央行数字货币的灾害应对机制：以巴哈马沙元为例

邓颖

高雪馨

当前全球气候异常状况频发，如何能在各类灾情发生后迅速恢复和重建成为各国政府需考量的重要问题。现今在线支付手段不断发展，现金支付已经逐渐减少，民众手中持有的现金数量也逐渐减少。在灾害发生后，民众往往因为银行等设施停摆而无法使用正常的支付手段来恢复生活，政府救助措施也难以迅速到位。巴哈马就是这样一个常年遭受飓风等自然灾害侵袭的国家，灾后如何迅速恢复正常支付成为巴哈马推出央行数字货币——沙元（Sand Dollar）的重要原因。

多里安飓风灾害推动巴哈马沙元落地

巴哈马的居民和企业分布在加勒比地区的大约 30 个岛屿上，该国的银行系统与其地理位置一样支离破碎。随着实体银行数量的减少，政府必须向一些较小的岛屿运送大量现金，以便企业和居民能够支付账单。但是，在广阔的海洋中运输和管理这些实物货币成本较高，这使得一些居民无法获得最基本的金融服务。同时，对企业来说，实物货币也面临着被盗窃的风险。2019年，当巴哈马群岛遭受飓风多里安袭击时，该国群岛北部的阿巴科岛链遭受了特别严重的打击，之后该风暴继续袭击了东部更知名的大巴哈马岛。然而政府的援助难以高效快速地落实，人们既无法获得现金，也无法依赖实体或电子银行基础设施进行灾后重建。

多里安飓风灾害造成的后果成为巴哈马率先推出世界上第一个官方发行的央行数字货币（Central Bank Digital Currency，简称CBDC）——沙元（Sand Dollar）的最大推手。除了使用地域不受限制外，沙元无须依赖互联网连接进行支付转移，仅仅通过令牌技术在设备上进行验证，这无疑是一种非常便捷的支付和存储方式。即使在银行无法触达的情况下，比如在多里安侵袭阿巴科岛链和大巴哈马岛后的几天或几周内，数字钱包支付系统依然可以正常运行。

巴哈马沙元的发展历程

巴哈马沙元是一种中央银行数字货币，是巴哈马元（B$） 的数字版本。它属于零售型的数字货币，是一种集中的、受监管的、稳定的、私密的和安全的记账单位和交换手段。与现金一样，沙元由巴哈马中央银行通过授权金融机构 (Authorised Financial Institutions，简称AFI) 发行。居民可以通过手机应用程序或使用实体支付卡访问数字钱包，来享受沙元带来的灵活性和便利性。沙元项目是巴哈马支付系统现代化计划的延续，其目标是在金融包容性和准入方面进行改善，使整个群岛的支付系统更加高效、平等，从而建立其在金融服务领域的领先地位。

在谨慎选择技术合作伙伴和并先行示范区进行试点推广之后，2020 年 10 月 20 日，巴哈马中央银行在全国范围内发行沙元，使公众可以使用央行数字货币。2021年3月5日，当地授权金融机构加勒比支付(巴哈马)有限公司（CaribPay (Bahamas) Ltd.）发行了卡努（Kanoo）数字钱包，成为世界上第一家将央行数字货币完全集成到其系统中的金融机构，实现了CBDC系统的互操作性，为确保所有巴哈马人都能使用沙元进行交易奠定了基础。

巴哈马沙元的灾害应对机制

由于巴哈马的多灾害特性，灾害应对机制是CBDC系统中尤为重要的组成部分。沙元的运行系统如图1所示，在沙元进行个人之间、企业之间以及其他支付业务的过程中，其离线交易功能和预付卡等功能在灾害应对方面产生了重大的作用。

图1 巴哈马沙元的生态系统示意图

紧急无线通信与央行数字货币配合可快速恢复金融服务

沙元试点测试过程中，巴哈马中央银行在阿巴科岛提前部署了数字货币和密钥，并测试了紧急无线通信功能，确认了这些功能在自然灾害后迅速恢复金融服务的可行性。另外，在飓风灾害到来之后，该地区的零售企业可以很快地恢复交易，这为此后巴哈马维护灾后的社会经济稳定带来了巨大的贡献。

数字货币的交易安全性

在巴哈马群岛遭受飓风多里安袭击期间，该国发生了几起抢劫事件，在阿巴科地区尤其严重。因此，如何保证交易安全、避免沙元被盗和抢夺是至关重要的。在线上以及离线支付时，沙元消费者需要进行系统提供的多重身份验证，比如密码、面部识别以及其他生物识别手段来访问沙元APP，这在相当程度上保证了交易的安全性和隐私性。用户需要在交易时提供固定密码和随机生成的验证码这两重密码，钱包加密技术保证了每个钱包都可凭借一组独特的加密数据来确保隐私和机密性。当然，沙元的交易并非匿名而是保密，如果发生了非法交易行为，中央银行也会对其进行追溯，从而提供线上、离线交易的多方位安全保障。此外，包括央行在内的所有提供沙元服务的金融机构，都必须进行网络安全评估。这些金融机构的网络安全态势以及专有移动应用程序是整个CBDC系统的安全保证，因此需要经过严格且独立的评估，以确保它们符合国际安全标准。

