有権者が確認した紙の監査証跡

投票者検証可能紙監査証跡（VVPAT）または検証済み紙記録（VPR ）は、電子投票システムを使用する投票者にフィードバックを提供する方法です。VVPATを使用すると、投票者は自分の投票が正しく行われたことを確認し、選挙詐欺や誤作動の可能性を検出し、保存された電子投票結果を監査する手段を提供できます。投票された候補者の名前と政党が含まれます。VVPATは、米国ではVVPATのない無投票システムに比べて使用が増えていますが、手書きの投票用紙がより多くの管轄区域で使用されています。^[1]

紙ベースの媒体である VVPAT は、投票を保存するときに、電子のみの 記録媒体に比べていくつかの基本的な利点があります。紙の VVPAT は人間の目で読み取ることができ、投票者は自分の投票を直接解釈できます。コンピュータ メモリには、潜在的に独自のデバイスとソフトウェアが必要です。安全でない投票機^[2]の記録は、投票機自体に検出されることなくすぐに変更される可能性があります。監査可能な紙の投票用紙を使用すると、人間の介入なしに投票機が記録を改ざんすることが難しくなります。破損または故障した投票機は、投票者の意図とは異なる投票を気付かれずに保存する可能性があります。VVPAT を使用すると、投票者は自分の投票が意図どおりに行われたことを確認できるため、投票の変更や破棄に対する追加の障壁となります。

VVPATには、投票者が自分の投票が意図したとおりに記録されたことを保証し、不正行為や機器の故障を検出する手段として、直接記録電子投票システム(DRE) が含まれています。選挙法によっては、紙の監査証跡が合法的な投票用紙とみなされる可能性があり、そのため、再集計が必要な場合に手動で投票を集計する手段となります。

非文書投票システム（機械式投票機とDRE投票機の両方）では、投票者は投票システムが自分の意思を正確に記録したかを確認するために実物の投票用紙を確認する選択肢がありません。さらに、選挙管理官は紛争が発生した場合に手動で投票用紙を数え直すことができません。このため、批評家は選挙詐欺や誤作動の可能性が高まっていると主張し、ブルース・シュナイアーなどのセキュリティ専門家は投票者が検証できる紙の監査証跡を要求しています。^[3] 非文書投票システムでは、「保存された投票」の再集計のみが許可されています。機械が破損したり故障したりした場合、これらの「保存された投票」は正しい投票者の意思を表していない可能性があります。

2024年現在、VVPATシステムは米国、インド、^[4]ベネズエラ、^[5]フィリピン、^[6]ブルガリアなどの国で使用されています。^[7]米国では、登録有権者の98.5％が手書きまたはVVPATの何らかの形の紙投票を提供している管轄区域に住んでいます。紙の記録のない電子システムを使用しているのはわずか1.4％です。^[8]

1897年、ロードアイランド州知事チャールズ・W・リピット氏から、新開発のマクタマニー直接記録投票機の使用の合法性についての質問に答えて、^[9]ロードアイランド州最高裁判所のホレイショ・ロジャース判事は、書面による記録のない機械で投票する有権者は「自分が投票結果を出したことを感覚で知ることはできない。せいぜい機械が意図したとおりに機能したのなら、その人は投票したということだ」と述べた。 ^{[10]この観察は、今日でも無投票}DRE投票機 に関する懸念の中心となっている。

1899年、ジョセフ・グレイはこの問題に機械式投票機で対処した。この機械式投票機は投票を機械内部に記録すると同時に、投票者が投票箱に入れる前に確認できる紙の投票用紙に投票用紙をパンチする。グレイは「この方法では投票用紙を機械的にチェックできると同時に、投票用紙は登録簿（機械式投票カウンター）をチェックするものでもある」と説明した。^{[11]このチェックは、紙の記録と機械の記録を比較する}監査 がある場合にのみ有効である。

直接記録投票の仕組みのために並行して紙の投票記録を作成するというアイデアは、1992年に本質的に同じアイデアを提案したレベッカ・メルキュリによって再発見されるまで、1世紀の間眠ったままでした。 ^[12]一部の人々がメルキュリ方式と呼ぶ この方法は、2000年10月に彼女の博士論文で改良されました。彼女の最終版では、投票者がそれを持ち去ったり変更したりできないように、紙の記録はガラスの背後に印刷されています。^[13]

