央行数字货币CBDC的功能、特点与安全需求

一、引言

在俄乌冲突持续、西方等多国借SWIFT对俄罗斯进行金融制裁的国际背景下，数字货币再次进入大家的视野，也引发了各国对中央银行数字货币CBDC(central bank digital currencies)战略意思的思考。在第八届世界政府峰会（WGS2022）上，前美国总统金融市场工作组的成员Pippa Malmagren说道：“我们正处在剧烈变革的边缘，我们将抛弃传统的货币系统，用一种新的数字区块链CBDC取代他，他将使我们的每一笔交易都更加清晰。”随着区块链技术的进一步深入研究和国际金融形式的动荡，CBDC越来越多的得到经济金融专家的认可。国际货币金融机构论坛OMFIF在2022年1月发表了 “Outlook 2022: shaping a CBDC future for consumers and businesses”预测2022是全球数字支付的关键一年，许多国家在过去的一年里加紧探索和推进央行数字货币CBDC计划，如图1实施CBDC国家的发展阶段分布，现在有100多家中央银行正在研究或者试点CBDC来促进发展本国数字经济，表1是一些成熟度较高的CBDC项目。美联储正在进行一系列与数字货币相关政策和技术的研究，评估利用现有基础设施和技术进行CBDC设计的开发能力；同时和麻省理工学院合作考虑利用分布式账本技术实现批发型的CBDC，与佐治亚州立大学合作推进网络安全研究包括支付欺诈等。

图1 CBDC国家的发展阶段分布

表1 CBDC成熟度统计

我国的数字人民币研究起步早，技术成熟度和实施阶段都处在国际CBDC的前列。由中国人民银行发行的DE/CP具备法定数字货币的一般属性，中国央行数字货币体系在坚持双层运营、流通中货币（M0）替代、可控匿名的前提下，遵循稳步、安全、可控、创新、实用的原则，先行在深圳、苏州、雄安新区、成都及未来的冬奥场景进行内部封闭试点测试。在最近的3月31日人民银行召开数字人民币研发试点工作座谈会，会议明确有序扩大试点范围，在现有试点地区基础上增加天津市、重庆市、广东省广州市、福建省福州市和厦门市、浙江省承办亚运会的6个城市作为试点地区，北京市和河北省张家口市在2022北京冬奥会、冬残奥会场景试点结束后转为试点地区。各个参与方同时按照“十四五”规划部署，加大试点应用和生态体系建设，加强安全和风险控制建设，不断夯实数字人民币研发试点基础。

二、CBDC的特征和功能要求

央行数字货币按照类型分为零售型和批发型，其中零售型对应的现有货币体系中的M0，而批发型针对的是现有货币体系中的M1/M2，图2是BIS(Bank for International Settlements)在“货币之花”模型数字形态的界定，其中可以看出零售型和批发型不同的功能，零售型和批发型的区分点在于普通应用，也就是对于现金功能货币的替代。

图2 货币之花

按照运营机构的层次分为单层运营结构和双层运营结构，单层运营结构是中央银行发行数字货币，并直接对授权和受监管的提供用户友好交互界面应用的公司提供API端口，用户使用公司的服务直接使用数字货币。其中英国中央银行的CBDC就采用这种结构，如图3中央银行单层运营体系所示。而我国的DC/EP采用双层运营机构，由中央银行发行并投放到商业银行，商业银行对公众提供现金或存款和数字人民币兑换服务。如图4数字人民币双层运营体系所示。

图3 单层运营体系

图4双层运营体系

没有一种方法适合所有的央行数字货币，针对不同国家的国情和业务发展需求各个中央银行对于CBDC的设计原则不尽相同。但各国中央银行应当以公共利益为向导，而不是以利润为向导，CBDC应当在其设计过程中遵循严格的隐私设计原则以及政府、企业、消费者之间的权力共享方法实现中央银行与用户的独立性。CBDC的特征和功能应满足：

• 可编程性支付
• 隐私保护
• 安全的连续离线支付
• 互操作性 ,通过智能合约和DLT技术的可编程性使得互操作性更加多样化和效率化。满足更复杂的有效性和遵从性需要的自动化验证。

