NL1029723C2 - Verkiezingssysteem met op papier en auditief verifieerbare uitslag. - Google Patents

Description

5

Verkiezingssysteem met op papier en auditief verifieerbare uitslag.

De uitvinding betreft een verkiezingssysteem 10 gekoppeld met een intelligente printer, waarbij elke uitgebrachte stem voor de kiezer zowel visueel verifieerbaar wordt afgedrukt op papier alsook, ten behoeve van visueel gehandicapten, auditief wordt opgeslagen en weergegeven via een hoofdtelefoon. Op deze wijze kan de uitslag niet alleen 15 worden bepaald door het tellen van alle in elektronische geheugens opgeslagen stemmen, maar ook door het tellen van de op papier afgedrukte en de auditief hoorbare en door de kiezer gecontroleerde stemmen. Deze intelligente printer voorkomt, dat achteraf een relatie kan worden gelegd tussen 20 de kiezers en de uitgebrachte stemmen.

In de Amerikaanse markt is, door een aantal prominente informatica wetenschappers de stelling geponeerd dat 100% betrouwbare elektronische stemmen registrerende en uitslag bepalende verkiezingssystemen niet mogelijk zijn, of 25 dat in ieder geval deze 100% betrouwbaarheid niet bewijsbaar is. Hoewel deze stelling al sinds de zeventiger jaren van de vorige eeuw wordt gepropageerd is zij versterkt naar de voorgrond getreden door het MIT-Caltéch onderzoek naar aanleiding van de Amerikaanse presidentiële verkiezingen van 30 2000.

Alleen voor zeer eenvoudige systemen, zoals de door aanvraagster geproduceerde elektronische stemmachiries, wordt uit de wetenschappelijke hoek erkend dat bij voldoende strakke procedures de betrouwbaarheid gegarandeerd kan 3 5 worden.

De HAVA (Help America Vote Act) wetgeving naar 1029723 -2- aanleiding van voornoemde verkiezingen vraagt om vervanging van de in Amerika gangbare ponskaartsystemen en mechanische stemmachines. Een belangrijk onderdeel van deze HAVA wetgeving is dat de reeds bestaande wetgeving op het gebied 5 van gelijke kansen voor gehandicapten om hun stem zelfstandig te kunnen uitbrengen federaal wordt opgelegd.

Hierbij worden de verkiezingssystemen onder andere voorzien van audioapparatuur zodat kiezers met een visuele handicap ook zelfstandig kunnen kiezen.

10 De massale introductie van DRE (Direct Recording

Electronic) stemmachines, gebaseerd op generieke operating systems, zoals bijvoorbeeld Windows en Linux, was al op gang gekomen en werd door de HAVA wetgeving nog versterkt, waarbij relatief nieuwe spelers op de markt beginnersfouten 15 hebben gemaakt. Actiegroepen hebben in reactie hierop de academische twijfels omgezet in complottheorieën, hetgeen heeft geleid tot publieke onrust en introductie van nieuwe wetgeving waardoor DRE stemmachines in een toenemend aantal Amerikaanse staten voorzien moeten worden van een zogenaamd 20 "Voter Verifiable Paper Audit Trail", ofwel WPAT.

De term audit trail is hierbij misleidend; het gaat hier om het op papier afdrukken van de gemaakte keuzes per deelverkiezing inclusief het niet uitbrengen van een stem, dat achter een venster aan de kiezer getoond wordt. De 25 kiezer krijgt geen afdruk mee omdat dit de mogelijkheid van het verkopen van de stem of het uitoefenen van dwang mogelijk maakt, omdat derden aan de hand van de afdruk kunnen vaststellen wat de kiezer heeft gekozen.

De kiezer, die alleen zelf kan bepalen of zijn 30 keuzes juist zijn weergegeven, verifieert of de afgedrukte keuzes overeenstemmen met zijn bedoeling en accepteert of verwerpt de afdruk. Indien de afdruk wordt geaccepteerd dan wordt deze opgeslagen in de stemmachine en de gemaakte keuzes worden elektronisch geregistreerd. Indien de afdruk 1 0 2 9 72 3 | -3- wordt verworpen dan wordt deze gemarkeerd met "ongeldig" (void) en eveneens opgeslagen in de stemmachine, de keuzes worden dan uiteraard niet elektronisch geregistreerd.

Van deze afdrukken wordt vervolgens een wettelijk 5 bepaald percentage geteld en vergeleken met de overeenkomende elektronische tellingen.

