: результат, который нельзя независимо проверить, — это не проверенный результат. Перевес в 369 голосов и разрыв в 18 000 голосов сосуществуют в одном округе, в один день выборов, без способа их примирить.

Должностные лица подтвердили результат. Суды отказались его отменить. Конгрессное кресло было присуждено. Ничто из этого не говорит вам, пытались ли 18 000 человек голосовать в гонке и имели ли их выбор молча потеряны.

Сертификация государственного секретаря и решение суда — это институциональные резолюции. Это не ответы.

Разница между «эта гонка была разрешена» и «эта гонка была проверена» — это ровно тот разрыв, который лучшие системы голосования построены для закрытия.

Что бы его закрыло: отмеченные избирателем бумажные бюллетени, обязательные бумажные следы аудита, подтверждённые избирателями, на любой сенсорной системе, регулярные аудиты с ограничением риска, сравнивающие итоги машин с физическими бюллетенями, и результаты на уровне избирательного участка, опубликованные мгновенно и в машиночитаемом формате, так чтобы любой наблюдатель мог проверить числа снаружи. Не потому, что предполагается мошенничество. Потому что верификация — это то, что делает отсутствие мошенничества доказуемым — для вас, а не только для должностных лиц.

Сарасота 2006 — это самый ясный аргумент безбумажной машины против самой себя. Это не создало скандал. Это создало постоянный вопросительный знак — что хуже.

Как выглядят другие разрывы в верификации? Посмотрите, как распространён этот разрыв по всему миру. Хотите двухминутную версию? Прочитайте её здесь. Для более глубокого рассмотрения того, что структурно означает «нет бумаги для пересчёта», см. наш профиль разрыва.

Источники

Все статьиИзучить уязвимости