← 所有文章

同一场审计，薄弱方法：为什么你如何抽样决定了你发现什么

两个州进行了同一类型的选后审计。一个州能够准确告诉你结果必须错到什么程度才能改变最终胜负。另一个州做不到——但仍然进行了认证。

时间是2021年10月，威斯康星州立法审计局的一支团队正在尝试做一件听起来很直接的事：检查2020年11月的选举是否按照规则进行。

问题在这里。审计直到选举日后三个月才获得批准。当审计员到达时，关键时刻已经过去。他们无法观察发生了什么。他们只能阅读已经记录的内容。

所以他们调查了1,835名市镇书记员。他们审查了来自29个市镇的14,710份缺席投票证书信封。他们检查了175项设备测试。他们发现的不是被盗选举的证据——但这也不是一份干净的无问题报告。只有50.3%的所需设备测试在选举前10天的法定时限内完成。24个人似乎有两个活跃的选民登记。其中四人可能投过两次票。该报告提出了30项建议并为议会提出了18个问题。这很重要，措辞谨慎，具体明确。

然后是对这篇文章最关键的一句：由于审计直到选举后三个月才获得批准，审计员没有直接观察选举日，而是依赖现有的证据。

三个月后的审计无法看到凌晨2点选票被运送时发生了什么。它无法看到哪个扫描仪扫描了哪张选票。它只能询问人们记得什么，并检查文件是否相符。

这不是对计数的审计。这是对计数记录的审计。这两者完全不同。

审计实际上应该做什么

这是每一次选后审计都必须回答的问题：如果机器出错了，我能推翻已宣布结果的多大部分？

这个问题听起来很抽象。让它具体化。想象一堆纸质选票——比如说，15,000张，装在仓库的密封袋子里。扫描仪说候选人A领先400票赢得了比赛。你想知道这是否正确。

你有两个选择。

第一个选择： 拉取一个固定百分比的堆——比如说5%，750张选票——并手工计数。如果它们大致与机器计数相符，宣布成功。

第二个选择： 从数学上计算，根据已宣布的差距，你需要手工检查多少张选票才能以一定的统计概率发现错误的结果。如果这场比赛是由15,000张中的400票的差距决定的，这个数字可能是几乎所有。如果是由5,000票的差距决定的，这个数字可能很小。

第一种方法告诉你样本相符。它对你没有拉取的样本是否相符——或者一个每个选区转移投票1%或2%的系统性错误（足够小以保持在样本噪声范围内）是否可能改变赢家——一无所知。

第二种方法——风险限制审计（RLA）——围绕一个可检验的声明构建：我有X%的信心已宣布的赢家确实赢了。 置信度不是被声称的。它来自样本大小相对于差距的推导。RLA从数学保证而不是官员的话语中获得权威。

这种差异——仪式和统计测试之间的差异——就是这篇文章所讲的内容。

科罗拉多州的答案

2017年11月，科罗拉多州成为美国第一个完成全州风险限制审计的州。州务卿在11月22日宣布了这一点。科罗拉多州从9%的风险限制开始——意味着审计的设计目标是最多有9%的机会无法发现错误的结果——后来将其收紧到3%。

用简洁的语言，"9%风险限制"是什么意思？这意味着：如果已宣布的赢家实际上失败了，这次审计至少有91%的机会发现错误并触发完全计数。这不是对欺诈不可能的承诺。它是对审计实际能够检测的东西的数学定义的下限。

关键是，RLA根据差距调整样本大小。 一场30分差的压倒性胜利几乎不需要额外的手工检查；审计员提前停止，因为数学说证据已经足够强大。一场由100,000张投票中的200票决定的比赛可能需要手工计数大部分选票。

这不是一个复杂因素。这是整个要点。接近的比赛——胜者身份实际上很重要的比赛——获得最多的审查。一边倒的比赛不消耗他们不需要的资源。

科罗拉多州务卿常见问题解答向任何想阅读的人展示了该架构。风险限制是一个公开的数字。样本大小从它推导而来。抽样过程使用任何人都可以独立验证的密码生成的随机种子。逻辑的每个步骤都是公开的且可检查的。