2.1 可编程性支付：脚本、智能合约

CBDC的功能应具备可编程性支付，这样可以创造更大的创新空间，一般采用脚本和智能合约技术实现数字货币的可编程性，使CBDC提供更广泛和更高效的支付性能。我国的央行数字货币DECP通过在数字货币中嵌入脚本或者使用智能合约的方式实现数字货币的可编程功能，并且，通过数字人民币的可编程性和条件支付的特性，创造了很多现金无法实现的新货币应用场景，大大扩展了数字人民币的应用边界。例如针对指定商户发放具有有效期的定向红包；利用智能合约实现数字人民币在精准扶贫方面的应用，专项的扶贫数字人民币只能在限定的条件下才可以进行使用，达到专款专用的目的；数字人民币在商业保险中的应用，签订保险的时候部署智能合约，满足合约触发条件后，数字人民币的智能合约自动执行，并且对理赔的数字人民币进行了使用限制，保护了双方的利益。正是因为CBDC的可编程性，使得数字货币成为货币发展过程中的一个新的阶段，并且脚本和智能合约是数字货币的一个重要组成部分。

CBDC的合约系统和传统区块链的智能合约不尽相同，传统的区块链智能合约，通过部署智能合约到区块链上，然后用户创建交易时调用合约，一些挖矿节点运行智能合约，执行完成后把合约参数连同交易写入区块链上，完成合约的执行。而CBDC的合约系统不只是链上代码，也不是所说的“代码即法律”，而是合规的合约系统，满足金融和法律要求的智能合约标准。智能合约不一定非要上链（合约的凭证上链），但是其具有完整性，可验证性，不可否认性等特征，同样智能合约可以在CBDC系统中执行。

2.2 监管友好的隐私保护

任何 CBDC 都需要在保护消费者隐私权和提供阻止犯罪活动所需的透明度之间取得适当的平衡。CBDC 会产生关于用户金融交易的数据通过利用现有工具解决隐私问题。 同时金融机构必须遵守反洗钱和反恐怖主义的规则，包括对客户的尽职调查、记录保存和报告要求。隐私保护是在寻求一个金融市场秩序稳定的平衡点，设计的底线时满足法律制度规定的个人信息隐私保护，是CBDC得到公众认可的前提。但是如果允许交易方完全匿名，那么就可以说CBDC鼓励暗网交易、逃税、洗钱等非法活动。只有有效的追踪非法活动的资金信息交易双方信息才能有效的打击和遏制犯罪，保护广大人民的生命和财产安全。

我们国家的数字货币DC/EP在隐私保护方面采用了可控的匿名性交易机制，即实现了等同公众使用现金交易的匿名性，又可以有效的打击违法交易活动，表2所示的DC/EP双层结构中各个部分对数据的访问权限，

• 可监管：通过收集客户信息，验证数字货币的所属权，记录交易历史，识别交易双方的真实身份，实现特定情况下的可追溯性，确保央行获得数字货币的完整性；
• 匿名性：基于松耦合的账户，采用隐私保护技术对数据访问进行管理，从而保证数字货币的匿名性，满足公众对数字货币匿名支付的需求，确保流通过程中各方只能访问与自己相关的信息。

2.3 安全的连续离线支付

离线支付分为单离线支付和双离线支付，支付过程一个是支付媒介（也就是发送方），一个是受理终端（也就是接收方）；顾名思义单离线支付就是一方离线，一般支持支付媒介的离线，双离线支付是指双方均离线的情况下也可以完成支付过程，主要满足地下室、停车场、山区甚至是地理灾害等特殊环境下的支付需求。

NFC技术时双离线支付功能的核心，但是NFC支付主要通过硬件嵌入在手机里，然后通过授权后或者支付功能，还有一种时NFC-SIM卡，将NFC功能嵌入到SIM卡中，满足更多的设备需求，NFC只是满足了支付通信的要求，另外SE完全芯片的作用同样重要，关于密钥管理和对交易的签名等都是通过SE安全芯片实现。SE安全芯片通过把密钥不能被外部读取，只负责加解密和签名等算法，保证应用的安全。SE模块现在大部分手机终端都支持此功能。同时为了安全期间，双离线支付在交易时间和交易次数方面都做了限制，当交易次数耗尽后必须通过联网同步后才能继续使用离线支付。