投票者が検証可能な紙の監査証跡プリンターを組み込んだ最初の商用投票システムは、Avante Vote Trakker と、Sequoia AVC Edge の改造版である VeriVote Printer でした。^{[14] Avante のシステムは 2002 年に最初の試験運用が行われ、2003 年に}ネバダ州は州全体で VVPAT 技術の使用を義務付け、Sequoia システムを採用しました。注目すべきは、Avante の設計では、投票者が紙の記録を持ち去るのを防ぐシールドが後付けであったのに対し、Sequoia の設計では、後続の投票者の紙の記録が 1 ロールの紙に順番に印刷されていたことです。

有権者が検証可能な紙の投票記録は、2013年9月にナガランド州のノクセン（選挙区）で行われたインドの選挙で初めて使用されました。 ^{[15] [16] VVPATシステムは、} 2014年のインド総選挙でパイロットプロジェクトとして543の選挙区のうち8つに導入されました。^{[17] [18] [ 19] [20]} VVPATは、ラクナウ、ガンディナガル、バンガロール南部、チェンナイ中央、ジャダブプール、ライプル、パトナサヒブ、ミゾラムの各選挙区で実施されました。^{[21] [22] [23] [24] [25] [26]} VVPATはEVMとともにインドで初めて大規模に使用され、^[27] 2013年のミゾラム州議会選挙で40議席のうち10議席で使用されました。^{[28] VVPATを搭載したEVMは}2017年の州議会選挙でゴア州全体で使用され、インドで初めて同州全体でVVPATが導入された。^{[29] [30] VVPATシステムは}2019年のインド総選挙で543のLok sabha選挙区すべてに導入された。^{[31] [32]}

2019年7月、老朽化し​​た電子投票機の安全性と信頼性に関する法的課題と懸念を受けて、^{[33]ジョージア州当局は}、ドミニオン・ボーティング・システムズとの1億700万ドルの契約を承認し、ジョージア州の159郡すべてに、投票ごとに紙の投票用紙を提供する新しい投票マーク装置（VVPAT）を装備しました。このアップグレードは、2020年のジョージア州共和党と民主党の大統領予備選挙に間に合うように完了しました。

このシステムは、 2020年11月の総選挙で決定的な役割を果たした。ジョー・バイデン氏の僅差勝利（0.23%、11,779票）は、1992年以来、同州で民主党大統領候補が勝利した初めての出来事であり、自動的に州全体の監査が開始されたが、これは新しい監査可能な紙投票システムによって可能になった。監査では郡レベルで複数の人為的ミスが見つかり、トランプ氏に1,274票が加算された。トランプ陣営の要請により、州全体で紙投票の再集計が行われ、結果が確定した。^[34]

2002年に州全体でDREが導入されて以来、2016年の選挙でも、監査可能な紙の投票用紙を作成するシステムがなければ、再集計は不可能だっただろう。VVPATシステムにより、当局は電子投票結果と紙の記録を照合することができ、最終的な投票数の正確性を確認した^[35] 。また、2021年1月2日のジョージア州務長官ブラッド・ラフェンスパーガーとの電話会談でトランプ大統領が行った、投票数は不正確だったという主張を否定した。

ジョージア州の新しいVVPATシステムは、透明性を提供することに加えて、最初の投票、監査、手作業による再集計の合計3つの相互確認カウントを容易にすることで、強力な偽情報キャンペーンに対抗するのに役立ちました。これにより有権者の信頼が高まり、2020年の選挙の厳しい監視中に結果を検証するための信頼できる方法が提供されました。選挙イノベーション＆リサーチセンターが選挙前後に実施した調査では、ジョージア州の有権者が自分の投票が意図したとおりにカウントされるという信頼が予想よりも小さくなっていたことがわかりました（2020年10月の90％から2021年1月の85％）。^[36]

