摘要

  • AFRINIC-10 会议记录显示，2009 年 5 月 21 日，Sunday Folayan 说明选票应从登记台领取，并把有效选票描述为绿色、正面带有 AFRINIC 印章、背面也带有 AFRINIC 印章；他还表示会进行安全检查以确认真伪。这里有三个必须同时满足的可见条件，而不是一个笼统的“盖过章”标准。
  • 会议记录后来写明共投出 41 张选票，其中 40 张有效；唯一的无效票被归因为两个地区均未作投票标记，而不是颜色或印章问题。因此，40/41 约等于 97.560976% 只能称为总体有效票比例，1/41 约等于 2.439024% 只能称为总体无效票比例，均不能充当真伪检验的通过率或失败率。
  • 绿色纸张和前后两处印章是一项廉价、直观、可被复核的内部选举控制，但它只回答“这张纸是否符合已宣布的外观条件”。它不能自行证明签发正确、保管连续、逐票检查一致，更不能把一次私人机构的内部程序扩大为对运营商、号码资源或整个地区的公共权威。

分析起点：一张可以翻面的绿色纸

这件事的力量恰恰来自它的细小。2009 年 5 月 20 日，会议记录称，首席执行官提醒成员从秘书处领取次日董事选举所需的选票。到 5 月 21 日，记录列出四名选举委员会成员：Sunday Folayan、Ken Lohento、Mohamed Elghamry 和 Adiel Akplogan。随后，Sunday Folayan 说明选票应已从登记台领取，并给出识别有效选票的外观：绿色，正面有 AFRINIC 印章，背面也有 AFRINIC 印章；还会进行安全检查，以确保选票是真实的。

这不是抽象的“选举应当安全”。它把控制落到一件可以拿起、查看并翻面的物品上。复核者无需先接受某种宏大的机构自我描述，也无需猜测发言者内心动机，就可以问三件朴素的事：纸是不是绿色；正面有没有规定的印章；翻到背面后，那里有没有同一机构要求的印章。控制对象明确，检查动作也容易理解。

但一项控制越具体，边界就越应具体。会议记录能证明 AFRINIC 在当时如何描述这项规则，能证明发言中包含登记台、绿色纸张、前后两处印章和真伪检查。它不能凭官方身份自动证明每一张票确实经过同样的检查，不能证明印章始终受控，也不能证明外观合格之外的任何环节都没有差错。官方记录是机构言行的证据，不是机构自身正确、充分或拥有更大权力的自签证书。

如果把这张绿色纸当成整场选举的缩影，文章很快就会跑偏。真正值得研究的不是“这场选举总体上是否合法”之类的大而空判断，而是一个窄得足以被审计的问题：AFRINIC 宣布了三个可见真伪条件，这三个条件怎样形成一道门；这道门前后还需要哪些记录；现存材料究竟把保证程度推到了哪一格，又在哪一格停下。

三项条件组成的是合取门，不是装饰清单

把文字拆开，规则的结构非常清楚。第一项是颜色条件：纸张为绿色。第二项是位置明确的印章条件：正面有 AFRINIC 印章。第三项同样位置明确：背面有 AFRINIC 印章。三项不是任选其一，也不是“总体看起来像官方材料”即可，而是按当时描述需要同时成立。可以把它写成一个简单判断：绿色为真，正面印章为真，背面印章为真，三者合在一起，票面才符合所宣布的真伪形式。

这种拆解很重要，因为日常语言很容易把“双面盖章”压缩成“有章”。一旦压缩，控制就被悄悄削弱。一张只有正面印章的绿色纸、一张只有背面印章的绿色纸，或一张前后有章但并非绿色的纸，都没有满足被记录下来的完整形式。所谓“三项”，不是三种独立的高科技防伪手段，而是一个颜色条件加两个位置条件。它们可能共同增加仿制或误混入的麻烦，却不能在缺乏印章来源与保管材料时计算出任何概率意义上的安全增益。

这也解释了为什么“前后”不能写成模糊的“两枚章”。记录固定的是两个面的位置要求，不是对印章数量、图案或工艺的完整说明。现有材料没有给出印章文字、大小、墨色、图案、防伪特征，也没有说明正反两面是否使用不同器具。因此，审计者可以确认规则要求两个位置，却不能虚构两套独立密钥般的安全性。双面增加了一道观察动作；它是否构成真正独立的第二道防线，取决于盖章权和实物印章是否被独立、严格地控制，而这些信息并未被披露。