De invoering en het gebruik van de WPAT mag een van de belangrijkste grondrechten van politieke verkiezingen niet aantasten en dat is het stemgeheim, er moet tijdens en 10 na de verkiezingen niet vastgesteld kunnen worden welke keuzes de individuele kiezer heeft, gemaakt.

De opgeslagen afdrukken worden in Amerika afhankelijk van de staat op twee manieren gebruikt: 1. Ter controle. Bij een verschil met de elektronische 15 telling kan de verkiezing ongeldig worden verklaard.

Deze methode wordt door de "American Assiociation of People with Disabilities" AAPD aanvaard. Immers bij een hernieuwde verkiezing hebben zij weer dezelfde mogelijkheden als niet gehandicapte kiezers; 20 2. Als geldig stembiljet. Bij een verschil geldt de telling van de afdrukken. Deze methode wordt door de AAPD niet aanvaard. Immers kiezers met een visuele handicap kunnen de afdrukken niet verifiëren.

Ontwerpregelgeving geeft echter aan dat de tweede 25 methode voor de AAPD aanvaardbaar is mits de printer naast het uitprinten van de keuzes de gegevens ook auditief weergeeft, waarbij de gegevens uit dezelfde bron dienen te komen. Daarnaast zal het mogelijk moeten zijn dat de visueel gehandicapten de telling ook kunnen uitvoeren zodat de 30 auditieve informatiefiles ook móeten worden opgeslagen en er dus ook een "Voter Verifiable Audio Audit Trail" ofwel WAAT ontstaat.

Ons zijn twee uitvoeringsvormen van een WPAT printer bekend: 1 n ? Q 7 9 3 -4- 1. Het zogenaamde "Cut" en "Drop" systeem dat zorgt voor een onoverzichtelijke hoop afgeknipte stroken en dat een • praktisch uitvoerbare en eventueel geautomatiseerde controletelling vrijwel onmogelijk maakt, waarbij ook 5 het relatief grote volume een nadeel is.

2. Printen van rol naar rol (reel to reel) hetgeen in de traditionele vorm het stemgeheim aantast, omdat per kiezer de afdrukken in dezelfde volgorde als de uitgebrachte stemmen wordt afgedrukt, zodat relatief 10 eenvoudig kan worden vastgesteld wat een individuele kiezer heeft gekozen.

De onderhavige uitvinding, die in het vervolg aan de hand van enkele figuren wordt beschreven, betreft een 15 verkiezingssysteem bestaande uit een stemmachine verbonden met een Intelligent Printer en Audio Systeem (IPAS), dat aan al de bovenstaande eisen voldoet en bovendien de unieke eigenschap heeft dat achteraf niet kan worden vastgesteld wat een individuele kiezer heeft gekozen.

20 Figuur 1 toont schematisch het verkiezingssysteem.

Figuur 2 toont schematisch het IPAS.

Figuur 3 toont de functieblokken van het IPAS.

Zoals aangegeven in figuur 1 bestaat het verkiezingssysteem volgens de uitvinding uit een bekende 25 stemmachine (1), zoals bijvoorbeeld door aanvraagster

geproduceerd en op de markt gebracht, verbonden met een IPAS

j (2) waarbij de informatie met betrekking tot de uitgebrachte stem(men) en de acceptatie of verwerping daarvan wordt doorgegeven van de stemmachine (1) naar het IPAS (2). Met 30 behulp van het IPAS (2) wordt deze informatie voor de kiezer leesbaar en verifieerbaar geprint op papier en ten behoeve van visueel gehandicapten tegelijkertijd auditief ten gehore gebracht via hoofdtelefoon (3). De auditievé informatie wordt na acceptatie door de kiezer tevens in 1029723 -5- gedigitaliseerde vorm opgeslagen in een geheugenmodule in het IPAS (2), zodat ook door visueel gehandicapten controle van de totaaltellingen van de uitgebrachte stemmen mogelijk is.

5 Indien de geprinte informatie door de kiezer wordt verworpen dan wordt bijvoorbeeld het woord ONGELDIG aan de geprinte steminformatie toegevoegd en wordt de auditieve informatie niet opgeslagen of wordt hieraan ook het woord "ongeldig" toegevoegd. Uiteraard kunnen ook één of meerdere 10 andere woorden met overeenkomstige betekenis worden toegevoegd zowel aan de geprinte als aan de auditieve informatie.

