没有纸质记录，无法重新计票：萨拉索塔的18,000张空白选票说明了什么
一场国会竞选以369票的差距落幕。在同一县、同样的机器上，18,000张选票记录了零选择——没有任何东西可以用来验证。
2006年11月8日凌晨刚过2点，在塔拉哈西一间没有窗户的房间里，屏幕上的一个数字停止了跳动。佛罗里达州第13国会选区——一片横跨萨拉索塔和夏洛特县的墨西哥湾沿岸社区——刚刚产生了数十年来最接近的美国众议院选举结果之一。共和党人韦恩·布坎南（Vern Buchanan）以369票的优势领先民主党人克里斯汀·詹宁斯（Christine Jennings），选区共投出约237,000张选票。
三百六十九。
这是0.15%的差距。任何严肃的重新计票都需要检查每一张有争议的选票。问题出在这里：在萨拉索塔县——该县贡献了该选区绝大多数选票——大约18,000张选票在国会竞选中没有记录任何投票。不是一张废票。不是抗议。就是...什么都没有。
一万八千四百一十二张未投票的选票。落差是369。
这两个数字中，一个是另一个的五十倍。由于产生较大数字的机器没有留下任何纸质记录，因此无法进行重新计票。
"未投票"真正意味着什么——为什么13%是个错误的数字
每次选举都会产生一些未投票的情况。选民有时会跳过他们不关心的竞选。这很正常。在典型的国会竞选中，未投票率通常在1%到3%之间。
在萨拉索塔县2006年11月的第13选区竞选中，它是13.9%。
在同一次选举中，全州范围内的国会竞选未投票率平均约为2.5%。在使用光学扫描纸质选票的邻近县——选民在随后被扫描的纸质选票上标记——同一竞选的未投票率不到3%。
这个差距不是统计学上的巧合。这是一个国会席位大小的疑问。
萨拉索塔县使用的是无纸质的ES&S iVotronic触屏机器——直接记录电子系统，简称DRE。选民进来，触碰屏幕，看到其选择的摘要，然后按"投票"。机器发出嘟嘟声。某处的计数器在闪存中增加。就这样。没有纸质存根。没有打印收据。没有可独立验证的选民选择记录。
机器的日志说18,412名选民投了选票但没有在国会竞选中选择候选人。但它无法告诉你这些选民是故意跳过竞选、意外跳过，还是试图投票却没能成功记录他们的选择。它无法告诉你，因为它在设计上就没有被设计用来告诉你。每笔交易的唯一证明就是存储在内存卡上的数字。
GAO查看了。它也找不到答案。
国会最终要求美国政府问责办公室（GAO）进行调查。GAO对这些系统进行了测试。其调查人员对iVotronic机器进行了全面测试，寻找软件故障的证据，并试图确定机器中的缺陷是否可能导致了异常的未投票率。
他们在GAO-08-97T中的结论并不令人安心——不是因为他们发现了欺诈或故障，而是因为他们无法排除这种可能。测试没有发现导致未投票的机器故障。但他们也明确指出，选民验证的纸质记录本可以提供独立确认，证明触屏机器正确记录了投票。
再读一遍：政府自己的审计人员说这个系统缺少独立验证自身输出所需的基本证明。
一个无法独立验证的投票系统不是投票系统。这是一场信任练习。
GAO没有发现欺诈。缺少纸质记录意味着他们也无法发现没有欺诈。这两个发现并不一样，混淆它们正是不透明如何击败问责的方式。
无法进行的重新计票
佛罗里达州法律允许当差距在投票总数的0.5%以内时进行手工重新计票。这场竞选轻松超过了这个门槛——237,000张选票中369张远在0.5%以内。克里斯汀·詹宁斯要求重新计票。
但没有东西可以重新计票。
手工重新计票需要物理选票——你可以拿着、检查和再次计数的纸张。iVotronic机器将每票存储在电子内存中。你可以让机器重新计数，但那只是从产生原始数字的同一存储中重新读取同样的数据。这不是独立的检查；这是运行相同的流程两次，期望得到不同的答案。
法院审视了这个问题，发现他们同样陷入困境。佛罗里达州法院和美国众议院管理委员会都进行了调查。座位最终被认证为布坎南，他被就座。詹宁斯最终在2008年放弃了她的质疑。没有人曾查清那18,000张选票发生了什么。
萨拉索塔竞选不是以法院判定欺诈而结束。它以机构性的耸肩而结束，因为解决问题所需的证据从未存在过。
这是一种不同的失败——比欺诈更安静，更难解决，从某些方面来说更危险，因为它使问题永久悬而未决。
为什么手工计票不是充分的答案
你可能会合理地提问：即使DRE有问题，不是可以通过老式的手工计票解决吗？在佛罗里达2000年，我们都看着人们盯着悬挂的纸片，争论选民意图。在乔治亚州2020年，选举工作人员手工计票了全州159个县的全部500万张总统选票，并将结果确认到约千分之一的精度。在科罗拉多州，该州开创了风险限制审计，将统计严谨性应用于为了对结果有信心需要检查多少选票。
这些是真正的进步。但它们都依赖于萨拉索塔2006年没有的一件事：选民实际标记的物理选票。