绿色本身也应受到同样克制的解释。颜色有识别价值：它能让错误纸张在短时间内更显眼，让计票桌上的人不必逐字比对复杂格式。但记录没有给出准确色值、纸张规格、水印或样张。一名复核者今天无法仅凭“绿色”二字重建当时的视觉标准，也无法判断偏浅、偏深、褪色或光照差异应如何处理。颜色是一个公布过的条件，却不是一份完整的技术规范。

因此，最准确的说法不是“AFRINIC 使用了三重安全技术”，而是“AFRINIC 宣布了三个必须共同出现的可见条件”。前者会凭空增加独立性、强度和执行含义；后者保留了规则的实际价值，也没有让外观承担它从未被证明承担过的保证。

登记台是签发咽喉，也是证据链的第一处空白

会议记录把选票领取指向登记台，这使登记台成为物理流程的咽喉。若所有授权票纸确实都从一个受控位置发出，绿色纸张和双面印章就不只是计票时的外观，它们还可以与签发行为连接起来：先有一批被授权的票纸，再由登记台交付，最后在票箱或计票桌前检查其外观。一个集中签发点能减少来源混乱，也能为库存核对创造条件。

可惜，“从登记台领取”并不等于“登记台形成了可审计签发账”。现有记录没有说明设计了多少张、印制了多少张、盖章了多少张、交到登记台多少张、发出多少张、退回未用多少张、作废多少张、进入票箱多少张、受质疑多少张、最终作为实物证据保留多少张。它也没有提供领取回执、票号登记、未用票盘点或具体工作人员分工。领取地点被写下来了，数量链却没有随之出现。

这一区别决定了控制能否从“看见”进入“核对”。假设计票桌上出现一张绿色且前后有章的票，它通过了票面条件；但若不知道一共盖过多少张、谁能接触印章、多少张已发出，那么票面外观无法单独回答它是否来自正确签发流程。相反，即使登记台认真发出了每一张票，若没有留下开盘库存、发出、退回和结余数字，后来的人也无法重演核对。这不是说签发一定出了问题，而是说材料无法让第三方重现“没有多、没有少、没有失控存量”的结论。

一份比例适当的签发账并不需要暴露投票选择。它可以只记录授权票纸总数、交接时间、保管责任、发出数量、退回数量、损坏或取消数量以及最终留存数量。领取者回执也可以与匿名票纸分离：一边证明某个有权领取的人领到了一张，另一边避免让投入票箱的纸张可以反查其选择。审计性与选择隐私不是非此即彼；真正的问题是系统是否有意把“谁领了票”与“票上选了什么”拆成两条隔离的数据链。

登记台还说明了为什么简单控制并不必然低级。对一场规模有限、现场进行的私人机构选举而言，一个明确柜台、一种指定颜色、两处指定印章，可能比复杂设备更符合成本与操作条件。简单并非缺陷。没有账才是保证能力的天花板：控制可以很简单，但必须让库存、权限和去向彼此咬合。

“会进行安全检查”与“留下检查证据”之间隔着整套程序

Sunday Folayan 的说明还包括一个承诺：将进行安全检查，以确保选票真实。这个表述给出了目的，却没有给出方法。材料没有说明谁负责检查，检查在投入票箱前、开箱后还是计票时进行，也没有说明是否逐张核对三个条件。看不出每一项条件怎样记录，遇到浅色、模糊章、半枚章或位置边缘的印迹时由谁判断，也没有保存可供复核的例外类别和处理结果。

必须谨慎处理这种缺失。不能因为方法没有出现在现存记录中，就断言检查根本没有发生。现场人员可能做过肉眼检查，也可能按照当时足以应付会议的口头做法行事；现有材料只是不足以证明具体执行。准确结论应是：检查被宣布，检查办法、责任人、逐票结果和异常处置在现有材料中没有描述。它限制的是可重复保证，不是对当事人的道德判决。