Voor een automatische verwerking ten behoeve van een hertelling van de geprinte informatie kan bijvoorbeeld een 15 barcode of één of meerdere andere geautomatiseerd leesbare code(s) aan elke geprinte stem worden toegevoegd of kan de tekst worden geprint in een OCR-formaat (Optical Character Reader) die met daartoe ingerichte lezers kan worden gelezen.

20 Zoals schematisch aangegeven in figuur 2 bestaat het IPAS uit twee naast elkaar geplaatste zogenaamde "reel to reel" printers, elk voorzien van een thermische of eventueel inktjet printkop (4) die geplaatst is boven de aandrijfrol (5), waarmee door middel van een stappenmotor (6) het papier 25 wordt getransporteerd. Het papier wordt vanaf papierrol (7) welke geplaatst is op een papierrolhouder (8), die onder frictie kan roteren, via de papiersensor (18) , de aandrijfrol (5) en eventueel andere papiergeleidingsele-menten .gevoerd naar papiertrommel (9) welke eveneens onder 30 frictie is gemonteerd op roterende as (10). Deze roterende as (10) kan, aangedreven door een elektromotor,, continu roteren, of met behulp van een juiste overbrengingsverhou-ding worden gekoppeld aan de stappenmotor (6), zodanig dat het papier bij het printen strak wordt gehouden en 1029723 -6- opgewikkeld. Boven het papier is een venster (11) aangebracht, waardoor de kiezer de geprinte informatie kan lezen.

In plaats van het toepassen van twee printers kunnen 5 uiteraard ook verschillende delen van deze printers geïntegreerd worden. Zo kan bijvoorbeeld één printkop worden toegepast die beide papierstroken bedekt. Ook kan één papierrol worden toegepast waarbij de printkoppen onafhankelijk van elkaar kunnen bewegen hetgeen,wel een 10. extra bewegingsmechanisme vereist.

Het IPAS wordt bestuurd door een intelligente besturingsmodule (12) waarmee alle binnenkomende en uitgaande signalen worden verwerkt en waarvan de functies in het vervolg aan de hand van figuur 3 zullen worden 15 beschreven.

Het bedienend personeel op een stembureau heeft niet voldoende ervaring om op een snelle manier papierrollen te verwisselen. Dit komt vooral voort uit het feit dat verkiezingen slechts een enkel maal per jaar of nog minder 20 gehouden worden. Daarnaast dienen de gebruikte rollen papier in verband met wetgeving langere tijd bewaard te blijven.

Een eenvoudige en snelle methode van verwisselen van papier wordt bereikt door het papier in plaats van in rollen aam te leveren in cassettes die eventueel verzegeld kunnen zijn.

25 Hierdoor kunnen tevens procedurele garanties geboden worden dat er vooraf geen afdrukken op het papier aanwezig zijn. De duurzaamheid van de gebruikte rollen in opslag wordt daarnaast sterk verbeterd terwijl een controletelling of een hertelling met behulp van daartoe ingerichte lezers 3 0 eenvoudiger wordt.

Om het kiesgeheim te waarborgen worden volgens de uitvinding de achtereenvolgens uitgebrachte stemmen bij het IPAS willekeurig hetzij op de ene hetzij op de andere papierrol geprint, waarbij deze willekeur bepaald wordt door 1029723 -7- een zogenaamde random generator die bijvoorbeeld op bekende wijze kan worden gevoed met tijdsignalen gebaseerd op witte ruis.

Ten opzichte van een bekende methode waarbij op 5 willekeurige posities op één papierrol geprint wordt, heeft de methode volgens de uitvinding het voordeel dat geen tijdverlies optreedt door het heen en weer spoelen van de papierrol en dat de printkop niet wordt vervuild doordat deze over eerder geprinte informatie glijdt.

10 Uiteraard kunnen, gebaseerd op hetzelfde principe, ook meer dan twee onafhankelijke printers in het IPAS worden toegepast.

Om de capaciteit (het aantal kiezers dat met een set papier kan worden afgehandeld) van het IPAS te vergroten kan 15 telkens slechts een gedeelte van de te verifiëren keuzes worden afgedrukt. Dit maakt het verifiëren door de kiezer eenvoudiger en houdt het venster relatief klein. Door het kleine venster is het mogelijk de onbedrukte ruimte op het papier klein te houden, immers de volgende kiezer mag geen 20 keuzes van zijn voorganger kunnen zien. Deze onbedrukte ruimtes kunnen ook worden geminimaliseerd door na het accepteren van de geprinte informatie, het venster mechanisch af te sluiten met een schuif of dit venster met behulp van polarisatieverdraaiing in een nematisch vloeibaar 25 kristallijn materiaal of elektrochromatisch materiaal langs elektrische weg te verduisteren.

