BR102021020458A2

BR102021020458A2 - DEVICE AND METHOD FOR AUDIT OF ELECTRONIC VOTING WITHOUT THE USE OF PAPER

Info

Publication number: BR102021020458A2
Application number: BR102021020458-3A
Authority: BR
Inventors: Vanin Alves Ferreria
Original assignee: Vanin Alves Ferreira
Priority date: 2021-10-11
Filing date: 2021-10-11
Publication date: 2023-04-25
Also published as: WO2023060332A1

Abstract

A presente invenção tem por objetivo possibilitar a auditoria do resultado de uma eleição realizada por meio votação eletrônica, sem a utilização de papel, de forma independente dos softwares utilizados nas urnas eletrônicas (U) e dos sistemas de apuração e totalização dos votos. O dispositivo (1) e método dos quais se tratam a presente invenção possibilitam o registro fotográfico ou em vídeo dos votos, por meio da captura de fotografias ou vídeos da tela da urna eletrônica (TU) ou de uma tela auxiliar (TA) contento o voto ou os votos realizados por cada eleitor, gerando, assim, uma trilha de auditoria sem a utilização de papel. O dispositivo (1) possui uma cabine de isolamento (2), com uma ou mais câmeras internas (5), a qual isola o entorno da tela da urna eletrônica (TU) ou da tela auxiliar (TA), permitindo a visualização do seu interior, mas impedindo a inserção de quaisquer objetos estranhos no campo de visão da câmera ou das câmeras, bem como impedindo a captura da imagem de quaisquer objetos externos à cabine de isolamento (2). No interior da cabine de isolamento (2) há espaços para a fixação de identificadores e cartões de dados, como por exemplo, código de barras, números de série da urna eletrônica e cartão de assinaturas (6), dentre outros, os quais serão capturados nas fotografias ou vídeos e farão parte do registro do voto, para fins de auditoria. Os registros fotográficos ou em vídeo dos votos são assinados digitalmente e gravados de forma embaralhada em uma mídia não regravável. O dispositivo (1) possui um sistema embarcado que funciona de forma independente do software da urna eletrônica (U) e permite ao eleitor visualizar e confirmar o registro fotográfico ou em vídeo do seu voto. Adicionalmente, o dispositivo (1) possibilita a realização de eventual contagem pública dos votos, após o encerramento da votação.

The purpose of the present invention is to make it possible to audit the result of an election carried out by means of electronic voting, without the use of paper, independently of the software used in the electronic voting machines (U) and of the vote counting and totaling systems. The device (1) and method used in the present invention allow the photographic or video recording of votes, by capturing photographs or videos from the screen of the electronic voting machine (TU) or an auxiliary screen (TA) containing the vote or the votes cast by each voter, thus generating a paperless audit trail. The device (1) has an isolation cabin (2), with one or more internal cameras (5), which isolates the surroundings of the electronic voting machine screen (TU) or the auxiliary screen (TA), allowing the visualization of its interior, but preventing the insertion of any foreign objects in the field of view of the camera or cameras, as well as preventing the capture of the image of any objects external to the isolation booth (2). Inside the isolation booth (2) there are spaces for attaching identifiers and data cards, such as bar codes, electronic voting machine serial numbers and signature cards (6), among others, which will be captured in photographs or videos and will form part of the voting record for auditing purposes. Photographic or video recordings of votes are digitally signed and recorded in scrambled form on non-rewritable media. The device (1) has an embedded system that works independently of the electronic voting machine (U) software and allows voters to view and confirm the photographic or video recording of their vote. Additionally, the device (1) makes it possible to carry out a possible public counting of the votes, after the closing of the voting.

Description

DEVICE AND METHOD FOR PAPERLESS ELECTRONIC VOTING AUDIT

field of invention

[001] A presente invenção refere-se, em geral, à votação eletrônica. Particularmente, a presente invenção refere-se à auditoria do resultado de uma eleição feita por meio votação eletrônica, sem a utilização de papel.[001] The present invention relates, in general, to electronic voting. Particularly, the present invention refers to the audit of the result of an election made by means of electronic voting, without the use of paper.

Fundamentals of the invention

[002] O voto direto, secreto, universal e periódico é um dos pilares da democracia. Segundo a constituição brasileira, no seu artigo 14, “a soberania popular será exercida pelo sufrágio universal e pelo voto direto e secreto, com valor igual para todos...”. A declaração universal dos direitos humanos, no seu artigo 21° estabelece: “A vontade do povo é o fundamento da autoridade dos poderes públicos: e deve exprimir-se através de eleições honestas a realizar periodicamente por sufrágio universal e igual, com voto secreto ou segundo processo equivalente que salvaguarde a liberdade de voto”. No entanto, sempre foi um desafio e bastante dispendioso a realização de eleições que preservem o caráter secreto do voto e ao mesmo tempo sejam transparentes e auditáveis, garantindo um resultado livre de fraudes ou erros não intencionais.[002] Direct, secret, universal and periodic voting is one of the pillars of democracy. According to the Brazilian constitution, in its article 14, “popular sovereignty will be exercised by universal suffrage and by direct and secret vote, with equal value for all...”. Article 21 of the Universal Declaration of Human Rights states: “The will of the people is the foundation of the authority of the public powers: and it must be expressed through honest elections to be held periodically by universal and equal suffrage, with secret ballot or according to an equivalent process that safeguards freedom to vote”. However, it has always been a challenge and quite expensive to hold elections that preserve the secret nature of the vote while at the same time being transparent and auditable, ensuring a result free of fraud or unintentional errors.

[003] Por muitos anos o voto em cédula de papel foi e ainda continua sendo o principal meio de votação em muitos países. No entanto, além de ser um processo caro e demorado, ele traz consigo uma série de vulnerabilidades que podem facilitar a ocorrência de fraudes ou de erros não intencionais nos pleitos eleitorais. Como exemplos de fraudes ocorridas no Brasil, no tempo do voto em papel, podemos citar o “voto formiguinha”, no qual um dos primeiros eleitores que se apresentava na seção eleitoral recebia a cédula do mesário, entrava na cabina de votação e, em vez de preenchê-la e depositá-la, guardava a cédula em branco e colocava um papel qualquer na urna de lona. Outra pessoa que estava fora da seção recebia a cédula oficial, assinalava os candidatos desejados e a entregava para um próximo eleitor. Esse tinha a incumbência de depositar a cédula já preenchida, pegar outra em branco e devolver novamente para a pessoa que organizava o esquema (fonte: https://www.tse.jus.br/imprensa/noticias- tse/2018/Maio/urna-eletronica-extinquiu-ocorrencias-de-fraudes-em-eleicoes, visto em outubro de 2021). Como outros exemplos de fraude podemos citar a tática das “urnas emprenhadas”, na qual as urnas, que eram de lona, por serem frágeis, sem requisito de segurança, possibilitavam a inserção de cédulas preenchidas antes de iniciar a votação; e, ainda, o preenchimento de cédulas depositadas em branco em favor de algum candidato durante o processo de contagem dos votos.[003] For many years paper ballot voting was and still remains the main means of voting in many countries. However, in addition to being an expensive and time-consuming process, it brings with it a series of vulnerabilities that can facilitate the occurrence of fraud or unintentional errors in electoral processes. As examples of fraud that occurred in Brazil, during the time of paper voting, we can mention the “voto ant”, in which one of the first voters to show up at the polling station received the polling station’s ballot, entered the voting booth and, instead of After filling it out and depositing it, he would keep the blank ballot and place any piece of paper in the canvas ballot box. Another person who was outside the section received the official ballot, marked the desired candidates and handed it to a next voter. This one had the task of depositing the already completed ballot, picking up another blank one and returning it again to the person who organized the scheme (source: https://www.tse.jus.br/imprensa/noticiastse/2018/Maio/ electronic urns-extinguished-occurrences-of-fraud-in-elections, seen in October 2021). As other examples of fraud, we can cite the tactic of “impregnated ballot boxes”, in which the ballot boxes, which were made of canvas, because they were fragile, without security requirements, made it possible to insert filled-in ballots before starting the vote; and, furthermore, the filling in of blank ballots deposited in favor of a candidate during the vote counting process.

