DEF CON 33 Voting Village - Risk Limiting Audits: What They Are and Aren't - Philip Stark
三句話摘要
風險限制審計（RLA）利用統計賭博模型，以遠少於全面驗票的樣本量確保選舉結果正確的方法。 風險限制審計透過統計下注模型和小樣本抽驗，能以遠低於全面驗票的成本確保選舉結果可信，但其前提是必須先建立和維護可信任的紙質選票與完整的選票管理流程。 RLA 的統計原理基於 1939 年 Jean V. 論文的機率模型：以一美元開始，反覆下注選票內容，若能將賭金乘以 K 倍，則只有 1/K 的機率是在報告結果實際錯誤的情況下發生，因此當選人贏得足額資金時就有強而有力的證據證明他們真的贏了。
重點整理
重點- 1
RLA 的統計原理基於 1939 年 Jean V. 論文的機率模型：以一美元開始，反覆下注選票內容，若能將賭金乘以 K 倍，則只有 1/K 的機率是在報告結果實際錯誤的情況下發生，因此當選人贏得足額資金時就有強而有力的證據證明他們真的贏了。
- 2
可信紙質選票是不可迴避的前提，RLA 無法修補製度缺陷：需要嚴格的選票保管、投票人資格審查、選票計數完整流程，RLA 只能驗證報告結果是否反映紙質選票內容，不能彌補選票本身遭竄改或管理不善的漏洞。
- 3
RLA 判斷當選人是否真的贏，而非審計計票準確度：即使每份選票都被誤計，只要當選人依然獲勝，RLA 也會正確停止，因為它檢查的是報告結果的合理性而非計票機的正確性。
- 4
現代方法透過針對性抽樣與比較審計大幅提升效率：根據各議題報告差距動態調整樣本率，加上利用機器計票記錄作參考值，使得審計所有議題成為現實，橙郡案例顯示可用 0.65% 選票樣本審計 181 場選舉。
實用技巧與重點
乾貨- 理論基礎
- Jean V. 1939 年論文：乘以 K 倍機率最多 1/K
- Kelly 最優下注策略（1956 年 Bell Labs）
- Abraham Wald 序列假說檢驗（1945 年）
- Tom Cover 投資組合理論（1991 年）
- 實踐案例數據
- Orange County 2020：181 場選舉，0.65% 選票樣本完成所有審計
- Orange County 2022：214 場選舉，3.1% 樣本（含三場差距 <0.1% 和並列議題的完全計票）
- 美國國家科學院工程醫學院 2018 年報告推薦：紙質選票 + RLA
- 支援的投票制度
- 複數制、多獲勝者複數制、超多數制、比例代表制、星值投票、即時決選投票（IRV）
- 尚無完善方法：單一可轉移票制（STV）
- 關鍵論文與方法
- Nunes Such 論文：在不涉及隱私的情況下列印選票識別碼
- Overstatement Equivalent Net 方法：混合使用機器計票記錄與批次小計進行比較審計
- Consistent Sampling：跨議題協調抽樣，確保每場議題獲得充分樣本
- 信任假設
- 已知每場議題選票數上限（至少用登記投票人數）
- 審計前承諾選票識別碼集合
- 可信的紙質選票與完整的選票保管鏈
- 現況
- 約 15 州有 RLA 相關法律
- 多數州未實施、執行不力或濫用作掩護不善的審計
結論
結論“風險限制審計透過統計下注模型和小樣本抽驗，能以遠低於全面驗票的成本確保選舉結果可信，但其前提是必須先建立和維護可信任的紙質選票與完整的選票管理流程。”
完整解析
詳細風險限制審計源於 2007 年加州選務部長 Bowen 成立的選後審計標準工作組。當時美國大多數州沒有或只有薄弱的審計制度，審計方法主要問的是「機器運作是否正常」，但這個問題本身就有問題，因為任何系統都有一定錯誤率，真正該問的是「這次選舉中機器效能是否足以確認真正的獲勝者」。傳統的檢測範式只追求找到至少一項錯誤，但在手寫紙質選票中，機器幾乎總是會誤讀某些選票，因此光是發現問題不足以判斷該問題是否改變了選舉結果。RLA 轉向了「肯定證據」典範：審計應該提供強有力的證據證明報告的當選人確實贏了。
RLA 的核心數學來自 1939 年的機率論文。想像這樣一個賭局：從已報告結果正確的假設出發，反覆從選票中隨機抽取並下注，若報告的當選人贏了，預期會賺錢；若實際上對手贏了，最終會破產。統計學告訴我們，如果能將初始賭金乘以 20 倍，這只有 5% 的機率在當選人實際上沒有贏的情況下發生。Philip Stark 將此概念推廣到複雜的投票制度：透過編碼將選票轉換為數字（Alice 的選票編碼為 1、Bob 為 0、其他為 0.5），再利用 Kelly 下注法則和 Abraham Wald 的序列檢驗理論，建立了對複數制、比例代表制等各種投票方式都適用的統一框架。關鍵洞見是，當利用機器記錄的比較審計時，由於報告值和紙質選票間的差異（如機器誤讀）會大幅降低數據的變異性，因此可以更自信地下注，審計速度隨之加快。
實踐中 RLA 的效率已被證明是可行的。2020 年橙郡有 181 場選舉議題，傳統方法需要完全驗票 300 萬張選票，但使用現代 RLA 與針對性抽樣，僅需檢視 0.65% 的選票就能確認所有結果。2022 年有 214 場議題，其中三場差距低於 0.1%，需進行全面計票，但總樣本率仍只有 3.1%。這些數字說明 RLA 已從理論轉變為實務上可大規模運作的方法。
然而 RLA 的有效性完全仰賴「可信的紙質選票」——需要完善的選票保管鏈、投票人資格審查、選票計數程序，以及選票的物理安全。RLA 不是萬靈丹，它不會審計機器的計數是否正確，也不會修補製度上的缺陷。若選票本身就不可信，運用 RLA 只是在不善的選舉上鑲金箔。Stark 強調一個常見的誤解：RLA 判斷的是「報告的當選人是否真的贏了」，而非「機器是否計數無誤」，即使每張選票都被誤計，只要當選人仍然獲勝，RLA 也會正確停止。此外，選票需要可靠的識別號（可透過特殊印刷技術在不損害隱私的前提下達成），以及已知的選票數上限。目前約 15 州有 RLA 相關法律，但執行程度參差不齊，有些州甚至濫用 RLA 程序來為製度不善的選舉背書，這種做法被 Stark 直言為「垃圾進垃圾出」。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