Aan de eis van de AAPD wordt voldaan doordat het IPAS naast de voornoemde printers is voorzien van een audio speler. Naar aanleiding van door de stemmachine (1) naar het 30 IPAS (2) gezonden informatie drukt de printer de WPAT af en spreekt de audio speler via de hoofdtelefoon (3) de gemaakte keuzes en eventueel instructies uit. De af te drukken en uit; te spreken teksten zijn tijdens de initialisatie van het verkiezingssysteem opgeslagen op een geheugenmodule die zich 1029723 -8- in het IPAS bevindt. De kiezer met visuele handicap hoort dus elke gemaakte keuze en bijbehorende instructie om het kiesproces te vervolgen. Na het afsluiten van zijn of haar keuzes door op de stemknop te drukken hoort de kiezer een 5 samenvatting van de gemaakte keuzes zodat de kiezer die kan verifiëren en accepteren of verwerpen.

Na het accepteren van de audio samenvatting van de gemaakte keuzes wordt de audio informatie als separate logfile op een willekeurige plaats in de geheugenmodule van 10 het IPAS opgeslagen. Indien de samenvatting wordt verworpen, wordt deze file niet opgeslagen en kan het stemproces worden voortgezet of wordt deze file wel opgeslagen met de toevoeging "ongeldig", om ervoor te zorgen dat de informatie synchroon is met de informatie op de papierstroken.

15 Deze logfiles vormen de VVAAT en kunnen worden gebruikt om de uitslag te verifiëren in combinatie met de op papier afgedrukte keuzes en geven zo de kiezer met een visuele handicap de gelegenheid ook deel te nemen aan het verificatieproces dat na de verkiezing plaatsvindt.

20 Figuur 3 toont schematisch de functieblokken van de .besturingsmodule (12) van het IPAS, bestaande uit processor (13), verbonden met de volgende componenten: interface (14) mét behulp waarvan de informatie van en naar stemmachine (1) wordt verzorgd; een geheugenmodule (15) voor het opslaan van 25 het programma en de geluidsfragmenten betreffende de bedieningsinstructies; een geheugenmodule (16) voor het opslaan van de initiële informatie met betrekking tot de tekst en de geluidsfragmenten betreffende de kandidaten en de logfiles; een besturingsmodule voor het printen (17), 30 verbonden met de printkoppen (4), de stappenmotoren (6) en de papiersensoren (18); een audio uitgangsmodule (19) waarmee de digitaal opgeslagen geluidsfragmenten worden omgezet in een analoog signaal ten behoeve van hoofdtelefoon (3) .

1029723 -9-

Om er voor te zorgen dat informatie met betrekking tot de uitgebrachte stemmen tezamen met de geprinte informatie op de papierstroken en de logfiles met de auditieve informatie niet van elkaar worden gescheiden en 5 verwisseld, verdient het aanbeveling om de papierrollen onder te brengen in één gezamenlijke cassette, waarin ook de geheugenmodule (16) is ondergebracht die de steminformatie en de logfiles in elektronische vorm bevat.

1029723

Claims (16)

1. Een verkiezingssysteem bestaande uit een stemmachine verbonden met een intelligent printer en audio systeem met het kenmerk, dat de door de kiezers gemaakte 5 individuele keuzes in voor de kiezer verifieerbare vorm zowel leesbaar op papier als hoorbaar in auditieve vorm in een geheugen worden vastgelegd, zodat de door de stemmachine berekende uitslag vergeleken en gecontroleerd kan worden zowel aan de hand van de op 10 papier geprinte informatie, alsook aan de hand van de auditieve informatie welke in het intelligente printer en audio systeem is opgeslagen.

2. Een verkiezingssysteem volgens de vorige conclusie met 15 het kenmerk, dat de informatie van de door de kiezers gemaakte individuele keuzes willekeurig verdeeld over twee of meer printers "reel to reel" worden geprint en dat dezelfde informatie in auditieve vorm in willekeurige geheugenlocaties wordt vastgelegd, zodat 20 achteraf geen relatie kan worden gelegd tussen de volgorde van de kiezers en de volgorde van de vastgelegde stemmen en daarmee tussen kiezer en stem.

