| シリーズの一部 |
| 選挙テクノロジー |
|---|
| テクノロジー |
| 用語 |
| テスト |
| メーカー |
| 関連する側面 |
投票者検証可能紙監査証跡(VVPAT)または検証済み紙記録(VPR )は、電子投票システムを利用する有権者にフィードバックを提供する方法です。VVPATにより、有権者は投票が正しく行われたことを確認し、選挙詐欺や誤作動の可能性を検出し、保存された電子投票結果を監査する手段を得ることができます。VVPATには、投票された候補者の氏名と政党所属が含まれます。アメリカ合衆国では、VVPATを導入していない無投票投票システムに比べてVVPATの利用が拡大していますが、手書き投票がより多くの管轄区域で使用されています。[ 1 ]
紙ベースの媒体である VVPAT は、投票を保存するときに、電子のみの記録媒体に比べていくつかの基本的な利点があります。紙の VVPAT は人間の目で読むことができ、投票者は自分の投票を直接解釈できます。コンピュータメモリには、潜在的に独自のデバイスとソフトウェアが必要です。安全でない投票機[ 2 ]の記録は、投票機自体に気付かれずにすぐに変更される可能性があります。監査可能な紙の投票用紙を使用すると、投票機が人間の介入なしに記録を改ざんすることが難しくなります。破損または故障した投票機は、投票者の意図とは異なる投票を気付かれずに保存する可能性があります。VVPAT を使用すると、投票者は自分の投票が意図どおりに行われたことを確認できるため、投票の変更または破棄に対する追加の障壁になります。
VVPATには、投票者が投票が意図したとおりに記録されたことを保証し、不正行為や機器の故障を検出する手段となる、直接記録型電子投票システム(DRE)が含まれています。選挙法によっては、紙の監査証跡が合法的な投票用紙とみなされる場合があり、再集計が必要な場合には手作業による開票を行う手段となります。
非文書投票システム(機械式投票機とDRE投票機の両方)では、投票者は投票システムが自分の意思を正確に記録したかを確認するために、実物の投票用紙を確認する選択肢がありません。さらに、選挙管理官は、紛争が発生した場合に手作業で投票用紙を再集計することができません。このため、批評家は選挙不正や誤作動の可能性が高まると主張しており、ブルース・シュナイアーなどのセキュリティ専門家は、投票者が検証可能な紙の監査証跡を求めています。[ 3 ]非文書投票システムでは、「保存票」の再集計のみが可能です。機械が破損したり故障したりした場合、これらの「保存票」は投票者の正しい意思を反映していない可能性があります。
2024年現在、VVPATシステムは、アメリカ合衆国、インド、[ 4 ]ベネズエラ、[ 5 ]フィリピン、[ 6 ]ブルガリア[ 7 ]などの国で使用されています。アメリカ合衆国では、登録有権者の98.5%が、手書き投票またはVVPATのいずれかの形式で何らかの紙投票を提供している管轄区域に住んでいます。紙の記録を使用しない電子システムを使用しているのはわずか1.4%です。[ 8 ]

1897年、ロードアイランド州知事チャールズ・W・リピットから、新開発のマクタマニー直接記録式投票機の使用の合法性についての質問に答えて、[ 9 ]ロードアイランド州最高裁判所のホレイショ・ロジャース判事は、投票者が書面による記録なしにそのような機械で投票した場合、「投票者は、自分が結果を達成したという感覚的な認識を持っていない。せいぜい機械が意図したとおりに機能したのであれば、投票したということだ」と述べた。 [ 10 ]この観察は、今日でも無投票DRE投票機 に関する懸念の中心となっている。
1899年、ジョセフ・グレイはこの問題に対処するため、機械式投票機を開発しました。この機械式投票機は、投票用紙を機械内部に記録すると同時に、投票者が投票箱に入れる前に確認できる紙の投票用紙に投票結果を刻印しました。グレイは、「このようにして、投票用紙を機械的にチェックすると同時に、投票用紙は登録簿(機械式投票カウンター)をチェックする役割も果たす」と説明しました。[ 11 ]このチェックは、紙の記録と機械式記録を比較する 監査 が行われた場合のみ有効です。