2.4 互操作性

支付系统的互操作性，主要用于实现CBDC的跨境和跨货币的互操作性：

• 兼容标准（例如类似的监管框架，消息格式和数据要求等）
• 通过专用的接口，通用的结算机制或者相关方案实现系统互联
• 建立单一的多货币支付系统

这个主要是针对批发式的CBDC，相关的研究还处在起步阶段。我国的DC/EP暂时没有互操作性的业务需求。但是在CBDC的技术点上和以后的跨境数字货币研究中，互操作性是一个主要特征，是研究的一个主要突破点。

mCBDC也叫mBridge项目如图6所示是BIS创新中心和泰国银行、阿联酋中央银行、中国人民银行 [数字货币研究所]和香港金融管理局正在合作开发一个多CBDC平台或桥梁，用于国际汇款。此项目还处在实验阶段，但是实现了跨境传输速度从几天大幅提升到秒级。其次，用户进行此类操作的成本也可以降低一半。

图6 mCBDC 模型

三、区块链的新起点

在整个CBDC设计过程中，因各国央行对数字货币的需求不尽相同，区块链在整个CBDC的设计中的参与度也不同，但是几乎都离不开区块链的技术或者分布式账本技术DLT。区块链系统必须根据央行的业务需求而改变，随着各国央行数字货币的推进，设计新一代基于区块链系统架构的CBDC满足不同央行业务需求（例如交易的完备性，监管性的需求），开启了区块链技术研究的一个新起点。通过新的技术推动国家数字金融的改革，通过数字货币降低费用，提高效率推动国家经济的发展。

在各个国家设计CBDC的过程中是否采用区块链不是一个必然的选择，这里的区块链是一个拥有完全区块链结构：分布式账本，共识机制，智能合约/脚本，P2P网络，公钥签名算法等。但是CBDC会根据不同的业务需求选择某些区块链的某些技术例如分布式账本技术，智能合约等作为研究的技术点实现各自的CBDC系统。根据上面的CBDC特征可以发现：可编程性需要研究基于虚拟机的智能合约部署，满足多样性和效率的数字货币；对各种加密算法和签名算法的研究使得离线支付更加高效和安全；对匿名机制的研究，实现监管友好的隐私保护；对区块链跨链技术的研究，寻找实现CBDC跨境业务的突破等。

四、结论

CBDC这些年一直是国际金融组织讨论的热点话题之一，美联储对待CBDC的态度从拒绝到提出特征和高校联合研究，各个国家对CBDC研究、测试、试点都说明CBDC是在金融数字化的发展过程中的新方向。英国央行和欧洲央行也相继提出了运用CBDC到公共部门及民间部门机构，以便与既有的支付体系融合。我国的CBDC研究起步早，技术积累多，现在全国试点允许进一步扩大。整个国际上发展中国家的CBDC研究相对于发达国家的CBDC研究成熟度相对超前，也许这是发展中国家在局势多变的国际金融环境中一次弯道追赶或者超车的机会。但是也要对区块链的技术深入研究以满足央行数字货币的业务需求。

同时CBDC作为一个新兴的事情，CBDC的安全同样值得共同关注，通过对智能合约安全，账本分析，网络安全，算法安全，SE等很多安全点值得进一步的分析，进一步为CBDC的安全落地护航。

参考文献

1. Weide Lin. Central Bank Currency and International Development Trends in the Digital Age, 2021.
2. Central bank digital currencies —design principles and balance sheet implications Michael Kumhof and Clare Noone   May 2018.
3. Inthanon-LionRock to mBridge: Building a multi CBDC platform for international payments https://www.bis.org/publ/othp40.pdf.
4. Yao Qian. Technical Aspects of CBDC in a Two-Tiered System.