[004] Além das fraudes, no processo de votação utilizando-se somente o voto em papel, existe um risco maior de erros humanos não intencionais durante a apuração dos resultados. Numa contagem de milhões de votos feita manualmente tem-se um grande risco de alguns votos serem atribuídos a candidatos diferentes daqueles escolhidos pelos eleitores, em decorrência de falha humana. Além dos erros humanos, a contagem manual em uma eleição nacional, com milhões de eleitores, é bastante dispendiosa e demorada.[004] In addition to fraud, in the voting process using only paper voting, there is a greater risk of unintentional human errors during the calculation of results. In a manual counting of millions of votes, there is a great risk that some votes will be attributed to candidates other than those chosen by the voters, due to human error. In addition to human errors, manual counting in a national election with millions of voters is quite expensive and time-consuming.

[005] Com intuito de agilizar a apuração dos resultados, baratear os custos, resolver alguns problemas de fraudes e mitigar consideravelmente os riscos de erros humanos inerentes ao processo de votação em papel, o Brasil, assim como vários outros países passaram a adotar sistemas de votação eletrônica, utilizando as Electronic Voting Machines (EVMs), conhecidas como urnas eletrônicas.[005] In order to speed up the verification of results, lower costs, solve some fraud problems and considerably mitigate the risks of human errors inherent in the paper voting process, Brazil, as well as several other countries, started to adopt systems of electronic voting, using Electronic Voting Machines (EVMs), known as electronic voting machines.

[006] A maioria dos sistemas eletrônicos de votação se encaixa em um dos seguintes tipos: 1) Direct recording eiectronic (DRE), dispositivos que registram os votos dos eleitores eletronicamente, os quais podem vir com um sistema de impressão em papel VVPAT, or voter-verified paper audit trail) para permitir a auditoria dos resultados. 2) Sistemas OMR, que são baseados em scanners que reconhecem as escolhas dos eleitores em uma cédula de papel. 3) Electronic ballot printers (EBPs), dispositivo similar ao DRE que produz uma impressão em papel do voto, a qual deve ser inserida em um scanner separado que faz a contagem dos votos. 4) Sistemas de votações por internet, onde os votos são transferidos por internet para um servidor central que faz a contagem, (fonte: INTRODUCING ELECTRONIC VOTING Essential Considerations, International Institute for Democracy and Electoral Assistance - IDEA, https://www.idea.int/publications/cataloaue/introducinq-electronic-votinq-essential-considerations, visto em outubro de 2021)[006] Most electronic voting systems fall into one of the following types: 1) Direct recording eiectronic (DRE), devices that record voters' votes electronically, which may come with a VVPAT paper printing system, or voter-verified paper audit trail) to allow auditing of the results. 2) OMR systems, which are based on scanners that recognize voters' choices on a paper ballot. 3) Electronic ballot printers (EBPs), a device similar to the DRE that produces a paper printout of the vote, which must be inserted into a separate scanner that counts the votes. 4) Internet voting systems, where votes are transferred over the internet to a central server that counts, (source: INTRODUCING ELECTRONIC VOTING Essential Considerations, International Institute for Democracy and Electoral Assistance - IDEA, https://www.idea .int/publications/cataloaue/introducinq-electronic-votinq-essential-considerations, seen October 2021)

[007] Os sistemas de votação eletrônica resolveram vários problemas históricos do sistema em papel, porém introduziram novos problemas, como falta de transparência, riscos de erros de softwares intencionais ou não, risco de terem os seus softwares adulterados por um invasor interno ou externo, entre outros, possibilitando alteração no resultado das eleições, sem a percepção pelos observadores do processo eleitoral.[007] Electronic voting systems solved several historical problems of the paper system, but introduced new problems, such as lack of transparency, risks of intentional or unintentional software errors, risk of having their software tampered with by an internal or external attacker, among others, allowing changes in the results of the elections, without the perception by observers of the electoral process.

[008] Os sistemas de votação eletrônica que não geram uma trilha de auditoria dos votos e não permitem ao eleitor confirmar o registro/comprovante do seu voto, de forma independente dos softwares das urnas eletrônicas, como o DRE sem VVPAT, tem recebido fortes críticas da comunidade científica e de organismos internacionais. Na última versão do Voluntary Voting System Guidelines (VVSG 2.0), de fevereiro de 2021, publicado pela Election Assistance Commission (EAC), instituto responsável pelas diretivas e padrões a serem adotados em sistemas de votação eletrônica nos Estados Unidos, foram estabelecidas, entre outras diretivas, a obrigatoriedade dos sistemas de auditoria serem independentes dos softwares utilizados para a realização da votação eletrônica, isto é, um erro ou falha não detectável no software do sistema de votação eletrônica não pode causar uma alterarão não detectável no resultado do pleito eleitoral. Adicionalmente, estabeleceu-se que o sistema de auditoria deve permitir ao eleitor confirmar o comprovante do seu voto durante a realização da votação.[008] Electronic voting systems that do not generate an audit trail of votes and do not allow voters to confirm the registration/proof of their vote, independently of electronic voting software, such as the DRE without VVPAT, have received strong criticism the scientific community and international organizations. In the latest version of the Voluntary Voting System Guidelines (VVSG 2.0), dated February 2021, published by the Election Assistance Commission (EAC), the institute responsible for the directives and standards to be adopted in electronic voting systems in the United States, were established, among others directives, the obligation of auditing systems to be independent of the software used to carry out electronic voting, that is, an error or undetectable failure in the software of the electronic voting system cannot cause an undetectable change in the result of the election. Additionally, it was established that the auditing system should allow voters to confirm proof of their vote while voting.

[009] Todos os sistemas de votação eletrônica conhecidos atualmente que geram um comprovante individual do voto, de forma independente do software utilizado na votação eletrônica e que permitem ao eleitor verificá-lo no processo de votação, utilizam de alguma forma o papel. Como exemplo temos os sistemas do tipo DRE com VVPAT, que imprimem os votos em papel, os sistemas do tipo OMR, onde o voto marcado em uma cédula de papel é lido e processado por um scanner e os sistemas EBPs, que como o DRE com VVPAT também imprimem o voto em papel. Estes sistemas apresentam uma evolução em relação a votação feita somente em cédulas de papel e adicionam uma camada extra de segurança em relação aos sistemas eletrônicos que não geram comprovantes verificáveis pelo eleitor, como o DRE sem VVPAT, porém eles não resolvem alguns dos problemas inerentes ao uso de papel, como o alto custo com manuseio, transporte e armazenamento dos comprovantes em papéis, o risco de fraudes ou erros no processo de contagem dos votos, o risco de adulteração, adição ou subtração de alguns dos comprovantes em papel e o impacto ambiental, entre outros. Além dos problemas citados acima, adiciona-se o risco de falhas no processo eletromecânico para a impressão dos comprovantes, nos sistemas que fazem a impressão durante o processo de votação, o que pode resultar, inclusive, na quebra do sigilo do voto e da validade do processo eleitoral. Em 2020, de forma unânime, a suprema corte brasileira (STF) barrou a impressão do registro do voto realizado na urna eletrônica, por colocar em risco o sigilo e a liberdade do voto (AÇÃO DIRETA DE INCONSTITUCIONALIDADE N. 5.889/ DISTRITO FEDERAL).[009] All currently known electronic voting systems that generate an individual proof of vote, independently of the software used in electronic voting and that allow the voter to verify it in the voting process, use paper in some way. As an example we have the DRE type systems with VVPAT, which print the votes on paper, the OMR type systems, where the vote marked on a paper ballot is read and processed by a scanner and the EBPs systems, which like the DRE with VVPAT also print the vote on paper. These systems present an evolution in relation to voting done only on paper ballots and add an extra layer of security in relation to electronic systems that do not generate verifiable vouchers by the voter, such as the DRE without VVPAT, but they do not solve some of the problems inherent in the use of paper, such as the high cost of handling, transporting and storing paper vouchers, the risk of fraud or errors in the vote counting process, the risk of tampering, adding or subtracting some of the paper vouchers and the environmental impact , between others. In addition to the problems mentioned above, there is the risk of failures in the electromechanical process for printing receipts, in systems that print during the voting process, which may even result in breach of vote secrecy and validity. of the electoral process. In 2020, unanimously, the Brazilian Supreme Court (STF) barred the printing of the vote record made in the electronic ballot box, as it jeopardized the secrecy and freedom of the vote (ACTION DIRETA DE INCONSTITUTIONALIDADE N. 5.889/ DISTRITO FEDERAL).