直接記録投票の仕組みのために並行して紙の投票記録を作成するというアイデアは、1992年に本質的に同じアイデアを提案したレベッカ・メルキュリによって再発見されるまで、1世紀の間眠ったままでした。 [ 12 ]一部の人々がメルキュリ方式と呼ぶ この方法は、2000年10月に彼女の博士論文で改良されました。彼女の最終版では、投票者がそれを持ち去ったり改ざんしたりできないように、紙の記録はガラスの背後に印刷されています。[ 13 ]
投票者による検証が可能な紙の監査証跡プリンターを組み込んだ最初の商用投票システムは、Avante Vote Trakkerと、Sequoia AVC Edgeの後継機であるVeriVoteプリンターでした。[ 14 ] Avanteのシステムは2002年に最初の試験運用が行われ、2003年にはネバダ州が州全体でVVPAT技術の使用を義務付け、Sequoiaシステムを採用しました。注目すべきは、Avanteの設計では、投票者が紙の投票記録を持ち去るのを防ぐシールドが後付けで追加されたのに対し、Sequoiaの設計では、後続の投票者の紙の投票記録が1ロールの紙に順番に印刷されていたことです。
投票者が検証できる紙の監査証跡は、2013年9月にナガランド州のノクセン(選挙区)で行われたインドの選挙で初めて使用されました。[ 15 ] [ 16 ] VVPATシステムは、2014年のインド総選挙でパイロットプロジェクトとして543の議会選挙区のうち8つに導入されました。[ 17 ] [ 18 ] [ 19 ] [ 20 ] VVPATはラクナウ、ガンディーナガル、バンガロール南部、チェンナイ中央、ジャダブプル、ライプル、パトナサヒブ、ミゾラムの各選挙区で実施されました。[ 21 ] [ 22 ] [ 23 ] [ 24 ] [ 25 ] [ 26 ] VVPATとEVMがインドで初めて大規模に使用され、[ 27 ] 2013年のミゾラム州議会選挙で40議席のうち10議席で使用されました。[ 28 ] VVPATを搭載したEVMは2017年の州議会選挙でゴア州全体で使用され、インドで初めて同州全体でVVPATが導入されました。[ 29 ] [ 30 ] VVPATシステムは2019年のインド総選挙で543のローク・サバー選挙区すべてに導入されました。[ 31 ] [ 32 ]
2019年7月、老朽化した電子投票機のセキュリティと信頼性に関する法的問題と懸念を受けて[ 33 ] 、ジョージア州当局は、ドミニオン・ボーティング・システムズとの1億700万ドルの契約を承認しました。この契約は、ジョージア州の全159郡に、投票ごとに紙の投票用紙を提供する新しい投票記録装置(VVPAT)を設置するものです。このアップグレードは、2020年ジョージア州共和党・民主党大統領予備選挙に間に合うように完了しました。
このシステムは、 2020年11月の総選挙で極めて重要な役割を果たした。ジョー・バイデン氏が僅差(0.23%、11,779票)で勝利した。これは1992年以来、同州で民主党大統領候補が勝利した初のケースとなった。この結果、州全体の監査が自動的に開始された。これは、新たに導入された監査可能な紙投票システムによって可能になった。監査の結果、郡レベルで複数の人為的ミスが見つかり、トランプ氏に1,274票が加算された。トランプ陣営の要請により、州全体で紙投票の再集計が行われ、結果が確定した。[ 34 ]
2002年に州全体でDREが導入されて以来、そして最近の2016年の選挙に至るまで、監査可能な紙投票用紙を発行するシステムが存在しなかったため、再集計は不可能でした。VVPATシステムにより、当局は電子投票結果と紙の記録を照合することができ、最終的な開票結果の正確性を確認しました[ 35 ] 。また、2021年1月2日にジョージア州のブラッド・ラフェンスパーガー州務長官と電話会談したトランプ大統領の、開票結果が不正確だったという主張を反駁しました。