3. Een verkiezingssysteem volgens conclusie 2 met het 25 kenmerk, dat de willekeur met betrekking tot de keuze van de printer wordt bepaald door een random generator, waarvan de tijdsignalen worden afgeleid van witte ruis.

4. Een verkiezingssysteem volgens één of meerdere van de 30 voorgaande conclusie(s) met het kenmerk, dat bij verwerping door de kiezer van de geprinte informatie het woord "ONGELDIG" of één of meerdere woord(en) met overeenkomstige betekenis aan de geprinte informatie wordt toegevoegd. 1029723 -11-

5. Een verkiezingssysteem volgens één of meerdere van de voorgaande conclusie(s) met het kenmerk, dat bij acceptatie door de kiezer van de geprinte informatie een 5 barcode of één of meerdere overeenkomstige geautomatiseerd leesbare code(s) aan de geprinte informatie wordt toegevoegd.

6. Een verkiezingssysteem volgens één of meerdere van de 10 voorgaande conclusie(s) met het kenmerk, dat de geprinte informatie wordt geprint in OCR formaat, zodat deze tekst met een hiervoor ingerichte lezer automatisch gelezen kan worden.

7. Een verkiezingssysteem volgens één of meerdere van de voorgaande conclusie(s) met het kenmerk, dat de printers in het intelligent printer en audio systeem zijn uitgerust met thermische printkoppen.

8. Een verkiezingssysteem volgens één of meerdere van de voorgaande conclusie(s) met het kenmerk, dat de printers in het intelligent printer en audio systeem zijn uitgerust met inktjet printkoppen.

9. Een verkiezingssysteem volgens één of meerdere van de voorgaande conclusie(s) met het kenmerk, dat de printers in het intelligent printer en audio systeem zijn uitgerust met één gezamenlijke printkop.

10. Een verkiezingssysteem volgens één of meerdere van de voorgaande conclusie(s) met het kenmerk, dat papierrollen in de printers zijn ondergebracht in een afgesloten en eventueel verzegelde cassette. 10297?* -12-

11. Een verkiezingssysteem volgens één of meerdere van de voorgaande conclusie(s) met het kenmerk, dat ter besparing van ruimte op de papierstroken slechts een gedeelte van de informatie met betrekking tot de 5 gemaakte keuze(s) wordt geprint.

12. Een verkiezingssysteem volgens één of meerdere van de voorgaande conclusie(s) met het kenmerk, dat ter besparing van ruimte op de papierstroken het venster 10 waaronder zich het papier met de geprinte informatie bevindt, na beëindiging van het keuzeproces, mechanisch wordt afgesloten bijvoorbeeld door middel van een schuif, waardoor de geprinte tekst niet meer leesbaar is. 15

13. Een verkiezingssysteem volgens één of meerdere van de voorgaande conclusie(s) met het kenmerk, dat ter besparing van ruimte op de papierstroken het venster waaronder zich het papier met de geprinte informatie 20 bevindt elektrisch wordt verduisterd door middel van polarisatieverdraaiing in een nematisch vloeibaar kristallijn materiaal, waardoor de geprinte tekst niet meer leesbaar is.

14. Een verkiezingssysteem volgens één of meerdere van de voorgaande conclusie{s) met het kenmerk, dat ter besparing van ruimte op de papierstroken het venster waaronder zich het papier met de geprinte informatie bevindt elektrisch wordt verduisterd door middel van 30 elektrochromatisch materiaal, waardoor de geprinte tekst niet meer leesbaar is.

15. Een verkiezingssysteem volgens één of meerdere van de voorgaande conclusie(s) met het kenmerk, dat de te 1029723 -13- printen en de auditieve informatie met betrekking tot de te kiezen kandidaten vooraf tijdens de initialisatie van het verkiezingssysteem wordt geladen in het geheugen van het intelligente printer en audio systeem. 5

16. Een verkiezingssysteem volgens één of meerdere van de voorgaande conclusie(s) met het kenmerk, dat de geheugenmodule waarin de stemmen en de logfiles van de auditieve informatie wordt opgeslagen is ondergebracht 10 in de cassette waarin zich de papierrollen bevinden, waarop de overeenkomstige informatie is geprint. 1 0 2 9 7 2 3