美國選舉掃描器大規模故障：一場程式版本事故，如何演變成舞弊指控？

一、選舉日發生了什麼？

2026 年 11 月 3 日，美國紐約州 Westchester County 多個投票所的光學選票掃描器無法接收選民填寫的紙本選票。當地 45 個自治市鎮中有 44 個受到影響，投票程序因此受阻，但選民仍可填寫紙本選票，交由選務人員放入指定的橘色緊急選票袋保管。這起事故發生於美國期中選舉日，且當地涉及競爭激烈的紐約第 17 國會選區，因此迅速引發全國關注。必須先釐清：設備拒收選票，不等於設備已經把票計給其他候選人，更不等於已證實有人竄改選舉結果。

二、真正的故障原因：版本不一致

紐約州選舉委員會指出，選務設備完成初始準備與測試後，其中一個自治市鎮的選舉項目發生變更，需要更新選舉程式。更新後的程式已用於提前投票，以及該自治市鎮選舉日的設備；但其他地區選舉日設備仍保留原始程式，因而無法辨識當日使用的選票。這是官方對事故原因的說明。事故初期也曾出現紙張厚度、條碼印製錯誤等不同說法；應以後續州選務機關的正式說明為主要依據，不應將最早的臨時說法當成最終鑑識結論。

三、掃描器如何讀懂一張紙本選票？

光學掃描選票系統通常包含印製的選票、投票區域標記、掃描與影像處理、選票樣式識別，以及與特定選舉定義相符的計票邏輯。選民填寫紙本選票後，掃描器必須先確認這張選票屬於可接受的選區與版本，再讀取選擇標記。部分系統會使用條碼或其他識別資訊，但本案公開資料不足以確定涉事設備的完整辨識演算法、韌體版本或底層資料結構。因此，不能直接斷言是某一種條碼編碼規則、CRC 校驗或特定晶片失效。

四、工程角度：這是一種組態漂移風險

可以用軟體工程的 Configuration Drift（組態漂移）理解這起事故：一套選舉定義在不同時間被更新，但部分部署端仍使用舊版本。當選票與掃描器預期的選舉定義不一致時，系統可能拒絕處理輸入。這種概念也常見於資料庫 Schema Migration、行動 App 與伺服器 API 版本不一致、以及工業控制系統韌體更新。這裡是根據官方事故說明做的工程類比，不代表已取得涉事機器的原始碼或除錯日誌。

五、為何投票前測試仍可能失效？

若測試只驗證更新前的配置，即使當時全部通過，也無法保證更新後的所有設備與選票版本仍相容。工程上需要把選舉定義、選票樣張、掃描器配置與部署批次視為同一組受控版本。任何選務資料變更都應觸發影響範圍盤點、端到端重新測試與現場版本核對。理想情況下，應使用與選舉日實際印製版本一致的測試選票，逐類型驗證掃描器能否正確接收與記錄。這些是改善建議，並非宣稱 Westchester 已採用或未採用某一特定測試程序。

六、紙本選票為什麼是重要的備援？

掃描設備失效時，紙本選票仍保留選民原始的實體投票紀錄。當地選務機關指示將完成的選票置於受監督的緊急選票袋，之後在雙黨代表監督下處理。美聯社報導，選票運送至集中場所的安排經法院許可，並由警方護送。這種備援的意義是將「無法即時掃描」與「無法投票」分開，但備援並非零風險：封袋紀錄、保管交接、數量對帳、監督與後續核算都必須可追溯。

七、延遲計票與選舉舞弊不是同義詞

設備拒收、計票延遲、選務疏失、違法投票、蓄意竄改結果，屬於不同的事實命題。要證明蓄意舞弊，通常需要更直接的證據，例如經驗證的存取紀錄、未授權變更、可重現的計票差異、保管鏈異常，或司法調查結果。這次已確認的是廣泛掃描故障與後續補救程序；截至本文截稿，所引資料沒有證明這起故障由駭客入侵或蓄意改票造成。這也不等於宣稱所有流程都毫無缺失，事後獨立檢討仍然必要。

八、為何錯誤資訊會比修復速度傳得更快？

當選民看到機器拒收選票、改由工作人員保管紙張，最直接的感受是流程不符合預期。事故早期原因說法反覆，更容易放大不確定性。NBC News 與 WIRED 報導，社群上有人迅速把技術故障描述成政治操縱，但這些指控沒有提供足以證實蓄意舞弊的證據。資訊傳播上的關鍵落差是：一段機器拒收選票的影片可以立即流傳；完整的配置比對、封存、重新掃描及核算卻需要時間。技術透明度與定時更新進度，是降低猜測空間的重要工具。

九、從資安角度，該如何驗證「沒有遭駭」？

公開聲明「沒有遭駭」與完成可供外界檢視的資安鑑識，證據強度並不相同。完整調查可檢視程式版本、簽章與雜湊、設備存取權限、部署紀錄、測試結果、異常事件與選票數量對帳。若有紙本可稽核紀錄，也可依適用法規與程序進行人工核對或抽樣稽核。本文不聲稱這些調查項目已全部完成，而是指出哪些證據能夠提高結論可信度。

十、對台灣與其他數位公共系統的啟示

這次事件的教訓不只關乎美國選舉。醫療資訊系統、交通票證、金融清算與公共服務平台，都可能因版本漂移而發生大規模服務中斷。關鍵不只是設備是否先進，而是變更管理、部署一致性、備援程序與可驗證的稽核鏈。選舉系統尤其特殊：它不只需要正確運作，也需要讓公眾能理解為何結果值得信任。當技術失效時，紙本紀錄與公開可檢驗的程序，就是信任的最後一道防線。

Tech English｜六個關鍵專有名詞

1. Ballot Scanner（選票掃描器）：讀取紙本選票標記並協助統計的設備。
2. Election Definition（選舉定義檔）：描述選區、候選人、選票樣式與選舉項目的系統設定資料。
3. Configuration Drift（組態漂移）：同一系統不同設備或環境的設定版本逐漸不一致。
4. Logic and Accuracy Testing（邏輯與準確性測試）：正式投票前檢查設備能否依預期辨識選票並計數的測試。
5. Chain of Custody（證物保管鏈）：記錄選票由誰、何時、在哪裡保管與移交的可追溯程序。
6. Risk-Limiting Audit（風險限制稽核）：以統計方法抽查紙本選票，控制錯誤選舉結果未被發現的風險。