一项可重复的三条件检查至少要能回答四组问题。第一，检查对象是什么：所有进入统计的票，还是某一阶段筛出的票。第二，检查者是谁：单人、多人交叉，还是计票桌集体确认。第三，判断标准是什么：绿色如何识别，正面和背面印章如何视为存在，对模糊或残缺情况怎样分类。第四，结果怎样留下：每票三项勾选、只记录异常，还是记录汇总数字并保留被质疑票。没有这些信息，外部读者无法区分“规则写得清楚”与“规则执行得一致”。

最小记录不必沉重。可以给每张匿名票一个与领取人无关的审计序号；也可以不用序号，只让两名检查者分别记录三项条件的通过与例外总数。重要的是最终报告应区分：颜色不符、正面印章缺失、背面印章缺失、投票标记无效、其他程序争议。只要类别混在一个“无效”桶里，三项真伪控制是否实际拦截了任何票就无法得知。

检查记录的意义也不是为了事后制造怀疑。恰恰相反，它保护认真执行规则的人。若当时每张票都符合绿色和双面印章条件，一份简洁的零异常记录会比一句“会进行检查”更有说服力；若出现例外，保留例外及处置依据可以防止后来把正常纠错误写成混乱。记录既约束权力，也为尽职执行提供证据。

四十一张投出、四十张有效：正确的算术和错误的分母

会议记录后来给出两个总数：41 张选票投出，40 张被认定有效。因此总体有效票比例是 40 除以 41，约为 97.560976%；总体无效票比例是 1 除以 41，约为 2.439024%。这些计算没有争议，争议在于它们回答什么问题。

记录把唯一无效票归因于两个地区都没有投票标记。这属于票面表达或标记层面的无效，而不是被报告为绿色不符、正面无章、背面无章，也不是被报告为伪造票。因此，不能把 1/41 称为真伪失败率。反过来，也不能因没有披露印章相关拒票，就把 0/41 写成真伪失败率或把 41/41 写成真伪通过率。计算这类比率至少需要知道实际接受真伪检查的分母和各类检查结果；这两项均未被披露。

“没有披露印章拒票”与“印章检查零失败”不是一句话。前者是对现存材料的描述，后者是对执行结果的事实断言。把两者混同，会让记录中的沉默自动变成机构的成功证明。这正是审计语言最应避免的跳跃：未知不能被方便地填成零。

这里可以建立一个四格判断。已知的是规则含三项可见条件、共投出 41 张、40 张总体有效、1 张因未作投票标记而无效。可计算的是总体有效和无效比例。未披露的是实际检查张数、颜色或印章例外数、每票检查结果。不可推断的是所有票均通过真伪检查、没有未经授权的票纸、没有印章缺陷，或反方向的舞弊与篡改。把这四格分开，数字才不会变成修辞工具。

这也揭示一个常见的控制误区：机构喜欢公布最终总数，因为总数看起来像完整结论；审计者需要的是流程分母，因为分母决定某项控制的覆盖面。41 是进入投票总数，未必就是经过被记录真伪检查的总数。40 是总体有效数，未必就是通过三条件检验的总数。数字相同或接近不代表概念相同。

最强反方：对小型现场选举，简单也许正合适

最有力的辩护不是声称绿色纸张和两枚位置明确的印章万无一失，而是承认 2009 年一场规模有限的现场私人机构选举需要成本相称的控制。绿色便于一眼识别，双面盖章比单一颜色多一道门槛，登记台集中发票便于现场组织。若引入复杂的密码设备、昂贵的法证材料或繁重系统，成本可能超过风险，反而拖慢会议。这个辩护有现实分量。

它支持保留可见纸面控制，却不支持夸大保证。比例原则不等于“越简单越不用留记录”。一套简单控制完全可以配一套简单账目：开场点清授权票纸，限制谁能接触实体印章，登记发出和退回数量，封闭未用存量，核对票箱数量，按三项条件记录例外，并保留汇总。这样的做法不会把小型选举变成国家级选举工程，却能让日后复核不必依赖声望或记忆。

真正公平的结论应同时保留两面：第一，现有缺口不证明失败、造假、塞票、伪造、篡改或整场选举无效；第二，缺口确实限制了能够诚实提出的保证。不能因没有失败证据就宣布控制已被完整验证，也不能因没有完整记录就宣布控制必然失灵。审计的纪律，在于让证据承担恰好与其重量相等的结论。