ジョージア州の新しいVVPATシステムは、透明性の向上に加え、最初の投票、監査、そして手作業による再集計という合計3つの相互確認集計を容易にすることで、強力な偽情報キャンペーンに対抗するのに役立ちました。これにより有権者の信頼が高まり、2020年選挙の厳しい監視の中で、結果を検証するための信頼性の高い方法が提供されました。選挙イノベーション&リサーチセンターが選挙前後に実施した調査では、ジョージア州の有権者が自分の投票が意図したとおりに集計されるという信頼感は予想よりも低下しておらず(2020年10月の90%から2021年1月の85%)、予想よりも低下が小さかったことがわかりました。[ 36 ]


紙の監査証跡を実装するには、さまざまなテクノロジを使用できます。
投票者が投票方法を証明することを可能にする制度は、秘密投票による投票の一般的な定義に適合しません。なぜなら、そのような証明は、投票者への脅迫や票の売買のリスクを高めるからです。そのため、そのような証明を認める制度は、多くの国際協定や国内法の条項によって一般的に禁止されています。
アヴィ・ルービン教授は、米国下院運営委員会において、紙投票用紙を用いた投票システムを支持し、後付けのVVPATアタッチメントを用いたシステムを否定する証言を行った。同教授は自身のブログで、「この問題を4年間研究した結果、VVPATを備えたDREは合理的な投票システムではないと考えるようになった」と述べている。[ 38 ]
VVPATに搭載されているような監査可能なシステムは、無作為再集計において、誤作動や不正行為の可能性を検出するために使用できます。VVPAT方式では、紙投票用紙を正式な投票記録として扱うことができます。このシナリオでは、投票用紙は一次集計に使用され、電子投票記録は最初の集計時、またはVVPATが破損したり判読不能になったりした場合にのみ使用されます。その後の再集計や異議申し立てでは、電子投票用紙ではなく紙投票用紙が集計に使用されます。紙投票記録が法的投票用紙として使用される場合は常に、そのシステムは紙投票システムと同じ利点と懸念事項に直面することになります。
オーストラリアのDREシステムを開発したマット・クイン氏は、「有権者が(有権者による監査証跡)のないシステムを信頼する理由はないし、そうするように求めることもすべきではない。一体なぜ、プロジェクトの成功に利害関係のある私を(有権者が)信頼しなければならないのだろうか? 有権者による監査証跡こそが、結局のところ民主主義の担い手である大多数の有権者に対して、システムの完全性を『証明』する唯一の方法なのだ」と考えている。[ 39 ]
インドでは、 2016年のタミル・ナドゥ州議会選挙でカンチプラム(州議会選挙区)の投票集計に関する問題を解決するのにVVPATが役立った事例がある。投票所のフォーム17Cに入力された投票数と、その投票所のEVM制御ユニットに記録された投票総数が一致しなかったためである。[ 40 ] 2018年6月、インド選挙管理委員会は、コントラストセンサーと紙ロールの上に、すべてのVVPATに湿気を吸い込ませないようにする内蔵フードを導入し、過剰な光と熱を防いだ。[ 41 ] [ 42 ] VVPATとEVMの情報に食い違いがある場合は、問題となっている特定の投票所の紙票が再集計される。[ 43 ]食い違いが続く場合は、VVPATの投票用紙による集計がEVMに登録された投票数よりも優先されます。[ 44 ]
一般的な VVPAT の問題は次のとおりです。
紙による監査証跡の導入におけるその他のハードルとしては、監査の実施と権限が挙げられる。紙による監査システムは電子投票システムのコストを増加させ、導入が困難で、特殊な外部ハードウェアが必要になることが多く、操作も難しい場合がある。米国では、27の州が、公選で使用されるすべての直接記録型電子投票機について、法令または規制により紙による監査証跡の提出を義務付けている。[ 47 ] 他の18の州では、紙による監査証跡の提出は義務付けていないものの、州全体または地方自治体で使用されている。[ 48 ]