紙の監査証跡を実装するには、さまざまなテクノロジを使用できます。

• 直接記録型電子投票機（DRE）にプリンターを取り付け、機械内に保存されている紙の記録を印刷する。このような設計では、通常、透明な表面の背後に記録が提示され、投票者は印刷された記録が電子投票と一致していることを確認できる。記録は手動で数えられ、紛争が発生した場合には電子投票総数と比較できる。電子投票画像と投票者が確認した紙の記録をランダムに生成された一意の投票セッション識別子にリンクするソリューションは、発行済みおよび出願中の特許で保護されている。^[37]
• DRE 投票機にプリンターを取り付け、セキュリティ機能付きの特殊紙に紙の記録を印刷します。印刷されたページには、プレーン テキストの記録と投票者の選択の簡単なバーコードの両方が含まれます。このページは正式な投票用紙で、スキャナーを介してロックされた投票箱に送られ、再集計や監査が必要になった場合に備えてすべての原本が保存されます。DRE からの電子記録はバーコード スキャナーの記録と比較され、食い違いがある場合は、電子記録ではなく紙の投票用紙を使用して正式な投票が決定されます。投票者は、既存の手動投票システムで常に可能であったように、スキャナー/ロック ボックスに入れる前に投票用紙を校正し、エラーがある場合は無効にすることができます。
• DRE 投票機にプリンターを取り付け、暗号化されたレシートを印刷します。このレシートは投票者が保管するか、投票機内に保管されます。レシートが保管されている場合、紛争が発生した場合にレシートを手動で数え、電子投票総数と比較することができます。これらのシステムは、米国の選挙では使用されていません。
• 電子投票が DRE 投票機 (一種の証人システム) で作成されると同時に、暗号化された監査証跡が作成されます。監査証跡は、紛争が発生した場合にアクセスして、電子投票の合計と比較することができます。
• DRE の代わりに、投票所ベースの光学スキャンまたはマークセンス集計機を使用します。このシンプルでコスト効率の高いシステムでは、投票者は紙の投票用紙に記入し、標準テストの採点に使用される技術と同様に、投票所の集計機によって電子的に集計されます。光学スキャン マシンは数十年にわたって使用されており、デフォルトで投票者による監査証跡を提供します。集計機は投票所で過剰投票を検出できるため、投票者は無効票を訂正する機会を得ることができます。

投票者が投票方法を証明できるシステムは、そのような証明が投票者への脅迫や票の売買のリスクを高めるため、秘密投票による投票の一般に受け入れられている定義に適合していません。そのため、そのような証明を許可するシステムは、多くの国際協定や国内法の条項により一般的に禁止されています。

アヴィ・ルビン教授は、米国下院運営委員会で、紙投票用紙を使用する投票システムを支持し、後付けのVVPATアタッチメントを使用するシステムを否定する証言を行った。同教授は自身のブログで、「この問題を4年間研究した結果、VVPATを備えたDREは合理的な投票システムではないと確信している」と述べている。^[38]

VVPAT で提供されるような監査可能なシステムは、ランダムな再集計で使用して、誤動作や不正行為の可能性を検出することができます。VVPAT 方式では、紙の投票用紙を公式の投票記録として扱うことができます。このシナリオでは、投票用紙が主要なものであり、電子記録は最初の集計にのみ使用されます。また、VVPAT が破損しているか読み取り不能な場合も、この限りではありません。その後の再集計や異議申し立てでは、電子投票ではなく紙の投票用紙が集計に使用されます。紙の記録が法定投票用紙として使用される場合、そのシステムは紙の投票システムと同じ利点と懸念の対象となります。

オーストラリアのDREシステムの開発者であるマット・クインは、「有権者が[有権者が検証した監査証跡]を持たないシステムを信頼する理由はないし、そうするように要求されるべきでもない。一体どうして[有権者]はプロジェクトの成功に利害関係のある私を信頼しなければならないのか？結局のところ、民主主義の所有者である大多数の有権者に対してシステムの完全性を「証明」する唯一の方法は、有権者が検証した監査証跡である」と考えている。^[39]

インドでは、 2016年のタミル・ナードゥ州議会選挙でカンチプラム（州議会選挙区）の開票に関する問題を解決するのにVVPATが役立った例がある。投票所のフォーム17Cに記入された投票数と、その投票所のEVM制御ユニットに記録された総投票数が一致しなかったためである。^[40] 2018年6月、インド選挙管理委員会は、コントラストセンサーと紙ロールの上に、すべてのVVPATが湿気を吸い込まない内蔵フードを導入し、過剰な光と熱を防いだ。^{[41] [42] VVPATと}EVMの情報に不一致がある場合、問題となっている特定の投票所の紙の投票用紙が再集計される。^{[43]不一致が続く場合、VVPATの紙の投票用紙による集計が}EVMに登録された投票数よりも優先される。^[44]

一般的な VVPAT の問題は次のとおりです。

1. 実際の選挙中の有権者の行動を撮影したビデオでは、ほとんどの有権者がVVPATを読んで自分の選択を確認していないことが明らかになった。^[45]
2. 調査によると、投票用紙の概要を確認する有権者は矛盾を見落としていることが示されています。^[46]
3. 手作業による VVPAT の再集計/監査は労力と費用がかかり、それを希望するほとんどの候補者にとってはおそらく手が届かないものでしょう。
4. また、VVPAT は DRE (直接記録電子式) 投票記録装置のチェックとして機能するように設計されていますが、監査証跡を生成するために同じ独自のプログラミングと電子機器に依存しています。