这不是信任关系。这是证明。

乔治亚州的答案，以及隐藏在其中的差距

现在向东走。2020年11月，乔治亚州对总统比赛进行了官方称为"风险限制审计"的操作。由于差距较小，它按法律规定升级为对全部约500万张选票的完整手工清点。手工清点证实了机器结果在大约千分之一的范围内。

这是一个巨大的任务。159个县。41,881个批次。不到六天。结论是：机器是对的。

停在这里。

你应该问的问题是：实际审计的是什么？

在2020年的乔治亚州，投票是在Dominion投票标记设备（BMDs）上进行的。投票者触摸屏幕。机器打印纸质选票。该纸质选票包含人类可读的文本——投票者用简洁语言的选择——和一个二维码。二维码是制票器实际读取和计数的内容。

在Curling v. Raffensperger中，美国北区乔治亚州地方法院审查了Alex Halderman博士等人的专家证词。法院认定该系统"不提供可验证和可审计的选票记录，因为它依赖于二维码进行投票制表，而该代码本身无法由投票者读取和验证。"

慢慢地再读一遍。投票者无法读取条形码。制票器读取条形码。2020年的手工清点计算了机器打印的纸张——其中包括人类可读的文本。但问题是该文本是否能够忠实地代表二维码编码的内容。一个在功能正常的机器上投票的投票者，或一个装有恶意软件的机器会改变二维码的投票者，同时保持人类文本正确无误，会产生一张在手工清点中看起来正确的选票——因为计数人员在阅读文字，而不是代码。

对机器打印选票的手工重新计数审计的是机器的输出。它不审计机器的意图。

这不是一个理论问题。法院直接引用了美国国家科学院2018年的结论："目前不存在任何技术机制来确保投票计数应用程序产生准确、无偏见的结果。"学院发现，仅测试不能确保系统没有被破坏。

这都不意味着2020年乔治亚州的投票被改变了。证据没有这样说。它说的是更狭隘和更困难的东西：使用的审计方法无法区分正确的机器和被破坏的机器，因为两者都产生对人类计数器来说看起来相同的纸张。

那不是审计。那是对机器打印输出的重新计数。

手工计数不可解决的问题

现在真正变得不舒服了——因为手工计数通常被看作是黄金标准，即解决问题的东西。

回到密歇根州Antrim县。在县在2020年11月发布了极其错误的结果后（被发现是因为它们不合理，而不是因为系统标记了它们），每张总统选票都在12月17日手工计数。最终手工总计：Trump 9,759票，Biden 5,959票。机器制表与此相差约约15,700张中的十来票。

十来票。在一个结果并不接近的县，那十来票没有意义。

但扩展这个思想实验。想象一场全州比赛由八票决定。手工计数"相差十来票"。你相信哪个计数？机器的？人类计数器的？可能再漂移几票的重新计数？

2021年新罕布什尔州Windham的法证审计说明了这一点。一项州命令的法证调查发现缺席选票上的折叠褶皱——由租赁的折叠机引起，该机器没有沿着打印的折叠线折叠——被AccuVote扫描仪读取为标记的椭圆。 没有恶意软件。没有篡改。没有欺诈。只是一个褶皱和椭圆之间的机械巧合。审计员估计约44%的投票目标褶皱被计为投票。

在这种情况下，手工计数可以恢复投票者意图。但手工计数本身带有不同形式的错误：人工计算错误、不清楚的标记、两个计数人员不同意某个随意笔迹是否是投票的裁定调用。即使是最严格的手工计数也是应用于物理对象的人类过程，而人类过程有错误率。

"手工计数证实了它"是一种保证。在一场由少数几票决定的比赛中，一个本身相差少数几票的方法无法解决这个问题。

真正支持风险限制审计——一个正确实施的审计，具有选民标记的纸张和密码可验证的抽样——的论点不是它消除了人类错误。而是数学结构告诉你它在错误的多少范围内可以容忍错误的赢家悄悄通过。 错误界限是公开的。你可以检查它是否涵盖了差距。