光学扫描系统——你在纸质表格上填空，然后被扫描——提供了这一点。纸张就是选票。如果扫描仪计数有误，就像在新罕布什尔州温德姆发生的那样，其中通过选票目标的折痕被误读为标记的椭圆，你可以回到物理选票并手工计数。温德姆法证审计（由新罕布什尔州立法机构下令）精确追踪了出错的原因：一台折纸机在投票目标处折叠了选票，扫描仪将折痕读作一个标记，无需欺诈就产生了重大的计数错误。但这个错误是可以发现的，因为纸张存在。
对于无纸质DRE，没有回头路。选民在屏幕上看到的选票从未被写入任何人类可以读的东西。重新计票就是原始计票。审计只审计机器自己的内存。
这不是微妙的区别。这是整个比赛。
德国法院设定的标准——萨拉索塔无法达到的标准
2009年，德国联邦宪法法院就2005年联邦选举中投票计算机的使用进行了裁定。其推理很精确。法院认为，使用电子投票机要求投票和结果确定的基本步骤可以由公民可靠地、不需要任何专业知识地检查。法院表示，这源于选举公开性的宪法原则。
这些机器未能达到该标准。因为选票只以电子内存存储，没有选民可以检查的独立可验证的记录，普通公民——不是密码学家，不是政府审计员，不是选举律师——无法自己检查计数。这些机器被宣布违宪。
法院没有使2005年的选举无效，因为没有证明发生了故障。但它画了一条线：民主制度不能依赖于公众必须简单信任其正确性的计票系统。
萨拉索塔的iVotronic机器将不会通过该标准。GAO用更直白的语言说了这一点：没有可用的独立确认。当18,000张选票消失在机器的内存中时，"普通公众可以检查这个"的宪法法院标准没有得到满足。
荷兰选举流程咨询委员会在其2007年报告Stemmen met vertrouwen（"带着信心投票"）中得出了相同的结论。其核心发现：选举过程中没有秘密，问题必须是可以回答的，答案是可检查和可验证的。任何电子方法只有在产生选民可以检查的纸质选票时才是可接受的。荷兰随后回到纸质选票和手工计票。
这两个国家——一个通过宪法裁定，一个通过政府委员会——得出了相同的答案。标准不是"有人证明了什么地方出错了吗？"标准是"公众能否独立验证，没有什么地方出错了？"
萨拉索塔在2006年11月回答了那个问题。答案是否定的。
可验证性实际上需要什么
以实际术语来说，2006年萨拉索塔县的可验证选举是什么样的。
一名选民触碰屏幕。机器打印一份纸质记录——人类可读的，显示做出的选择。选民通过机器上的窗口检查该记录。如果它反映了他们的选择，他们确认，选票掉入一个密封盒子。如果不是，他们可以作废它并重新尝试。
这被称为选民验证的纸质审计跟踪，或VVPAT。这不是理论概念。这是存在且可用的硬件。问题是司法管辖区是否要求它。
萨拉索塔县在2006年没有。
有了VVPAT，国会重新计票将是真实的重新计票。工作人员可以检查237,000份纸质记录，并手工计票第13选区竞选。他们可能会发现一些选民真的跳过了竞选。他们可能会发现一些记录显示没有国会选择，尽管选民在屏幕上做过选择——机器缺陷的证据。他们会能够告诉你一些东西。相反，他们什么都没有。
从概念上讲，解决方案并不复杂。它是——曾经是——连接到触屏机器的打印机，产生作为官方选票的纸质证明。使萨拉索塔成为可能的不是某种奇异的技术故障。这是选择部署一个根本没有独立输出的计票系统。
这个案例揭示的差距
萨拉索塔未投票从未被解释过。它可能是选民真的跳过了一场下游竞选。它可能是一个用户界面问题，导致一些选民在导航一份较长的选票时错过了国会竞选。它可能是别的什么。我们不知道，也无法知道，因为证据从未被创建。
这是值得记住的教训。不是"萨拉索塔发生了欺诈"。没有这个说法的基础。教训更严峻：无法独立验证的结果不是经过验证的结果。 369票的差距和18,000票的缺口在同一县、同一选举日期内并存，没有办法调和它们。
官员认证了结果。法院拒绝推翻它。一个国会座位被授予。这些都没有告诉你18,000人是否试图在一场竞选中投票，却让他们的选择悄悄丢失。
国务卿的认证和法院的裁定是制度性解决。它们不是答案。
"这场竞选被解决"和"这场竞选被验证"之间的区别正是更好的选举系统旨在弥合的差距。
什么会弥合它：选民标记的纸质选票，对任何触屏系统强制实施选民验证的纸质审计跟踪，例行风险限制审计，比较机器总数与物理选票，以及预先发布的分级结果，立即以机器可读的形式发布，以便任何观察者都可以从外部检查数字。不是因为假设欺诈。因为验证是让欺诈的缺失可以被证明——被你，而不仅仅是官员。
萨拉索塔2006年是无纸质机器对自身最清晰的论证。它没有产生丑闻。它产生了一个永久的问号——这更糟。
其他验证差距看起来像这样吗？查看这个差距在世界各地有多普遍。想要两分钟版本？在这里阅读。要深入了解"没有纸质记录可重新计票"在结构上意味着什么，查看我们的差距档案。