如果当时风险很低，所需补充也可以很轻。恰恰因为绿色双面盖章规则直观，一张库存表、一份印章交接表、一张异常汇总表就可能显著提高可信度。最强反方因此没有击败问责要求；它帮助问责要求保持比例，不滑向昂贵而不必要的形式主义。

可见控制的真正价值：让争议围绕物件，而非围绕声望

一项好控制首先把问题变得可观察。绿色纸张和正反两处印章做到了一部分：如果有人对一张票提出疑问，参与者至少知道应把纸翻过来，看三个具体位置，而不是只听“这是官方票”或“工作人员确认过”。物件让讨论有共同焦点，也降低计票现场的解释成本。

第二，它把规则拆成可区分的失败。非绿色、正面缺章、背面缺章是三类不同例外。若记录按类别保存，改进就有方向：颜色混淆可能要求更清楚的纸张规格；单面漏章可能要求盖章工序复核；两面均无章则可能指向签发路径问题。没有分类，所有例外都沉入一个“无效”词里，下一次只能继续依赖相同口头保证。

第三，它有机会形成闭环。可见特征本身不是闭环，但它可以作为库存、签发、检查、票箱和计数之间的连接键。授权存量应全部为绿色且双面盖章；登记台发出的数量应与退回、作废和未用结余相容；进入票箱的票应接受同一三项检查；最终总数应与箱内实物对应。每个环节都围绕同一张纸，审核不必借助抽象的机构威望。

第四，它能说明控制没有覆盖什么。绿色和印章不能核实领取者身份，不能证明某个组织的授权范围，不能排除重复签发，不能证明投票选择被正确表达，不能证明票箱交接连续，也不能证明计数无误。这不是对控制的贬低。成熟控制框架从不要求一个措施包办所有风险；它要求每个措施清楚说出自己的功能，并与其他措施在边界处对接。

最危险的不是简单控制，而是控制越界。一旦绿色纸张被当作“过程看起来正式”的视觉符号，前后两枚章很容易从真伪条件变成正当性徽章。仪式感会替代证据链：有颜色、有印章、有委员会、有结果，于是所有更深问题都仿佛得到回答。可见控制原本用于缩小判断，经过叙事膨胀后却被用来扩大权威，这正是必须阻止的方向。

从授权票纸到留存记录：一条可复演的控制链

若要把 2009 年的设计补成一套真正可审计、又不过度复杂的流程，起点不是增加更华丽的印章，而是给每个环节一个可以交接的记录对象。

第一步是授权存量。应记录批准印制的票纸数量、纸张规格、制作方和接收数量。这里的目的不是宣称某种颜色天然安全，而是让“什么算授权纸张”成为固定基线。准确色值或样张可以解决不同光照和主观观察问题；若不采用精确技术指标，至少应保留一张不含投票选择的样本。

第二步是印章权限。应记录实体印章有多少、由谁保管、何时领出、何时归还、谁有权盖章。正面和背面要求只有在盖章权受控时才有意义。若任何人可随时取得同一印章，两处位置只是重复动作；若印章接触被限制并有交接记录，双面要求才更可能发挥对未经授权纸张的阻力。

第三步是盖章产出。应核对多少张纸完成正反两面盖章，多少张因印迹不清或纸张损坏被取消，取消件如何隔离。记录不应把不合格票纸简单丢弃后遗忘，因为被取消存量同样属于总账。授权票纸总量应能拆成合格待发、取消、损坏和未处理几类，且总数相等。

第四步是登记台签发。应记录开场存量、每次发出动作和闭场结余，但避免把可投入票箱的匿名票与领取者选择绑定。可采用分离式回执：领取记录只证明某一授权领取动作已经发生，票面审计标识则只用于库存核对，二者没有可恢复的选择映射。这样既能查数量，也不会把审计变成追踪投票内容的工具。

第五步是未用与损坏票处理。未领取、退回、现场损坏或被取消的票纸都应从可用状态退出，并由两人见证其隔离或保留。若只数已发出票而不管剩余存量，控制仍有一个敞开的后门：不是说后门被利用，而是审计无法证明它已关闭。