[0010] O dispositivo e método para auditoria de votação eletrônica a que se refere esta invenção tem por objetivo possibilitar a auditaria do resultado de uma eleição feita por meio de votação eletrônica, sem a utilização de papel e de forma independente dos softwares utilizados nos sistemas votação eletrônica, solucionando, assim, os problemas citados acima, em relação aos comprovantes impressos em papéis, mantendo os benefícios de uma eleição realizada por meio de votação eletrônica. A presente invenção vai possibilitar a geração de um comprovante do voto ou dos votos de cada eleitor, por meio de fotografia ou vídeo da tela da urna eletrônica (TU) ou de uma tela auxiliar (TA) contendo o voto ou votos realizados pelo eleitor na urna eletrônica (U), juntamente com identificadores e cartões dados fixados no entorno da tela, como exemplo, código de barras, número de série da urna eletrônica (U) e cartão de assinaturas (6), dentre outros. O registro fotográfico ou em vídeo do voto ou votos é gerado por um sistema, preferencialmente embarcado no dispositivo (1), que funciona de forma independente dos softwares utilizados nos sistemas de votação eletrônica e de apuração dos votos. O dispositivo (1) permite ao eleitor confirmar o registro fotográfico ou em vídeo do seu voto ou votos durante o processo de votação, garantindo assim um comprovante legítimo que foi confirmado pelo eleitor, de forma independente dos softwares utilizando no sistema de votação eletrônica, o qual poderá ser utilizado para realizar a verificação da contagem de votos, em uma auditoria do resultado da eleição, de forma segura, independente e transparente, após o pleito eleitoral.[0010] The device and method for auditing electronic voting referred to in this invention aims to enable the audit of the result of an election made through electronic voting, without the use of paper and independently of the software used in the systems electronic voting, thus solving the problems mentioned above, in relation to vouchers printed on paper, maintaining the benefits of an election carried out through electronic voting. The present invention will make it possible to generate a proof of the vote or votes of each voter, by means of a photograph or video of the screen of the electronic voting machine (TU) or an auxiliary screen (TA) containing the vote or votes cast by the voter in the electronic ballot box (U), together with identifiers and data cards fixed around the screen, such as bar code, serial number of the electronic ballot box (U) and signature card (6), among others. The photographic or video record of the vote or votes is generated by a system, preferably embedded in the device (1), which works independently of the software used in the electronic voting and vote counting systems. The device (1) allows the voter to confirm the photographic or video record of their vote or votes during the voting process, thus ensuring a legitimate proof that was confirmed by the voter, regardless of the software used in the electronic voting system, the which can be used to verify the vote count, in an audit of the election result, in a safe, independent and transparent way, after the election.

Brief description of the drawings

[0011] Segue uma breve descrição das figuras, diagramas e gráficos utilizados para auxiliar na compreensão da invenção a que se refere este pedido de patente:
A Figura 1 mostra uma visão da parte frontal e lateral direita do dispositivo (1).
A Figura 2 mostra uma visão da parte traseira e lateral esquerda do dispositivo (1).
A Figura 3 mostra uma visão aproximada da parte traseira e lateral direita do dispositivo (1).
A Figura 4 apresenta os detalhes do sistema de encaixe (7) utilizado para acoplar o dispositivo (1) à urna eletrônica (U) ou a uma tela auxiliar (TA).
A Figura 5 mostra o dispositivo (1) acoplado a uma urna eletrônica (U), visto pela frente e lateral direita.
A Figura 6 apresenta o dispositivo (1) acoplado a uma urna eletrônica (U), visto pela parte traseira e lateral direita.
A Figura 7 mostra o dispositivo (1) acoplado a uma tela auxiliar (TA), visto pela frente e lateral direita.
Figura 8 apresenta uma sugestão de modelo para um cartão de assinaturas.
A Figura 9 mostra uma representação gráfica dos componentes macros e interfaces do dispositivo (1)
A Figura 10 apresenta um diagrama de estados do software embarcado no dispositivo (1).[0011] Below is a brief description of the figures, diagrams and graphs used to assist in understanding the invention referred to in this patent application:
Figure 1 shows a view of the front and right side of the device (1).
Figure 2 shows a rear and left side view of the device (1).
Figure 3 shows a close-up view of the rear and right side of the device (1).
Figure 4 shows the details of the fitting system (7) used to couple the device (1) to the electronic voting machine (U) or to an auxiliary screen (TA).
Figure 5 shows the device (1) coupled to an electronic voting machine (U), seen from the front and right side.
Figure 6 shows the device (1) coupled to an electronic voting machine (U), seen from the back and right side.
Figure 7 shows the device (1) coupled to an auxiliary screen (TA), seen from the front and right side.
Figure 8 presents a model suggestion for a signature card.
Figure 9 shows a graphical representation of the macro components and interfaces of the device (1)
Figure 10 presents a state diagram of the software embedded in the device (1).

Description of the invention

[0012] O dispositivo e método para auditoria de votação eletrônica ao qual se refere a presente invenção consiste em um dispositivo (1) e método para registrar o voto ou os votos de cada eleitor, por meio da captura de fotografias ou vídeos da tela da urna eletrônica (TU) ou de uma tela auxiliar (TA) contento o voto ou votos realizados pelo eleitor, juntamente com identificadores e cartões de dados, como por exemplo, código de barras, número de série da urna eletrônica e cartão de assinaturas (6), dentre outros, fixados no entorno da tela da urna eletrônica (TU) ou de uma tela auxiliar (TA).[0012] The device and method for auditing electronic voting to which the present invention refers consists of a device (1) and method for recording the vote or votes of each voter, by capturing photographs or videos of the screen of the electronic ballot box (TU) or an auxiliary screen (TA) containing the vote or votes cast by the voter, together with identifiers and data cards, such as bar code, serial number of the electronic ballot box and signature card (6 ), among others, fixed around the screen of the electronic voting machine (TU) or an auxiliary screen (TA).

[0013] O dispositivo (1) possui uma cabine de isolamento (2), com uma ou mais câmeras internas (5), a qual isola o entorno da tela da urna eletrônica (TU) ou da tela auxiliar (TA), permitindo a visualização do seu interior, mas impedindo a inserção de quaisquer objetos estranhos no campo de visão da câmera (5) ou das câmeras, se houver mais de uma, bem como impedindo a captura da imagem de quaisquer objetos externos â cabine de isolamento (2). O dispositivo (1) possui ainda uma tela (3) com botões (24) ou, alternativamente, uma tela “touch-screen” que permite ao eleitor confirmar o registro fotográfico ou em vídeo do seu voto ou votos de forma independente da urna eletrônica (U). Os registros fotográficos ou em vídeo do voto ou dos votos de cada eleitor, após confirmados, são assinados digitalmente utilizando-se criptografia assimétrica ou outra forma de assinatura digital e gravados na memória interna de dados (22), bem como, opcionalmente, em uma memória de backup (19), que pode ser um cartão SD ou outro tipo de memória, como um pen-drive. O dispositivo possibilita ainda a gravação de todos os registros fotográficos ou em vídeos dos votos em uma mídia não regravável do tipo BD-R, DVD-R, CD-R, SD WORM “write once read many” ou outra, adicionando, dessa forma, uma camada extra de proteção.[0013] The device (1) has an isolation cabin (2), with one or more internal cameras (5), which isolates the surroundings of the electronic voting machine screen (TU) or auxiliary screen (TA), allowing the visualization of its interior, but preventing the insertion of any foreign objects in the field of vision of the camera (5) or of the cameras, if there is more than one, as well as preventing the capture of the image of any objects external to the isolation booth (2) . The device (1) also has a screen (3) with buttons (24) or, alternatively, a touch-screen that allows voters to confirm the photographic or video record of their vote or votes independently of the electronic ballot box (U). The photographic or video records of the vote or the votes of each voter, after being confirmed, are digitally signed using asymmetric cryptography or another form of digital signature and recorded in the internal data memory (22), as well as, optionally, in a backup memory (19), which can be an SD card or another type of memory, such as a pen-drive. The device also makes it possible to record all photographic or video recordings of votes on non-recordable media such as BD-R, DVD-R, CD-R, SD WORM “write once read many” or other, thus adding , an extra layer of protection.

