选票追踪之争其实是个工程问题
上周，最高法院让邮寄选票追踪重回新闻头条。在一项 6 比 3 的裁决中，法院解除了阻止政府在 23 个州和华盛顿特区实施邮寄投票行政令部分内容的禁令。我不评论这项裁决的政治层面，本文也不是关于这些的。它讲的是这场辩论中的一个工程细节：选票信封上独一无二的 USPS 智能邮件条形码。
条形码是一个合理的第一步。它也是这个想法的最小版本。我的朋友们 Stacy Griggs、Chris Porter 和我花了整整四年研究这个问题，我是他们在这四个获批专利（US11216773B1、US11416807B1、US11775920B1 和 US11790310B1）中的共同发明人之一。他在 他最近的文章里写得很清楚：条形码能识别一个物体，却不能证明它经历了什么。底下的工程问题是：你如何为一枚实体选票构建一条安全、保密且可独立审计的保管链，同时绝不泄露任何人的投票选择？
架构是这样运作的。
问题所在：追踪一个物体，而非一个人
从让其他一切都变得困难的设计约束说起：无记名投票。包裹追踪把每一次扫描都与一个人绑定——买家、寄件人、收件人。选票追踪系统不能这样做，因为一旦某条记录把一张选票与一位选民的投票选择联系起来，这个系统就从信任工具变成了监控工具。
于是这个架构把两种大多数系统从不费心去区分的身份分开了：选民——一个拥有地址和登记记录的人，以及选票——一个在选举机构创建它时被赋予唯一标识符的实体对象。标识符随选票一起流转。选民的身份永远不会附着其上。
系统追踪的是选票，绝非选票内容。它能告诉选民“你的选票已被计入”。它永远无法告诉任何人“你是这样投票的”。 这种分离不是事后硬加上去的政策选择。它是整个设计的承重墙。
标识符如何绑定到实体选票
第一个工程问题是绑定：一条数字记录如何附着到一张实体纸上？
方法是采用一个独特的包裹标识符，即 UPI，它从选票本身派生出来——由信封的特征生成：智能邮件条形码、地址块、邮资标记、表面的光学数据。关键细节在于：标识符是从实物派生出来的，而不是被分配并贴上去的。数字记录锚定在实体对象的真实特征上。一张替代品、一份复印件、一个仿制品都会产生不同的标识符，而这种不匹配是可见的。
这些专利对普通邮件也描述了同样的技术：从物品的扫描中生成标识符，将记录存储在一个许可型账本上，并让标识符成为查询其历史的键。对于选票，模式完全相同。条形码是种子。信封特征是锚点。记录就是历史。
许可型账本真正带来的是什么
正是在这里，“区块链”这个词需要谨慎使用，因为过度宣称通常就是从这里开始的。谁都不该声称一个账本能让系统无法被攻破。分布式、许可型账本做的事更窄、也更有用：它让历史难以被悄无声息地改写。
传统数据库把事件作为由某个单一组织控制的行来存储。如果 USPS 记录了一张选票在 10 月 22 日上午 10:42 到达，那一行就存放在 USPS 的数据库里，任何拥有写权限的人都可以修改它，而且没有任何关于这次修改的独立记录。许可型账本把历史分散到多个经授权的参与者之间——选举机构、邮政服务、独立审计员——这样一次事件就不再是某一方拥有的行，而是一份共享记录的一部分，参与者能看到却无法悄悄篡改。
对选举而言，真正重要的是这个属性：不是神奇地坚不可摧，而是防篡改的可见性。改写一批选票的经历，就意味着改写每一位参与者的副本，而这种尝试会留下痕迹。账本并不取代审计；它让审计能够以一种今天尚不存在的粒度进行。
邮政指纹
其中一项专利补充了一个更值得关注的概念：用于检测篡改的邮政指纹。在一个已知完好的时间点采集信封的基线签名：表面特征、封口、物理状态。在验证时再次测量。如果签名偏离超出容差——封口被打开又重新封上、信封被蒸汽蒸开又粘回、选票被调换——它就会被标记出来交由人工复核。
这与文件校验和或集装箱封条是同一套逻辑。它无法阻止一个意志坚定的对手；但它让篡改变得可被检测，而可检测性才是整场游戏的关键。你不需要一张无法被篡改的选票。你需要的是让篡改足够显眼，从而永远不值得尝试，因为尝试本身就会成为证据。
审计员如何在不看到投票内容的情况下验证
最后一个工程问题听起来不可能，直到你看到那个诀窍：独立审计员如何在没有任何一方看到投票内容的情况下验证这条链？
选票与投票内容恰好在应当分离的地方分离。保管链记录跟随实体选票经历创建、邮寄、投递、回寄、签收、验证和受理，而识别信息在选票进入计票之前就被剥离。账本记录的是分离之前发生的一切；计票本身则在追踪系统之外。
因此审计员可以验证每一次交接——由选举机构创建、被 USPS 受理、投递、回寄、验证、计票——每一次都有共享记录上的一个事件作为支撑。而审计员从任何角度都看不到的，是这张选票被勾选成了什么。这些信息根本不在系统里。你不可能泄露你从未拥有的数据。
为什么这对美国有益
对于我们在网上订购的商品，我们早已接受了这一标准——我能一程程地看着一个箱子从卖家的仓库运到我的门廊。然而，当一位公民寄出自己的选票时，端到端的可见性却只有商业所获得的零头。
这不是一个党派性的观察。这是一个工程上的空白，而我们拥有填补它的技术。每一张选票都应当到达选举机构。每一张有效选票都应当被计入。每一位选民都应当能够保密地核验自己的选票已顺利送达。任何系统都不应泄露任何人的投票内容。这些目标没有一个是属于某个党派的。它们是一个可信流程的需求，写下来就是一份工程规格。
Stacy 的文章以一个正确的挑战收尾，这也是唯一诚实的立场：别告诉我们它行得通。证明给我们看。先在少数几个州试点，接受独立的网络安全与隐私审查，让外部研究者尝试攻破它，与现有流程并行测试。让结果来说话。
条形码只是一个开始。围绕它的架构——一个绑定到实体选票的标识符、一个让历史防篡改的账本、一个让篡改无处遁形的指纹、一种把选票与选民分离从而保住无记名投票的设计——才是更大的机会。它是工程，它是可测试的，而且它对美国有益。追踪选票，绝不追踪选票内容。