第六步是票箱交接。三项真伪条件主要附着在纸上，但纸投入箱后仍需保管。可以记录箱体封闭时间、交接人、开箱时间和箱内总数。这里无须延伸到其他年代的事件；它只是同一张 2009 年绿色纸从登记台走向计票桌必经的物理环节。

第七步是逐票或全覆盖检查。检查者应按固定顺序看颜色、正面、背面，将三个结果分别记录。固定顺序能减少只看一面就下结论的疏漏。若采用双人复核，应说明分歧如何升级；若采用单人检查，应至少由另一人核对异常分类和汇总。

第八步是无效原因分层。真伪条件失败、票面标记无效、授权争议和计数争议不能混为一类。2009 年唯一被说明的无效票是未作投票标记，这正好证明分类的必要：它不应被拿来填补印章失败栏。每种原因有自己的证据和处置，不同栏位之间不得互相借数。

第九步是总量核对。授权存量应等于合格待发、取消和损坏等去向之和；合格待发应能与发出、未用和退回相容；进入票箱的实物总数应与投出总数对应；最终有效与各类无效之和应回到箱内总数。核对不是为了制造漂亮的百分比，而是为了让每一张纸只有一个去向。

第十步是留存与公开。可公开控制规格、责任角色、各环节汇总、异常类别与处置，同时保护投票选择。实体票、印章交接和详细检查表可按适当规则保留，以便出现争议时由有权机构检查。没有留存，再好的现场操作也会随记忆消失；有了留存，简单绿纸也能承载可复演的证据链。

一张审计表应当把“未知”留成未知

把上述流程转成报告时，最重要的设计不是多填，而是不替未知作答。针对这次绿色双面盖章规则，一份诚实的审计表可以分成四列：控制要求、现有证据、仍缺材料、允许结论。

控制要求 现有证据 仍缺材料 允许结论
绿色纸张 规则明确提到绿色 纸张规格、准确色值、样张、逐票结果 颜色是宣布过的条件，执行覆盖未知
正面印章 规则明确要求正面有 AFRINIC 印章 印章样式、保管、正面逐票结果 正面位置是必要条件，实际异常数未知
背面印章 规则明确要求背面也有 AFRINIC 印章 同上，并缺背面逐票结果 背面位置不可省略，实际异常数未知
登记台领取 记录指明领取地点 签发账、领取回执、库存与结余 登记台是流程咽喉，不等于签发已核对
真伪安全检查 发言称会进行检查 方法、责任人、时点、标准、结果 检查被宣布，怎样执行未被描述
总体票数 41 张投出、40 张有效 真伪检查分母及分类结果 可算总体比例，不可算印章通过率

这样的表格不追求替机构补齐叙事。它让证据与结论一一对应。尤其要避免用“没有发现”描述一个没有明确搜索范围、责任人和记录的事项。若报告没有提供印章异常数，最准确的单元格是“未披露”，而不是“零”。若没有票纸样张，最准确的说法是“无法复原准确视觉规范”，而不是猜测印章具备某种防伪技术。

保留未知还有一个治理价值：它防止后来者把缺口政治化。支持者不能把空白当作完美执行的证明，批评者也不能把空白当作舞弊的证明。双方被迫回到同一个问题——哪一份记录能把未知变成已知。问责由立场竞赛转为证据请求，机构声望也不再替代具体材料。

时间越久，2009 年未记录的事项越难补救。纸张可能不再存在，印章可能无法定位，当事人的记忆会衰退，例外处理无法重建。这使“未知”具有不可逆性，却不允许我们用猜测消灭它。历史研究的责任不是制造一个完整故事，而是精确标出完整故事在哪里断开。

双面要求有几分力量，取决于印章保管而不是“二”这个数字

正反两面各有一处印章，直觉上比只看一面更可靠，但“多一个位置”不必然等于“多一道独立防线”。如果两面都由同一枚不受限制的印章在同一时刻盖出，那么取得印章的人完成两次动作即可；第二次动作增加操作量，却没有引入新的授权来源。若印章数量、领用、归还和盖章产出均被核对，双面要求才会与保管链共同提高未经授权纸张满足形式的难度。