[0014] Ao final do processo de votação, a chave privada utilizada para assinar digitalmente os registros fotográficos ou vídeos dos votos poderá ser destruída, impossibilitando a adulteração dos mesmos ou a adição de uma fotografia ou vídeo que não tenha sido gerado pelo processo de votação e confirmado pelo eleitor. Dessa forma, os registros gerados no processo de votação são dotados de elevado nível de segurança e inviolabilidade, permitindo a realização de auditoria do resultado das eleições, de forma independente dos softwares utilizados na urna eletrônica (U) e sem a necessidade de utilização de papel.[0014] At the end of the voting process, the private key used to digitally sign the photographic or video records of the votes may be destroyed, making it impossible to tamper with them or add a photograph or video that was not generated by the voting process and confirmed by the voter. In this way, the records generated in the voting process are endowed with a high level of security and inviolability, allowing auditing of the results of the elections, independently of the software used in the electronic ballot box (U) and without the need to use paper. .

[0015] A tela (3) do dispositivo (1) pode ser utilizada para a visualização, após o encerramento do pleito eleitoral, de todos os registros fotográficos ou em vídeo dos votos armazenados na memória de dados interna (22) ou na memória de backup (19), permitindo assim às autoridades responsáveis realizarem uma contagem pública dos votos. Adicionalmente, um software que utiliza a tecnologia OCR poderá ser disponibilizado e utilizado, tanto pelas autoridades responsáveis quanto por outros interessados, para realizar a contagem dos votos, de forma automática e independente dos softwares utilizados na urna eletrônica (U) e dos softwares utilizados no sistema de totalização de votos. Sugere-se que o software seja de código aberto, conferindo maior transparência ao processo. A contagem automatizada garante agilidade em um eventual processo de recontagem de votos.[0015] The screen (3) of the device (1) can be used to view, after the closing of the electoral process, all the photographic or video records of the votes stored in the internal data memory (22) or in the memory of backup (19), thus allowing the responsible authorities to carry out a public vote count. Additionally, software that uses OCR technology may be made available and used, both by the responsible authorities and by other interested parties, to carry out the counting of votes, automatically and independently of the software used in the electronic ballot box (U) and the software used in the vote tally system. It is suggested that the software be open source, providing greater transparency to the process. Automated counting ensures agility in a possible vote recount process.

[0016] Sugere-se que seja adicionado algum tipo de identificador, como por exemplo um QR Code, na tela da urna eletrônica (TU) ou na tela auxiliar (TA), no momento da captura do registro fotográfico ou em vídeo do voto ou dos votos do eleitor pelo dispositivo (1), que permita a correlação entre o registro fotográfico ou em vídeo do voto ou dos votos do eleitor capturado pelo dispositivo (1) e o registro eletrônico do voto ou dos votos armazenado na urna eletrônica (U), sem, contudo, identificar o eleitor, de forma que não apareça nenhum dado relativo ao eleitor na tela da urna eletrônica (TU) ou na tela auxiliar (TA).[0016] It is suggested that some type of identifier be added, such as a QR Code, on the screen of the electronic ballot box (TU) or on the auxiliary screen (TA), when capturing the photographic or video record of the vote or of the voter's votes by the device (1), which allows the correlation between the photographic or video record of the vote or of the votes of the voter captured by the device (1) and the electronic record of the vote or of the votes stored in the electronic ballot box (U) , without, however, identifying the voter, so that no data relating to the voter appears on the screen of the electronic voting machine (TU) or on the auxiliary screen (TA).

Detailed device description (1)

[0017] O dispositivo (1) é preferencialmente composto pelos seguintes módulos vistos pela parte frontal: cabine de isolamento (2), tela (3) com botões (24) ou alternativamente uma tela “touch-screen”, vidro transparente (4), pelo menos uma câmera fotográfica (5), suporte para fixação do cartão de assinaturas (6) e identificadores, teclado externo (8) e sistema de encaixe (7) e pelos seguintes módulos vistos pela parte traseira: tampas de proteção (9, 11 e 15), entrada USB para token de assinatura digital (10), gravador de Blu-Ray/DVD/CD (12), cabo de dados (13), cabo de energia (14), menu de operações (16), saída HDMI (17), porta USB (18) para o teclado externo (8) e saída SD (19). Internamente, o dispositivo (1) contém uma central de processamento com sistema embarcado (21), envolta em uma caixa protetora (20) selada e inviolável “tamper-resistant” e “tamper-evident” e uma memória interna de dados (22). Configurações diferentes da preferencialmente proposta acima podem serem implementadas, como por exemplo, se uma autoridade administradora do processo de votação decidir usar somente o SD WORM “write once read many” como mídia permanente para o registro dos votos, pode não precisar do gravador de Blu-Ray/DVD/CD (12), ou se decidir por usar somente DVD, pode não precisar que o gravador (12) grave também em Blu-Ray.[0017] The device (1) is preferably composed of the following modules seen from the front: isolation cabin (2), screen (3) with buttons (24) or alternatively a touch-screen, transparent glass (4) , at least one camera (5), support for fixing the signature card (6) and identifiers, external keyboard (8) and fitting system (7) and the following modules seen from the rear: protection covers (9, 11 and 15), USB input for digital signature token (10), Blu-Ray/DVD/CD writer (12), data cable (13), power cable (14), operation menu (16), HDMI output (17), USB port (18) for external keyboard (8) and SD output (19). Internally, the device (1) contains a processing center with an embedded system (21), wrapped in a protective box (20) sealed and inviolable “tamper-resistant” and “tamper-evident” and an internal data memory (22) . Configurations different from the preference proposed above can be implemented, for example, if an authority managing the voting process decides to use only the SD WORM “write once read many” as permanent media for recording the votes, it may not need the Blu recorder -Ray/DVD/CD (12), or if you decide to use DVD only, you may not need the recorder (12) to also record in Blu-Ray.

[0018] A cabine de isolamento (2) em conjunto com o sistema de encaixe (7) e o vidro ou outro material transparente (4) isolam a tela da urna eletrônica (TU) ou a tela auxiliar (TA) e os espaços no seu entorno utilizados para a fixação de identificadores e cartões de dados, permitindo a visualização dos mesmos pelo eleitor, mas impedindo a inserção de qualquer objeto estranho no campo de visão da câmera (5) ou câmeras, se houver mais de uma, e impedindo a captura da imagem de objetos externos a cabine de isolamento (2), 0 que poderia gerar alguma forma de marcação nos registros fotográficos ou em vídeos dos votos ou até mesmo bloquear parcial ou total o ângulo de visão da câmera (5) ou das câmeras, se houver mais de uma. O sistema de encaixe (7) possui uma forma de encaixe (25) que possibilita acoplar e desacoplar o dispositivo (1) à urna eletrônica (U) ou a tela auxiliar (TA) e quando acoplado veda a parte interna, não permitindo que qualquer objeto estranho seja inserido no interior da cabine de isolamento (2). Outras formas de encaixe diferente da sugerida podem serem implementadas.[0018] The isolation booth (2) together with the fitting system (7) and the glass or other transparent material (4) isolate the screen of the electronic voting machine (TU) or the auxiliary screen (TA) and the spaces in the its surroundings, used for attaching identifiers and data cards, allowing the voter to view them, but preventing the insertion of any foreign object in the field of view of the camera (5) or cameras, if there is more than one, and preventing the image capture of objects external to the isolation booth (2), which could generate some form of marking in the photographic records or videos of the votes or even partially or completely block the camera's (5) or cameras' angle of view, if there is more than one. The fitting system (7) has a fitting shape (25) that makes it possible to couple and uncouple the device (1) to the electronic urn (U) or the auxiliary screen (TA) and when coupled, it seals the internal part, not allowing any foreign object is inserted inside the isolation booth (2). Other forms of fitting other than the suggested one can be implemented.