这就是区分科罗拉多州设计和乔治亚州设计的地方。科罗拉多州的RLA告诉你：这是风险限制，这是它意味着的样本大小，这是生成样本的随机种子，这是我们发现的。乔治亚州的手工计数告诉你：我们计算了它们，它们相符。第一个是证明。第二个是陈述。

威斯康星州的差距，重新审视

回到威斯康星州。2021年10月的审计发现只有50.3%的设备测试在法定10天窗口内完成。它发现1,022份缺席证书——6.9%——有部分证人地址，这是影响选票有效性的法律要求。它发现四个人可能投过两次票。

这些是具体的、文件记录的发现。它们之所以有价值正是因为它们是可检查的：一个数字，一个方法，一个总体，一个结果。该报告提出了30项建议，因为有30件事可能更好。

但这里是审计无法告诉你的：这些问题中的任何一个是否改变了任何竞争结果。因为它直到选举后三个月才获得批准。因为它依赖现有的证据。因为选举已经认证了。

无法改变结果的审计是仪式。

威斯康星州的审计不是仪式——它具有真实的程序价值，其发现对未来的选举很重要。但它在科罗拉多州没有的方式上在结构上受限。科罗拉多州的RLA与认证时间表一起运行，有足够的时间在样本测试失败时触发完整的手工清点。威斯康星州的审计在列车离开车站后到达。

时间不是无关的。它反映了对审计是为了什么的选择。如果它是为了公众问责——给予任何公民，而不仅仅是内部人士，检查已宣布赢家是否实际赢了的能力——那么它必须融入过程中，而不是之后加上。并且它必须基于其错误界限小于它要保护的差距的方法。

"任何人都可以检查"实际需要什么

德国联邦宪法法院的措辞最清晰。在其2009年3月的裁决中，法院认定投票和计数的必要步骤"可以由公民可靠地、不需要任何专业知识进行检查。" 不是由专家。不是由有安全许可的审计员。由公民。

这是设计要求，不是陈词滥调。

满足它需要什么？三件事，一起工作：

首先，选民标记的纸张。 不是带有不可读二维码的机器打印选票——选票是投票者用手标记获得计数的选择。这是唯一同时是投票者意图和可审计物品的记录。

其次，一个公开、可验证风险限制的风险限制审计。 固定百分比的抽查告诉你关于它能够错过多少错误的任何信息。RLA以数学术语准确告诉你它根据差距和样本大小能够和不能够发现什么。

第三，密码可验证的抽样。 科罗拉多州的随机种子是公开的。任何人都可以重现抽样过程并确认会拉取相同的选票。这不是一个小细节——它防止样本被悄悄倾斜到已知是清洁的选区。

这些单独都不够。一个具有固定百分比审计和不透明抽样过程的选民标记选票仍然可以错过系统性错误。基于机器打印BMD选票的RLA是在审计机器的输出，而不是投票者的意图，如Curling明确指出的那样。而密码可验证的样本如果它采样的总体有不可检测的条形码问题，则没有意义。

这三个必须一起工作。现在在大多数美国司法管辖区，它们没有。

主要内容

同一个词——"审计"——涵盖从统计证明到三个月后的记录审查的整个范围。 公众应该知道他们得到了哪一种。

说"审计证实了结果"的州务卿是在提出声明，而不是呈现证明。正确的问题是：风险限制是什么？样本大小是多少？纸张是选民标记还是机器打印？抽样种子是公开的吗？审计是在认证前完成的吗，有足够的时间在失败时触发完整计数？

如果这些问题没有公开、可验证的答案，你得到的是保证——而从Windham到威斯康星州到德国宪法法院走廊的整个选举历史告诉你，保证正是在最重要的时候失败的东西。

我们在/gaps/weak-audit-method记录的差距不是理论的。它是"审计"这个词承诺的东西与一个具体审计方法实际能够交付的东西之间的差距。关闭它不需要更好的官员——它需要一个系统，其数学任何人都可以运行，其纸张任何人都可以读，其结果任何人都可以验证，而无需首先被告诉相信。

查看这个差距在世界各地有多普遍 →

阅读薄弱审计方法差距的2分钟版本 →

来源

查看所有文章探索漏洞