因此，评价这项控制不能只数票上的章，还要数能够制造章的人、器具和机会。需要知道实体印章共有多少枚，谁在什么时段保管，是否存在备用印章，盖章前后的票纸数量是否一致，盖坏或重盖的纸怎样退出有效存量。现有材料没有给出这些答案，所以不能声称正反两处标记带来某个可量化的风险下降，也不能反过来说它毫无作用。它确定增加了一项位置要求；安全独立性仍取决于未披露的保管事实。

这一点还解释了为什么样章照片只能解决识别问题，不能解决发行问题。样章可以让检查者比较图案，却无法证明投入票箱的章来自受控器具。保管账可以证明器具交接，却不能单独证明每张票两面都被检查。票面、器具和检查记录必须相互指向：票面提供可见结果，器具账限制制造能力，检查表证明结果被一致核验。少一条，保证便停在相应边界。

设计时还应考虑无恶意的普通差错。印迹可能过浅，纸张可能被折叠，工作人员可能漏盖一面，检查者可能忘记翻面。中性例外分类能把这些情况与未经授权纸张分开，不必一见缺章便推定动机。一个成熟系统的目的不是给每个瑕疵贴上道德标签，而是发现偏差、隔离票纸、记录决定，并让总量重新闭合。

双面控制最值得保留的，正是这种可被拆解的性质。它让流程负责人可以逐步追问：位置要求是否明确，盖章权是否受控，产出数量是否核对，检查是否覆盖，异常是否留下。任何一步的肯定答案都只增加该步的保证；没有一步可以替其他步骤作答。

最终报告需要两套分母，而不是一个“有效”总数

一份真正解释绿色双面盖章控制的最终报告，至少要把真伪检查统计与投票有效性统计分开。第一套统计以接受三项检查的票为分母，分别列出三项均符合、颜色不符、正面缺章、背面缺章以及无法判定的数量。第二套统计以进入投票结果判断的票为分母，列出总体有效和因票面表达等原因未计入的数量。两套统计可能使用同一批实物，却回答不同问题。

如果一张票颜色与双面印章均合格，但没有形成可计入的投票标记，它应在真伪栏合格，在表达栏无效。2009 年记录所说明的那张无效票正要求我们保持这种分栏。若把它只写成“无效”，读者会误以为三项真伪控制拦下了一张票；若把总体 40 张有效全写成“通过认证”，又会把表达判断偷换成安全检查。

两套分母之后还需要一行核对说明：哪些票进入了真伪检查，哪些票进入了结果判断，两者如有差异，差异来自哪个已记录处置。这样做不是追求数字繁复，而是防止同一个数字在不同句子里不断变换含义。一个数字只能回答其定义允许的问题。

报告还应给零值附上证明路径。“颜色异常为零”必须意味着检查范围已定义、全部结果被记录、汇总可回到票数，而不是报告撰写者没有看到相关争议。“背面缺章为零”也不能从最终无效票原因倒推。零是一项积极的审计结论，需要与非零一样有分母、责任人和记录。

若这些要素无法取得，最终报告应直说真伪通过率不可计算，并解释为何不可计算。承认不能计算不会削弱研究；它避免把 97.560976% 这个精确数字放到错误位置。精确小数若对应错了概念，只会让误导显得更科学。对这次选票而言，最专业的数字判断正是拒绝计算一个没有分母的比例。

四个层次必须隔离：真伪、表达、签发与权威

绿色双面盖章最适合用来训练一种分层纪律。第一层是真伪外观：票纸是否满足绿色、正面章、背面章。第二层是票面表达：票上是否出现能够按规则计入的选择。第三层是签发与授权流程：票是否从正确渠道发出，数量是否受控。第四层是机构权威：这场内部选举结果在什么法律和公司边界内产生何种效力。

2009 年记录中的一张无效票落在第二层，因为它缺少投票标记；不能把它移动到第一层，称为真伪失败。登记台提示第三层的流程入口，却没有提供第三层完整账目。绿色与双面印章属于第一层，即使第一层完全成功，也不能单独回答第三层的所有问题。至于第四层，更不可能由一张票的颜色或印章位置自动产生。

这种隔离不是概念游戏，而是防止保证被“横向挪用”。一项控制成功后，机构常会获得一种心理红利：既然票纸看起来受控，人们便容易相信领取、保管、计数和授权也都受控。可不同层次需要不同证据。外观需要样张与检查表，签发需要库存与账目，箱内保管需要交接，内部公司效力需要适用的法律和组织文书。任何一层都不能拿另一层的视觉效果来垫高自己。