[0019] A tela (3) com botões (24) ou alternativamente a tela “touch-screen” permite ao eleitor verificar o registro fotográfico ou em vídeo do seu voto, durante o processo de votação e de forma independente do software utilizado na urna eletrônica (U). A tela (3) também pode ser utilizada, após o término da votação, para visualizar todas as fotografias ou vídeos, em uma sequência embaralhada, possibilitando assim uma apuração pública do resultado.[0019] The screen (3) with buttons (24) or alternatively the touch-screen allows the voter to check the photographic or video record of his vote, during the voting process and independently of the software used in the ballot box electronics (U). The screen (3) can also be used, after the end of voting, to view all the photographs or videos, in a scrambled sequence, thus enabling a public assessment of the result.

[0020] A câmera (5) ou câmeras internas à cabine de isolamento (2) possuem um ângulo de abertura que possibilita a captura da tela da urna eletrônica (TU) ou da tela auxiliar (TA) contendo o voto ou os votos do eleitor, juntamente com os identificadores e cartões de dados, como exemplo, código de barras, número de série da urna eletrônica e cartão de assinaturas (6), dentre outros, sem capturar a imagem quaisquer objetos do ambiente externo à cabine de isolamento (2). A câmera (5) ou câmeras, se houver mais de uma, possuem um sensor de imagem de alta resolução que possibilita capturar a fotografia ou vídeo dos votos de forma nítida contendo todos os detalhes dos identificadores, cartões de dados e do voto apresentado na tela da urna eletrônica (TU) ou na tela auxiliar (TA).[0020] The camera (5) or cameras inside the isolation booth (2) have an opening angle that makes it possible to capture the screen of the electronic ballot box (TU) or the auxiliary screen (TA) containing the vote or votes of the voter , together with identifiers and data cards, such as bar codes, electronic voting machine serial number and signature card (6), among others, without capturing any objects from the environment external to the isolation booth (2) . The camera (5) or cameras, if there are more than one, have a high resolution image sensor that makes it possible to capture the photograph or video of the votes in a clear way containing all the details of the identifiers, data cards and the vote shown on the screen from the electronic voting machine (TU) or on the auxiliary screen (TA).

[0021] Ο teclado externo (8), a ser conectado ao dispositivo (1) preferencialmente após 0 encerramento da votação, auxilia em uma eventual contagem manual dos votos, seja para uma apuração pública do resultado ou para uma auditoria. O modelo sugerido possui preferencialmente três botões, dois para navegar entre os registros fotográficos ou em vídeo dos votos e um para colocar um sinal de visto nos registros, indicando quais votos já foram visualizados e ou contados. O sinal de visto não é salvo no registro fotográfico ou em vídeo do voto, mas somente utilizando durante a visualização destes, para auxiliar em uma eventual contagem manual dos votos. Outros modelos de teclados, com funcionalidades diferentes, poderão serem implementados para atender às necessidades especificas de cada processo eleitoral.[0021] The external keyboard (8), to be connected to the device (1) preferably after the end of voting, assists in an eventual manual counting of votes, either for a public verification of the result or for an audit. The suggested model preferably has three buttons, two to navigate between photographic or video records of votes and one to put a check mark on the records, indicating which votes have already been viewed and/or counted. The checkmark is not saved in the photographic or video recording of the vote, but is only used when viewing them, to assist in any manual counting of votes. Other keyboard models, with different functionalities, may be implemented to meet the specific needs of each electoral process.

[0022] As tampas de proteção (9, 11 e 15) servem para proteger as interfaces do dispositivo (1), devendo serem preferencialmente fechadas e lacradas antes do início da votação a fim de impossibilitar que os eleitores tenham acesso ás interfaces do dispositivo (1) durante o processo de votação. Caso ocorra uma tentativa de abrir as tampas de proteção (9, 11 e 15), durante o processo de votação, o dispositivo (1) pode opcionalmente ser configurado para disparar um alarme sonoro específico para indicar a tentativa de violação.[0022] The protection covers (9, 11 and 15) serve to protect the device interfaces (1), and should preferably be closed and sealed before the start of voting in order to make it impossible for voters to have access to the device interfaces ( 1) during the voting process. If there is an attempt to open the protective covers (9, 11 and 15), during the voting process, the device (1) can optionally be configured to trigger a specific sound alarm to indicate the violation attempt.

[0023] O dispositivo (1) possui uma entrada USB (10) para inserção de um token contento a chave privada a ser utilizada na assinatura digital dos registros fotográficos ou em vídeo dos votos. A chave privada poderá ser destruída no encerramento da votação. Outras formas de interfaces para a chave privada ou até mesmo outros métodos de assinatura digital poderão serem implementados.[0023] The device (1) has a USB port (10) for inserting a token containing the private key to be used in the digital signature of photographic or video records of votes. The private key may be destroyed at the close of voting. Other forms of interfaces for the private key or even other digital signature methods could be implemented.

[0024] O gravador de Blu-ray/DVD/CD (12) é preferencialmente utilizado para gravar os registros fotográficos ou em vídeos dos votos, assinados digitalmente e embaralhados, em BD-R, DVD-R ou CD-R, gerando assim uma mídia não regravável com o registro fotográfico ou em vídeo de dos votos realizados na urna eletrônica (U). A mídia não regravável se torna uma camada extra de proteção, pois uma vez que todas as fotografias ou vídeos dos votos são assinados digitalmente e a chave privada utilizada no processo de assinatura é preferencialmente destruída no encerramento da votação, não é possível adulterar ou substituir nenhuma das fotografias ou vídeos dos votos. Alternativamente, outras formas de mídias poderão serem utilizadas para gravar os registros fotográficos ou em vídeos dos votos.[0024] The Blu-ray/DVD/CD recorder (12) is preferably used to record the photographic or video records of the votes, digitally signed and shuffled, on BD-R, DVD-R or CD-R, thus generating a non-recordable medium with the photographic or video record of the votes cast in the electronic ballot box (U). The non-rewritable media becomes an extra layer of protection, since since all photographs or videos of the votes are digitally signed and the private key used in the signing process is preferably destroyed at the end of the vote, it is not possible to tamper with or replace any of photographs or videos of the votes. Alternatively, other forms of media may be used to record photographic or video recordings of votes.

[0025] O cabo de energia (14) é utilizado para a alimentação do dispositivo (1). Opcionalmente, o dispositivo (1) conta também com uma bateria interna (23) que o mantem funcionando no caso de falta de energia. Alternativamente, o cabo de energia (14) pode ser substituído por uma conexão no sistema de encaixe (7) que forneça energia para o dispositivo (1) a partir da urna eletrônica (U), desta forma evita-se a necessidade de um cabo extra.[0025] The power cable (14) is used to power the device (1). Optionally, the device (1) also has an internal battery (23) that keeps it working in case of power failure. Alternatively, the power cable (14) can be replaced by a connection in the plug-in system (7) that supplies power to the device (1) from the electronic voting machine (U), thus avoiding the need for a cable extra.