紙の監査証跡の導入におけるその他のハードルとしては、監査のパフォーマンスと権限が挙げられる。紙の監査システムは電子投票システムのコストを増大させ、導入が難しく、特殊な外部ハードウェアが必要になることが多く、使用が難しい場合がある。米国では、27の州が、法律または規制により、公選で使用されるすべての直接記録式電子投票機に紙の監査証跡を義務付けている。 [ 47 ]^他 の18の州では、紙の監査証跡は義務付けていないが、州全体または地方自治体で使用している。^[48]

VVPATシステムに悪意のあるソフトウェアを導入すると、投票者の選択を意図的に誤って記録する可能性があります。この攻撃では、投票のごく一部またはあまり知られていない選挙のみを操作することで、検出を最小限に抑えることができます。^[49]

もう一つのセキュリティ上の懸念は、VVPATが投票用紙の記録を誰も見ていない間に印刷する可能性があることであり、これは一種の投票用紙の水増しである。^[50]たとえ有権者名簿との照合によって追加の投票が発見されたとしても、正当な投票用紙と不正な投票用紙を識別することは不可能であろう。

あるいは、投票者が投票所を去った後、プリンターが印刷された記録を無効にし、新たな不正投票用紙を印刷する可能性もあります。選挙では無効投票がよくあるため、これらの投票用紙は検出できません。 ^[51]また、技術的に用紙送りを逆にできるVVPATシステムは、投票者が確認した後、操作されたソフトウェアによってVVPATが上書きまたは変更される可能性があります。

投票者にとって、印刷された投票記録は「投票用紙とは異なる形式で、別の場所にあり、別の時間に確認され、コントラストや照明パラメータが異なるグラフィックレイアウトになっている」^[52] 。 2003年11月、コネチカット州ウィルトンでは、事実上すべての投票者が投票用紙の受領書を探して確認するよう促され、投票に必要な時間と投票所職員の作業が増加した。VVPATは、すでに投票を阻んでいる投票の複雑さをさらに増している。^[52]

さらに、VVPAT コンポーネントは、投票所の職員にとって簡単に使用できるとは限らない。彼らの多くは、すでにDRE の保守と使用、および新しい選挙法の要件に苦労している。オハイオ州カイヤホガ郡で行われた 2006 年の予備選挙では、調査により、VVPAT テープの 9.6 パーセントが破損、空白、判読不能、紛失、テープで貼り合わされている、またはその他の損傷を受けていることが判明した。あるケースでは、感熱紙がプリンターに逆向きに装填され、空白のテープが残っていたが、^{[53] [54]}投票者は紙の記録を確認できず、これに気付かなかった。カイヤホガ選挙審査委員会は、最終報告書で、視覚障害者の投票者用の機器が装備されているものを除いて、VVPAT を覆う不透明なドアを撤去することを提案した。^[55]一般に、これらの印刷された記録の収集と集計は困難な場合がある。^[52]

連続した紙のロールに印刷された記録を数えることは、標準的な紙の投票用紙やパンチカードを数えることよりも困難です。^[52]

投票記録を投じられた順に印刷する DRE VVPAT システム (リールツーリール システムとも呼ばれる) では、投票の順序も記録できる場合、プライバシーの問題が生じます。各投票の後に紙を切り取って個別の投票用紙を作成する VVPAT プリンターでは、この問題を回避できます。投票機が複数ある場合、完全な投票者リストと VVPAT を一致させることはより困難になります。

あるいは、攻撃者は人々が特定の投票システムを使用する順序を監視し、興味のある各特定の投票の順序を記録することができます。攻撃者が後で紙の投票記録を入手した場合、2つを比較して投票のプライバシーを侵害する可能性があります。これは票の売買や有権者の脅迫につながる可能性もあります。^[56]

2007年、ジム・クロプチョとジェームズ・モイヤーはこの理論の概念実証を実行し、公表した。公的記録の請求により、2人はオハイオ州デラウェア郡の複数の投票機がある選挙区で、投票者名簿から有権者IDを、VVPATから有権者の好みを抽出した。両方の記録セットは独立して電子投票の順序を確立したため、有権者のIDと好みが直接結びついた。^[57]オハイオ州の10郡の140万人以上の登録有権者が影響を受けた。この状況は、次回の選挙の前に投票者名簿の記録から投票権限票の連続番号を省略することで解決された。しかし、同様の脆弱性が他の州でもまだ存在する可能性がある。