VVPATシステムに悪意のあるソフトウェアが侵入すると、投票者の選択を意図的に誤って記録される可能性があります。この攻撃は、ごく一部の投票、あるいはあまり知られていない選挙のみを操作することで、検出を最小限に抑えることができます。[ 49 ]
もう一つのセキュリティ上の懸念は、投票用紙の記録を監視している人がいない間にVVPATが印刷する可能性があり、これは一種の投票用紙の水増しであるということです。[ 50 ]たとえ有権者リストとの照合によって追加の投票が発見されたとしても、正当な投票用紙と不正な投票用紙を識別することは不可能です。
あるいは、投票者が投票所を去った後、プリンターが印刷された投票記録を無効にし、新たな不正投票用紙を印刷する可能性もあります。選挙では無効投票が頻繁に発生するため、これらの投票用紙は検出できません。 [ 51 ]また、技術的に用紙送りを逆転させることができるVVPATシステムは、投票者がVVPATを確認した後に、不正なソフトウェアによってVVPATが上書きまたは改ざんされる可能性があります。
投票者にとって、印刷された投票記録は「投票用紙とは異なる形式で、異なる場所に置かれ、異なる時間に確認され、コントラストや照明パラメータが異なるグラフィックレイアウトになっている」[ 52 ] 。 2003年11月、コネチカット州ウィルトンでは、事実上すべての投票者が投票用紙の受領書を探して確認する必要があり、投票にかかる時間と投票所職員の作業量が増加した。VVPATは、既に投票への阻害要因となっている投票の複雑さをさらに増大させている。[ 52 ]
さらに、VVPATコンポーネントは、投票所の職員にとって簡単には使用できない可能性があります。彼らの多くは、既にDREの保守と使用、そして新しい選挙法の要件に苦労しています。2006年にオハイオ州カイヤホガ郡で行われた予備選挙では、調査により、VVPATテープの9.6%が破損、空白、判読不能、紛失、テープで貼り合わされている、またはその他の損傷を受けていたことが判明しました。あるケースでは、感熱紙がプリンターに逆向きにセットされ、空白のテープが残っていましたが、[ 53 ] [ 54 ]投票用紙の記録を確認できなかった有権者はこれに気づきませんでした。カイヤホガ選挙審査委員会は最終報告書で、視覚障害者用機器が装備されているものを除き、VVPATを覆う不透明なドアを撤去することを提案しました。[ 55 ]一般的に、これらの印刷された記録の収集と集計は困難な場合があります。[ 52 ]
連続した紙のロールに印刷された記録を数えることは、標準的な紙の投票用紙やパンチカードを数えることよりも困難です。[ 52 ]
投票記録を投票順に印刷するDRE VVPATシステム(リール式投票用紙システムとも呼ばれる)は、投票順序も記録できるため、プライバシーの問題が生じます。各投票用紙の後に紙を切り離して個別の投票用紙を作成するVVPATプリンターであれば、この問題は回避できます。複数の投票機がある場合、完全な投票者名簿とVVPATの照合はより困難になります。
あるいは、攻撃者は特定の投票システムを利用する人々の順番を監視し、関心のある各投票の順番を記録することも可能だ。攻撃者が後に紙の投票記録を入手した場合、両者を比較することで投票のプライバシーを侵害することができる。これは、票の売買や有権者への脅迫にもつながる可能性がある。[ 56 ]
2007年、ジム・クロプチョとジェームズ・モイヤーはこの理論の概念実証を実行し、公表した。公的記録の請求を通じて、2人はオハイオ州デラウェア郡の複数の投票機が設置されている選挙区で、投票者名簿から有権者IDを、VVPATから有権者の好みを抽出した。両方の記録が独立して電子投票の順序を確立していたため、有権者のIDと好みが直接結びついていた。[ 57 ]オハイオ州の10郡の140万人以上の登録有権者が影響を受けた。この状況は、次回の選挙の前に投票者名簿の記録から投票権限票の連番を省略することで解決された。しかし、同様の脆弱性が他の州でもまだ存在する可能性がある。