[0026] O cabo de dados (13) é utilizado para a comunicação de dados entre o dispositivo (1) e a urna eletrônica (U). Ele é preferencialmente fixo no dispositivo (1) e possui um plug no formato USB padrão ou outro formato, na outra ponta para ser conectado ã urna eletrônica (U). Alternativamente, o cabo de dados (13) pode ser substituído por uma conexão no sistema de encaixe (8) que possa ser utilizada para a comunicação de dados entre o dispositivo (1) e a urna eletrônica (U). Dessa forma, evita-se a necessidade de um cabo extra e ainda minimiza-se o risco de algum eleitor tentar remover a conexão entre o dispositivo (1) e a urna eletrônica (U).[0026] The data cable (13) is used for data communication between the device (1) and the electronic voting machine (U). It is preferably fixed on the device (1) and has a plug in the standard USB format or another format, at the other end to be connected to the electronic urn (U). Alternatively, the data cable (13) can be replaced by a connection in the fitting system (8) that can be used for data communication between the device (1) and the electronic voting machine (U). In this way, the need for an extra cable is avoided and the risk of a voter trying to remove the connection between the device (1) and the electronic voting machine (U) is also minimized.

[0027] O menu de operações (16) é utilizado para operações do dispositivo (1) como inicializar e encerrar o processo de votação, inicializar uma contagem manual dos votos, gravar os registros fotográficos ou me vídeo dos votos em uma mídia não regravável e outras operações de configurações.[0027] The operations menu (16) is used for device operations (1) such as starting and ending the voting process, starting a manual count of votes, recording photographic or video recordings of votes on non-rewritable media and other settings operations.

[0028] A saída HDMI (17), pode ser utilizada para auxiliar em uma eventual auditoria ou apuração pública dos resultados. Por meio dela, os registros fotográficos ou em vídeos dos votos podem serem projetados em um monitor maior, uma TV ou telão para facilitar 0 acompanhamento da auditoria ou apuração pública do resultado por um grupo maior de interessados.[0028] The HDMI output (17) can be used to assist in an eventual audit or public verification of the results. Through it, photographic or video recordings of votes can be projected onto a larger monitor, a TV or screen to facilitate the monitoring of the audit or public verification of the result by a larger group of interested parties.

[0029] A porta USB (18) para o teclado externo (8) é uma interface para possibilitar a conexão do teclado externo (8) ao dispositivo (1). Ela é preferencialmente habilitada após 0 encerramento da votação e utilizada para auxiliar em uma contagem manual dos votos. No entanto, outras funcionalidades e uso da porta USB (18) podem serem implementadas a critério das autoridades administradoras do processo de votação.[0029] The USB port (18) for the external keyboard (8) is an interface to allow the connection of the external keyboard (8) to the device (1). It is preferably enabled after polling closes and used to assist in a manual vote count. However, other functionalities and use of the USB port (18) may be implemented at the discretion of the administrators of the voting process.

[0030] A saída SD (19) é utilizada para inserção de um cartão SD, onde serão gravados os registros fotográficos ou em vídeo dos votos, assinados digitalmente e de forma embaralhada. Este cartão é preferencialmente usado como um backup da memória de dados interna (22) do dispositivo (1) e pode ser mantido pela a autoridade administradora do processo de votação, após o pleito. Opcionalmente, podem ser utilizados outros tipos de portas de saída, como uma porta USB e outros tipos de memórias, como um pen-drive.[0030] The SD output (19) is used to insert an SD card, where the photographic or video records of the votes will be recorded, digitally signed and shuffled. This card is preferably used as a backup of the internal data memory (22) of the device (1) and can be kept by the administrative authority of the voting process, after the election. Optionally, other types of output ports can be used, such as a USB port and other types of memories, such as a pen-drive.

[0031] A central de processamento com o sistema embarcado (21) é preferencialmente protegida por uma caixa protetora inviolável (20), selada e lacrada “tamper-resistant”/”tamper-evident” durante o processo de fabricação do dispositivo (1), para impossibilitar quaisquer alterações no sistema embarcado após a sua fabricação. A caixa protetora (20) é desenvolvida de forma que qualquer tentativa de violação inutilizará os seus componentes internos e deixará evidências que poderão serem facilmente identificadas em uma perícia feita por especialistas. Adicionalmente, poderá ser implementado um sistema de identificação que gerará um identificador único para cada caixa protetora (20), utilizando-se por exemplo a técnica “Unique Objects (UNOs)” no campo de “Security Based on Physical Unclonability and Disorder” que consiste em capturar uma imagem microscópica em alta resolução da desordem natural da fibra do material de uma pequena parte do objeto, considerada uma “digital do objeto”, a qual, mesmo sendo conhecida, é praticamente impossível de se copiar em um processo de fabricação. A substituição da caixa protetora (20) contendo a central de processamento com 0 sistema embarcado (21) poderá ser facilmente detectado por especialistas, consultando o sistema de identificação. Opcionalmente, pode se optar por outras técnicas de “tamper-proofing” e de identificação.[0031] The processing center with the embedded system (21) is preferably protected by a tamper-proof protective box (20), sealed and sealed "tamper-resistant"/"tamper-evident" during the device manufacturing process (1) , to make any changes to the embedded system impossible after its manufacture. The protective box (20) is designed so that any attempt to tamper with it will render its internal components unusable and leave evidence that can be easily identified in an expert examination. Additionally, an identification system can be implemented that will generate a unique identifier for each protective box (20), using, for example, the “Unique Objects (UNOs)” technique in the “Security Based on Physical Unclonability and Disorder” field, which consists of in capturing a high resolution microscopic image of the natural disorder of the fiber of the material of a small part of the object, considered an “object fingerprint”, which, even being known, is practically impossible to copy in a manufacturing process. The replacement of the protective box (20) containing the processing center with the embedded system (21) can be easily detected by specialists, consulting the identification system. Optionally, other tamper-proofing and identification techniques can be used.

Embedded system operation

[0032] O funcionamento do sistema embarcado no dispositivo (1), como representado no diagrama de estado do software embarcado (Figura 10) e descrito em mais detalhes a seguir, trata-se de uma opção de funcionamento, que pode ser alterada para atender às necessidades específicas de cada processo de votação. No entanto, o software embarcado no dispositivo (1) deve funcionar preferencialmente de maneira integrada, porém, independente do software da urna eletrônica (U) e, preferencialmente, permitir ao eleitor confirmar ou indicar a necessidade de correção do registro fotográfico ou em vídeo do seu voto ou votos. Desta maneira, mesmo que haja uma adulteração ou erro não detectáveis no software da urna eletrônica (U), essa adulteração ou erro não impactará no registro fotográfico ou em vídeo do voto ou votos confirmados pelo eleitor no dispositivo (1), o qual poderá ser usado como comprovante legítimo e fidedigno dos votos em uma auditoria ou eventual recontagem dos votos.[0032] The functioning of the embedded system in the device (1), as represented in the state diagram of the embedded software (Figure 10) and described in more detail below, is an operating option, which can be changed to meet to the specific needs of each voting process. However, the software embedded in the device (1) should preferably work in an integrated manner, however, independently of the electronic voting machine software (U) and, preferably, allow the voter to confirm or indicate the need to correct the photographic or video record of the your vote or votes. In this way, even if there is an undetectable tampering or error in the voting machine software (U), this tampering or error will not impact the photographic or video record of the vote or votes confirmed by the voter on the device (1), which may be used as legitimate and reliable proof of votes in an audit or eventual recount of votes.