反过来，一个层次的失败也不应自动污染其他层。某张票没有投票标记，不等于它是伪票；某项签发记录缺失，不等于已经发生伪造；某个权威问题未解决，也不等于当日所有可见控制都毫无价值。把层次隔开，既使批评更准确，也使有效控制不被不相关争论吞没。

专业审计者因此不应只问“这张票有效吗”，而应把问题改写为一组限定句：它是否满足宣布的三项外观条件；是否在被记录的签发范围内；是否按票面表达规则计入；其所支持的内部行动又被什么边界限制。每一个“是”都只在自己的句子里有效。

记录可以描述现实，却不能创设它所记录的权力

AFRINIC 的核心合理角色是簿记、协调与服务：维持号码唯一性，保存准确登记，保证联系信息、安全元数据、转移记录、争议标记、可审计性、故障切换与连续性。绿色双面盖章规则与这一角色有家族相似性。它试图让一张内部选举票可识别，让记录中的结果有一个可观察的物理入口。这是一项窄而正当的行政工作。

问题从来不是簿记毫无价值，而是簿记员把记录误认成现实的来源。票面被认定符合条件，只能说明它跨过一项私人程序设置的门。选举结果可以在适用的公司结构和实际授权范围内支持有限的内部行动，却不能把 AFRINIC 变成主权者、立法者、监管者、警察、检察机关、法院、惩罚者、没收者、征税者或号码资源所有者。

印章尤其容易诱发这种误认。章的视觉语言带着正式、确认和批准的气息。正面一枚、背面一枚，更可能让程序显得庄严。但正式感不是公共权威。AFRINIC 的印章能标识 AFRINIC 设定的内部票纸，不能凭图案向未授权的运营商、国家或整个地区制造义务。一本账可以准确记录谁被机构承认为登记持有人，却不能因为它记载了某项状态，就宣称自己创造了网络运行、市场价值或法律主权。

这种边界反而保护登记机构。一个私人协调者的信任来自中立、准确、可预测与克制，不来自模拟国家。它没有军队，也不直接控制运营商的路由和网络；其影响依赖各方对记录的信任与合作。若机构不断把有限内部程序包装成更广授权，它消耗的正是使账本有用的信任。

因此，绿色双面盖章选票最恰当的制度含义并非“程序产生权威”，而是“程序需要可审计”。一张票越正式，越应把签发、保管、检查和核对写清楚；一个登记机构越处在稀缺资产与运营连续性的咽喉，越应把自己的权力解释得更窄，而不是借仪式扩张。

这张绿纸留下的结论，应当窄而坚固

可以肯定的事情并不多，却足够形成一项有价值的结论。2009 年 5 月 21 日，AFRINIC 的选举说明把有效票纸描述成绿色、正面带章、背面带章，并表示会做真伪安全检查。它构成一个三项合取的可见控制。会议记录还给出 41 张投出、40 张有效，并说明唯一无效票没有作投票标记。由此可以算总体比例，却算不出印章控制的成败率。

可以合理主张的是，颜色加双面位置标记能以较低检查成本排除或暴露一部分不符合外观的纸张，也能给现场争议提供具体对象。无法合理主张的是，这些特征本身证明每张票正确签发、印章从未失控、票箱保管无断点、所有检查一致、计数正确，或整个机构由此获得超出私人公司范围的权威。

缺失的签发数量、印章保管、检查者身份、例外日志与总量核对不证明当日失败。它们只划定证据所能支撑的最高保证。未来制度可以改变纸张规格、保管方式、签发账、检查训练、异常分类和公开汇总；但未被同时记录下来的 2009 年事实、遗失的实物和缺失的异常日志，已经很难追回。

所以，这张绿色双面盖章选票不是宪制证书。它是一项狭窄的私人选举真伪控制，其最佳遗产是一套审计语法：把物件说清，把三项条件拆开，把印章交给明确责任人，把每张纸的去向核对起来，把例外留在记录里，再把每个结论限制在它的证据范围内。账本值得保护，正因为簿记员没有创造账本所描述的世界。