また、投票者が投票前に紙の監査証跡を実際に確認する必要がないことも問題です。これは投票の「検証」に不可欠です。紙の監査証跡を確認できるという選択肢は個々の有権者にとって安心感を与えるかもしれませんが、統計的に有意な数の有権者が参加しない限り、VVPATは誤作動や不正行為を効果的に抑制する役割を果たしません。
現在のVVPATシステムは、一部の障害のある有権者には利用できません。クリストファー・ドッド上院議員(コネチカット州選出、民主党)は、2005年6月に行われた連邦選挙における有権者確認に関する公聴会において、米国上院規則・運営委員会で証言しました。「視覚障害者は、紙片だけで、独立して、あるいはプライバシーを保ったまま、投票結果を確認することができません。また、手が不自由などの運動障害を持つ人は、紙片を手に取って確認する必要がある場合、一人で紙片を確認することができません。」[ 58 ]
VVPATシステムは信頼性への懸念を高める可能性もある。マイケル・シャモス教授は、「DREマシンに紙印刷装置を追加すると、当然のことながら、故障、インク切れ、紙詰まり、紙切れなどの問題が発生する可能性のある部品が追加される。DREが既に故障しやすいと言われているのであれば、紙の投票記録を追加してもその記録は改善されない」と指摘している。[ 59 ] 2003年、ブラジルでは少数の投票所で紙の投票記録システムが導入されていたが、プリンターの故障により投票手続きが最大12時間遅延した。これは米国では壊滅的な数字となるだろう[ 60 ]。
現在のVVPATシステムでは、感熱紙プリンターを使用して投票用紙の記録を印刷しています。感熱紙に印刷された投票記録は時間の経過とともに色褪せてしまいます。また、選挙前または選挙後に紙に熱を加えると、印刷が消えてしまう可能性があります。[ 52 ]
VVPAT を事後機能として実装するのは、はるかに困難になる可能性があります。現在 DRE 投票機を使用しているが VVPAT が搭載されていない管轄区域では、特殊な外部ハードウェアが必要になるため、実装には追加費用がかかり、実装が困難になる可能性があります。DRE マシンに VVPAT コンポーネントを追加するには、管轄区域は、入札なしの独占購入契約で、DRE マシンのベンダーが設計したシステムを購入する必要があります。これは、ベンダーが使用中の DRE マシンと互換性のあるコンポーネントを設計していることを前提としています。ベンダーが使用中の DRE マシンと互換性のある VVPAT コンポーネントを開発していない可能性があり、その場合、管轄区域はまったく新しい投票システムを購入する必要があります。
現在DREマシンを使用していない管轄区域では、VVPATコンポーネントを含む新しい投票システムを導入することで、導入上の課題を軽減できます。VVPATの実装によっては、投票者に高い認知的負担を強いる上に、非常にエラーが発生しやすいものもあります。[ 61 ]
VVPATシステムに関する重要な問題の一つは、監査の実施時期です。機械の故障を防ぐため、選挙日に投票機の無作為な監査を実施すべきだという意見もあります。しかし、投票所閉鎖前の部分的な集計は、西海岸の投票所閉鎖よりずっと前に東海岸の結果に基づいて当選者が発表されるアメリカの国政選挙と同様の問題を引き起こす可能性があります。さらに、投票所閉鎖前の部分的な集計は、一部の管轄区域では違法となる可能性があります。一方、直接記録型電子投票機の無作為な監査は、選挙後、あるいは係争が発生した場合にのみ実施すべきだという意見もあります。
選挙後に監査が行われ、投票数と監査数に食い違いが見つかった場合、どちらの数が正式な数なのかは明確ではありません。一部の法域では、投票数を正式な数と法的に定義しており、監査の役割が疑問視されています。VVPATは直接記録投票システムに最近追加されたため、正式な数かどうかという問題は依然として不明確です。