[0033] A conexão de dados (13) permite a troca de comandos e mensagens entre a urna eletrônica (U) e o dispositivo (1), permitindo que funcionem de forma integrada, mas independentes. Sugere-se que sejam aceitos como válidos somente os seguintes comandos e mensagens, explicados em mais detalhes nos parágrafos subsequentes:

• Comando 01: Iniciar votação de um novo eleitor. Enviado da urna eletrônica (U) para o dispositivo (1).
• Comando 02: Capturar fotografia. Enviado da urna eletrônica (U) para o dispositivo (1)
• Comando 03: Encerrar votação do eleitor corrente. Enviado da urna eletrônica (U) para o dispositivo (1)
• Mensagem CONFIRMADO. Enviado do dispositivo (1) para a urna eletrônica (U)
• Mensagem CORRIGIR. Enviado do dispositivo (1) para a urna eletrônica (U)

[0033] The data connection (13) allows the exchange of commands and messages between the electronic voting machine (U) and the device (1), allowing them to work in an integrated, but independent way. It is suggested that only the following commands and messages are accepted as valid, explained in more detail in the subsequent paragraphs:

• Command 01: Start voting for a new voter. Sent from the voting machine (U) to the device (1).
• Command 02: Capture Photo. Sent from the voting machine (U) to the device (1)
• Command 03: End voting for the current voter. Sent from the voting machine (U) to the device (1)
• CONFIRMED message. Sent from device (1) to electronic voting machine (U)
• FIX message. Sent from device (1) to electronic voting machine (U)

[0034] A abertura de um novo processo de votação é feita através do menu de operações (16), de forma independente da urna eletrônica (U), pela autoridade responsável pela seção de votação, preferencialmente na presença de todos os interessados, como fiscais de partidos, órgãos independentes de fiscalização e outros interessados. Ainda, na abertura de um novo processo de votação, o sistema embarcado faz uma checagem automática da memória de dados interna (22), do cartão SD (19) ou outro tipo de memória externa e da mídia não regravável para confirmar que não existe nenhuma fotografia ou vídeo previamente inserido em nenhum deles. Além disso, durante o processo de inicialização, o sistema captura uma fotografia ou vídeo inicial da tela da urna eletrônica (TU) ou da tela auxiliar (TA), juntamente com os identificadores e cartões de dados fixados no entorno da tela, permitindo as autoridades responsáveis confirmar o correto funcionamento do dispositivo (1). Sendo confirmado o correto funcionamento do dispositivo (1), as tampas de proteções (9, 11, 15) são fechadas e lacradas para evitar 0 acesso ao menu de operações (16) e interfaces do dispositivo (1) durante o processo de votação. Concluída a abertura do processo de votação, o dispositivo estará pronto para o registro dos votos e o sistema funcionará, preferencialmente, de acordo com o diagrama de estado do software embarcado (Figura 10), descrito em detalhes a seguir. Sendo esta uma forma preferencial de funcionamento.[0034] The opening of a new voting process is done through the operations menu (16), independently of the electronic voting machine (U), by the authority responsible for the voting section, preferably in the presence of all interested parties, such as inspectors parties, independent oversight bodies and other stakeholders. Also, when opening a new voting process, the embedded system automatically checks the internal data memory (22), the SD card (19) or other type of external memory and the non-rewritable media to confirm that there is no photo or video previously inserted in any of them. In addition, during the initialization process, the system captures an initial photograph or video of the electronic voting machine (TU) or auxiliary screen (TA) screen, along with the identifiers and data cards fixed around the screen, allowing authorities to responsible confirm the correct functioning of the device (1). Once the correct operation of the device (1) is confirmed, the protective covers (9, 11, 15) are closed and sealed to prevent access to the operations menu (16) and device interfaces (1) during the voting process. Once the opening of the voting process is completed, the device will be ready to register votes and the system will work, preferably, according to the state diagram of the embedded software (Figure 10), described in detail below. This is a preferred way of working.

[0035] Após iniciada a votação, o sistema fica no estado “Aguardando eleitor” até que receba o comando 01 da urna eletrônica (U). Ao receber o comando 01, o sistema gera um número aleatório, por meio de um algoritmo de geração de números pseudorrandômicos, utilizando-se uma semente aleatória, que pode ser gerada por um dispositivo gerador de sementes aleatórias ou até mesmo calculada através de dados imprevisíveis, como por exemplo o tempo médio em milissegundos que todos os eleitores anteriores levaram para confirmar o registro fotográfico ou em vídeo do voto. O número aleatório gerado será utilizado para embaralhar os registros fotográficos ou em vídeo dos votos nas memórias de dados. Este procedimento torna impossível determinar a sequência em que os registros fotográficos ou em vídeos foram capturados, impossibilitando assim ligar um registro do voto ou votos à um eleitor baseado na sua posição na fila de votação. Após a geração do número aleatório, o sistema passa para o estado “Aguardando comando para registro do voto ou encerramento”.[0035] After starting the voting, the system remains in the state “Waiting for voters” until it receives command 01 from the electronic voting machine (U). Upon receiving command 01, the system generates a random number, through an algorithm for generating pseudorandom numbers, using a random seed, which can be generated by a random seed generator device or even calculated through unpredictable data , such as the average time in milliseconds that all previous voters took to confirm the photographic or video recording of the vote. The random number generated will be used to shuffle the photographic or video recordings of votes into the data logs. This procedure makes it impossible to determine the sequence in which photographic or video records were captured, thus making it impossible to link a voter record or votes to a voter based on their position in the voting queue. After generating the random number, the system goes to the “Waiting for command to register the vote or close” state.

[0036] No estado “Aguardando comando para registro do voto ou encerramento”, o sistema fica aguardando pelo comando 02 ou 03. Casso receba o comando 03, o sistema finaliza a votação do eleitor corrente e volta para o estado “Aguardando eleitor”. Se receber o comando 02, o sistema captura uma fotografia ou vídeo da tela da urna eletrônica (TU) ou da tela auxiliar (TA), juntamente com os identificadores e cartões de dados fixados no seu entorno e a apresenta para a conferência do eleitor na tela (3) do dispositivo (1). O eleitor pode CONFIRMAR ou selecionar CORRIGIR para refazer o voto na urna eletrônica (U), utilizando-se os botões físicos (24) ou selecionado a opção desejada em uma tela “touch-scrren”. Caso o eleitor selecione a opção CONFIRMAR, o sistema assina digitalmente a fotografia ou vídeo capturado e a salva de maneira embaralhada na memória de dados interna (22) e na memória externa de backup (19). O sistema apresenta uma mensagem na tela para informar o eleitor que o registro fotográfico ou em vídeo do seu voto foi salvo com sucesso, envia uma mensagem de confirmação para a urna eletrônica (U) e volta para o estado “Aguardando comando para registro do voto ou encerramento”. Caso o eleitor selecione a opção CORRIGIR, o sistema descarta a fotografia ou vídeo capturado, apresenta uma mensagem na tela para informar o eleitor que aquela fotografia ou vídeo foi descartado, envia uma mensagem para a urna eletrônica (U) com o pedido de correção do eleitor e volta para o estado “Aguardando comando para registro do voto ou encerramento”.[0036] In the “Waiting for command to register the vote or closing” state, the system is waiting for command 02 or 03. If command 03 is received, the system ends the vote for the current voter and returns to the “Waiting for voter” state. If command 02 is received, the system captures a photograph or video of the screen of the electronic voting machine (TU) or of the auxiliary screen (TA), together with the identifiers and data cards fixed in its surroundings and presents it to the voter's conference in the screen (3) of the device (1). The voter can CONFIRM or select CORRECT to redo the vote in the electronic ballot box (U), using the physical buttons (24) or selecting the desired option on a “touch-scrren” screen. If the voter selects the CONFIRM option, the system digitally signs the photograph or video captured and saves it in a scrambled way in the internal data memory (22) and in the external backup memory (19). The system displays a message on the screen to inform the voter that the photographic or video record of their vote was successfully saved, sends a confirmation message to the electronic ballot box (U) and returns to the state “Waiting for command to record the vote or closure”. If the voter selects the CORRECT option, the system discards the photograph or video captured, displays a message on the screen to inform the voter that that photograph or video has been discarded, sends a message to the electronic ballot box (U) with the request for correction of the voter and returns to the state “Waiting for command to register or close the vote”.

[0037] Em uma votação onde o eleitor realiza múltiplos votos, como por exemplo em uma eleição municipal no Brasil, em que os eleitores votam para prefeito e para vereador no mesmo pleito eleitoral, a autoridade administradora do processo de votação pode optar pelo registro fotográfico ou em vídeo de cada voto realizado pelo eleitor ou de um resumo contendo todos os votos do eleitor.[0037] In a poll where the voter casts multiple votes, as for example in a municipal election in Brazil, where voters vote for mayor and councilor in the same election, the managing authority of the voting process may opt for photographic registration or on video of each vote cast by the voter or a summary containing all the votes cast by the voter.

