视而不见：选票标记设备无法被充分测试

程序错误、配置不当和恶意软件可能导致选票标记设备（BMD）打印出错误的选票。目前已提出数种测试 BMD 的方法。在逻辑与准确性测试（LAT）以及并行或实时测试中，审计员将已知的测试选票输入 BMD 并检查打印输出。被动测试则监控 BMD 打印输出“作废”的比率，其理论依据是，如果 BMD 发生故障，该比率会显著上升。我们证明这些方法无法可靠地检测出改变选举结果的问题，原因如下：(i) 与 BMD 可能的交互数量极其庞大，因此以均匀随机的方式测试交互是无望的。(ii) 要智能地探索交互空间，需要精确的选民行为模型，但由于交互空间如此之大，构建精确模型需要在每次选举中观察每个选区的大量选民——其数量超过大多数选区的选民总数。(iii) 即使拥有完美的选民行为模型，所需测试的数量也超过了大多数选区的选民数量。(iv) 攻击者可以针对测试成本高昂的交互，例如涉及缓慢投票的交互；或者针对篡改行为不太可能被注意到的交互，例如选民使用音频界面的情况。(v) 无论 BMD 是否出现异常行为，作废选票的分布都是未知的，并且会因选举乃至选票样式而异：历史数据帮助不大。因此，无法为被动测试校准阈值，例如，无法保证至少有 95% 的概率发现 5% 的选票被篡改，同时误报率至多为 5%。(vi) 即使已知作废选票的分布是泊松分布，绝大多数管辖区的选民数量也不足以让被动测试在具有高问题检测概率的同时，仅保持较低的误报概率。