また、投票者が投票前に紙の監査を実際に確認する必要がないことも問題です。これは投票を「検証」するために不可欠です。紙を見るという選択肢は個々の投票者にとって安心感を与えるかもしれませんが、統計的に意味のある数の投票者が参加しない限り、VVPAT は機能不全や不正行為を効果的にチェックするものではありません。

現在の VVPAT システムは、障害のある有権者には利用できない。クリストファー・ドッド上院議員 (コネチカット州民主党) は、 2005 年 6 月に連邦選挙における有権者確認に関する公聴会で、米国上院規則・運営委員会で証言した。「盲人は、独立して、または秘密裏に、紙切れだけで投票結果を確認することはできない。また、手が不自由などの運動障害のある人は、紙切れを拾い上げて扱う必要がある場合、紙切れを単独で確認することはできない。」^[58]

VVPAT システムは信頼性に対する懸念も高める可能性がある。マイケル・シャモス教授は、「DRE マシンに紙印刷装置を追加すると、当然のことながら、故障したり、インク切れ、紙詰まり、紙切れが発生する可能性のある別のコンポーネントが追加される。DRE が故障しやすいと言われているのであれば、紙の記録を追加してもその記録は改善されない」と指摘している。^[59] 2003 年にブラジルでは、少数の投票所で紙の記録が導入されていたが、プリンターの故障により投票が最大 12 時間遅れた。これは米国では壊滅的な数字である^[60]

現在導入されているVVPATシステムでは、感熱紙プリンターを使用して紙の投票記録を印刷しています。感熱紙に印刷された投票記録は時間の経過とともに色あせてしまいます。また、選挙前または選挙後に紙に熱を加えると、印刷が損なわれる可能性があります。^[52]

VVPAT を事後機能として実装するのは、はるかに困難になる可能性があります。現在 DRE 投票機を使用しているが VVPAT がない管轄区域では、特殊な外部ハードウェアが必要になるため、実装には追加費用がかかり、実装が困難になる可能性があります。DRE マシンに VVPAT コンポーネントを追加するには、管轄区域は、入札なしの単一ソース購入契約で DRE マシンのベンダーが設計したシステムを購入する必要があります。これは、ベンダーが使用中の DRE マシンと互換性のあるコンポーネントを設計していることを前提としています。ベンダーは、使用中の DRE マシンと互換性のある VVPAT コンポーネントを開発していない可能性があり、その場合、管轄区域はまったく新しい投票システムを購入する必要があります。

現在DREマシンを使用していない管轄区域では、VVPATコンポーネントを含む新しい投票システムを導入することで、実装上の課題が少なくなります。VVPATの実装によっては、投票者に高い認知的負担がかかり、エラーが発生しやすいものもあります。^[61]

VVPAT システムに関する重要な疑問の 1 つは、監査の時期に関するものです。機械の故障を防ぐために、選挙日に記録式電子投票機の無作為な監査を行うべきだという意見もあります。しかし、投票所が閉まる前に投票の一部を集計すると、西海岸の投票所が閉まるずっと前に東海岸の結果に基づいて勝者が宣言されるというアメリカの国政選挙で起きているのと同様の問題が生じる可能性があります。さらに、投票所が閉まる前に投票の一部を集計することは、一部の管轄区域では違法となる可能性があります。直接記録式電子投票機の無作為な監査は、選挙後、または紛争が発生した場合にのみ行うべきだという意見もあります。

選挙後に監査が行われ、投票数と監査数に食い違いが見つかった場合、どちらの数が正式な数かは不明です。一部の管轄区域では、投票数を正式な数として法的に定義しているため、監査の役割が疑問視されています。VVPAT は直接記録投票システムに最近追加されたため、正当性の問題は依然として不明です。

• トータライザー
• インドにおける電子投票
• 2004年米国選挙投票論争
• DRE投票機
• 電子投票
• エンドツーエンドの監査可能な投票システム
• 投票集計システム
• 投票機

• 独立した検証: 投票プロセスの完全性を保証するための重要な措置 2011-07-28 にWayback Machineでアーカイブ、Roy G. Saltman、2006 年 8 月 22 日
• ブレナン センター投票技術イニシアチブ
• 秘密投票の受領書: 投票者が検証できる真の選挙 (ミラー)デビッド・ショーム著

• 検証済み投票
• 投票の公正性に関する全国委員会