[0038] O sistema fica no modo “VOTAÇÂO ABERTA” até todos os eleitores votarem. Após todos os eleitores votarem, a autoridade responsável pela seção de votação faz o encerramento da votação utilizando-se o menu de operações (16). Neste momento, os registros fotográficos ou em vídeos dos votos, já assinados digitalmente e armazenados de forma embaralhada nas memórias interna e de backup, poderão ser gravados em uma mídia não regravável do tipo BD-R, DVD-R ou CD-R, garantindo, assim, uma camada extra de segurança. Alternativamente, os registros dos votos podem serem gravados em um cartão SD do tipo WORM (Write Once Read Many) ou outra mídia imutável.[0038] The system remains in “OPEN VOTING” mode until all voters vote. After all voters have voted, the authority responsible for the polling section closes the poll using the operations menu (16). At this time, the photographic or video recordings of the votes, already digitally signed and stored in a scrambled form in the internal and backup memories, may be recorded on non-rewritable media such as BD-R, DVD-R or CD-R, guaranteeing , thus, an extra layer of security. Alternatively, the voting records can be written to a WORM (Write Once Read Many) SD card or other immutable media.

[0039] No processo de encerramento, sugere-se ainda que a chave privada utilizada na assinatura digital das fotografias ou vídeos dos votos seja destruída, impossibilitando que as fotografias ou vídeos capturados possam serem adulterados, bem como não permitindo a adição de fotografias ou vídeos que não foram capturados no processo de votação e confirmados pelos eleitores.[0039] In the closing process, it is also suggested that the private key used in the digital signature of the photographs or videos of the votes be destroyed, making it impossible for the captured photographs or videos to be tampered with, as well as not allowing the addition of photographs or videos that were not captured in the voting process and confirmed by voters.

[0040] Após encerrado o processo de votação, o dispositivo (1) possui funções e interfaces para que a autoridade responsável pela seção eleitoral possa ver os números totais de eleitores e fotografias ou vídeos registrados durante o pleito, a fim compará-los com os totais da urna eletrônica (U) ou até mesmo visualizar todas as fotografias ou vídeos, caso deseje fazer uma auditoria ou contagem pública dos votos. A porta HDMI (17) permite a projeção das fotografias ou vídeos em uma tela maior, facilitando a visualização por um grupo maior auditores ou de interessados numa eventual contagem pública dos votos. O teclado externo (8), que deve ser preferencialmente conectado e habilitado somente após o encerramento da votação, permite passar as fotografias ou vídeos armazenados na memória interna (22) ou na memória de backup (19) do dispositivo (1), um a um, para que se possa realizar a contagem dos votos manualmente. Também é possível com o auxílio do teclado externo (8), adicionar um sinal de visto nas fotografias ou nos vídeos para indicar aqueles que já foram contados e assim diminuir o risco de erro humano na contagem manual. Este sinal de visto não é salvo no arquivo do registro fotográfico ou em vídeo do voto, mas apenas mantido em memória e somente utilizado como apoio para o processo de contagem manual.[0040] After the voting process is over, the device (1) has functions and interfaces so that the authority responsible for the polling station can see the total numbers of voters and photographs or videos recorded during the election, in order to compare them with the ballot box totals (U) or even view all photographs or videos if you wish to do a public audit or vote count. The HDMI port (17) allows the projection of photographs or videos on a larger screen, facilitating viewing by a larger group of auditors or those interested in an eventual public vote count. The external keyboard (8), which should preferably be connected and enabled only after the voting has ended, allows you to pass the photographs or videos stored in the internal memory (22) or in the backup memory (19) of the device (1), one by one, so that the votes can be counted manually. It is also possible, with the aid of the external keyboard (8), to add a check mark to photographs or videos to indicate those that have already been counted and thus reduce the risk of human error in manual counting. This check mark is not saved in the photographic or video record file of the vote, but only kept in memory and only used as support for the manual counting process.

[0041] Alternativamente à contagem manual, também é possível fazer a contagem dos votos de forma automatizada, por meio de um software que utiliza a tecnologia OCR (Optical Character Recognition) para extrair das fotografias ou de frames dos vídeos, os números e nomes dos candidatos. É sugerido que este software seja fornecido como um software de código aberto para que qualquer interessado, que tenha acesso aos registros fotográficos ou em vídeo dos votos, possa fazer a contagem por conta própria, garantido transparência e agilidade ao processo.[0041] As an alternative to manual counting, it is also possible to count the votes automatically, using software that uses OCR (Optical Character Recognition) technology to extract the numbers and names of the votes from the photographs or video frames. candidates. It is suggested that this software be provided as open source software so that any interested party, who has access to photographic or video recordings of votes, can do the counting on their own, ensuring transparency and agility to the process.

Claims

Method for making a photographic or video record of the votes cast by voters in an electronic voting machine (U), in order to generate an audit trail without the use of paper, characterized by recording the votes through photographs or videos of the screen of the electronic ballot box (TU) or an auxiliary screen (TA), showing the vote or votes cast by each voter.

Method for making a photographic or video recording of votes, according to claim 1, characterized by allowing the capture, as part of the photographic or video recording of votes, of the image of identifiers and data cards fixed around the screen of the ballot box (TU) or around the auxiliary screen (TA), such as, for example, barcode, serial number of the electronic voting machine (U) and signature card (6), among others.

Method to record the votes in photographs or on video, according to claim 1, characterized by preventing the capture of the image of any foreign objects that could eventually be used to generate some type of marking in the photographic or video records of the votes.

Method for photographing or video recording of votes, according to claim 1, characterized by photographing or video recording votes independently of the software running on the electronic ballot box (U) and allowing the voter to view and confirm the photographic or video record of your vote or votes during the voting process.

Method to make the photographic or video recording of the votes, in accordance with claims 1 and 4, characterized by digitally signing the photographic or video recordings of the votes and saving them in a scrambled form in an internal data memory (22), in backup memory (19), on non-rewritable media (12) or others.

Method for photographing or video recording of votes, in accordance with claims 1 and 5, characterized by allowing the managing authority of the voting process or other interested parties to view the photographic or video recordings of votes, after the voting process has ended voting, for eventual recounting of votes, public counting of votes, or audit of the result.

Device (1) for photographic or video recording of votes cast in an electronic ballot box (U), characterized by having an isolation booth (2), with one or more internal cameras (5), which isolates the surroundings of the screen of the electronic ballot box (TU) or the surroundings of the auxiliary screen (TA), allowing the visualization of its interior, preventing the insertion of any foreign objects in the field of vision of the camera (5) or of the cameras, if there is more than one, as well as preventing the capture of the image of any objects external to the isolation booth (2).

Device (1) for photographic or video recording of votes, according to claim 7, characterized by having spaces inside the isolation booth (2), around the screen of the electronic ballot box (TU) or the auxiliary screen ( TA) and in the field of view of the camera (5) or of the cameras, if there are more than one, for attaching identifiers and data cards, such as bar code, serial number of the electronic voting machine (U) and card of signatures (6), among others.

Device (1) for photographic or video recording of votes, according to claim 7, characterized by having a fitting system (7) that allows coupling and uncoupling the device (1) to the electronic ballot box (U) or to the auxiliary screen (TA) and when coupled prevents the insertion of foreign objects inside the isolation booth (2).

Device (1) for photographic or video recording of votes, according to claim 7, characterized by having software embedded in a sealed and sealed “tamper-proofing” processing center, which works independently of the software used by electronic voting machine (U).

Device (1) for photographic or video recording of votes, according to claim 7, characterized by having a screen (3) and buttons (24) or, alternatively, a "touch-screen" that allows the voter to view and confirm photographic or video recording of your vote or votes during the voting process.

Device (1) for photographic or video recording of votes, according to claim 7, characterized by having an internal memory (22) and, optionally, an interface for backup memory (19), to store the records photographs or videos of the votes.

Device (1) for photographic or video recording of votes, in accordance with claim 7, characterized by having a Blu-Ray/DVD/CD recorder (12) or other component that allows the recording of photographic or video records of votes on non-rewritable media.