数字货币的离线交易功能

有弹性的CBDC系统应该在运行故障和中断、自然灾害、电力中断等问题上具备极强的恢复力。如果各类灾害发生时系统无法连接网络，终端用户也可以通过CBDC系统的离线交易机制进行离线支付。沙元同样支持“离线功能”，在巴哈马CBDC系统的灾害应对机制中，数字钱包为离线支付功能提供了重要支持。沙元钱包依赖于中央银行建立的系统以及银行和支付服务提供商批准的KYC（充分了解你的客户，Know Your Customer，简称KYC）系统。用户可以通过银行、支付服务提供商将数字钱包APP下载到移动设备上，然后通过授权服务提供商完成数字账户的设置过程。在CBDC数字钱包系统技术的支持之下，即使巴哈马各个岛屿之间的通信断开，由于CBDC系统内置安全措施的存在，用户可以在数字货币交易系统的通信中断时预先设定支付金额，一旦通信重新建立，钱包将立即更新交易。

数字货币预付卡功能

美国万事达卡公司也意识到了数字支付对于灾后重建的重要意义。为了让巴哈马人更容易使用沙元，数字支付平台Island Pay（Island Pay Group Ltd.）与万事达卡公司合作发行了第一张与CBDC相关的预付卡，该卡不仅包含几乎所有传统银行支付卡的功能，还能让客户可以随时随地将沙元转换为传统的巴哈马元，从而可以在巴哈马和接受万事达卡的任何地方进行消费。万事达数字货币预付卡可以用来租车和订酒店，客户可以在服务结束之后进行最终付款。此外，该卡还可用来进行分期付款和定期付款，当付款计划设置好后，即使遇到了断网的情况，系统也可以按照事先设定好的程序进行交易。

灾害应对机制成为央行数字货币设计中的重要方针

沙元的实践表明央行数字货币对大型自然灾害后金融服务的恢复工作起到十分重要的作用。各机构也敏锐地发现了CBDC这一重要优势，许多央行和公司也开始有所行动。

日本CBDC项目关注离线支付

日本央行2020年10月发布的关于央行数字货币的方针文件中，特别关注了CBDC离线支付交易的概念验证功能，强调了离线交易功能的必要性。由于日本的地理特性，地震、海啸、洪水、台风等各种自然灾害频发。考虑到日本出现自然灾害的概率，为了使CBDC可以随时随地使用，在系统和网络故障、停电时支持CBDC离线交易的设计就显得至关重要。尽管没有详细说明如何应对此类灾害事件，但报告中提出的一些构想可以通过基于区块链等技术支持的数字货币方案来解决潜在电力或网络故障。其中包括基于长波无线电发射器的网状网络开发，以及区块流（Blockstream）的卫星网络等，后者可通过太空传输完成数字货币交易。

多边央行数字货币桥（Mbridge）研究项目

2021年2月24日，中国人民银行数字货币研究所连同香港金融管理局、泰国中央银行、阿拉伯联合酋长国中央银行，宣布联合发起“多边央行数字货币桥研究项目”，探索CBDC在跨境支付领域中的应用。央行数字货币面临的灾难不仅仅是自然灾害，也可能是网络及云端系统的崩溃，因此，定期进行灾后恢复的测试和演练是非常有必要的。报告指出CBDC跨境交易系统的开发应考虑各种灾难场景，如IT设备故障、自然灾害以及与人类相关的威胁；另外，使用故障转移和备份系统的程序、设置应急程序等措施也可以应对需关闭系统节点的突发事件（灾难）。此外，报告要求灾后建议恢复的目标时间为一分钟甚至更短。

多边央行数字货币桥项目开发的系统中建立了一种可持续运行的灾难恢复程序，以支持系统在中断的情况下快速恢复运营。这种恢复机制可以保证在多节点操作过程中，当一个节点发生故障时，整个系统能够持续运行。其次，为了应对各种灾难场景，多边央行数字货币桥平台服务具有完全的恢复能力，毁坏节点的交易操作将立即被链上的其他节点所捕捉，且不会导致交易数据丢失，同时损坏节点的服务可以通过利用云架构设计中的高可用性和恢复性来非常迅速地填补漏洞。另外，库伯内茨（Kubernetes）的自动部署特性也是该项目的一大亮点，Kubernetes是用于自动部署、扩展和管理容器化应用程序的开源系统。它将组成应用程序的容器组合成逻辑单元，以便于管理和服务。在多边央行数字货币桥项目中，Kubernetes的自动部署特性是灾害恢复功能的重要部分。

数字人民币的双离线机制

在极端大型自然灾害下，通信网络中断，电子支付无法使用，但央行数字货币仍可以进行正常的交易结算，也就是所谓的“双离线支付”。其中，数字人民币双离线支付可以完全模拟现钞支付模式，在收付双方都离线的情况下，终端电子钱包会先记账，等到能做安全验证时再进行扣款。对于实现离线支付的技术路线大致包括两个，一个是电子存储技术路线，另一种方法是采用区块链技术。这对灾区在灾后的经济重建和社会稳定来说有着至关重要的作用。

东加勒比发行CBDC以进行灾后重建

DCash是东加勒比中央银行发行的央行数字货币，该项目进行了世界上第一个关于央行数字货币用于自然灾害后重建的案例研究。该CBDC由全球金融科技公司比特（Bitt Inc.）开发，由东加勒比中央银行于2021年7月上旬在受火山袭击的圣文森特和格林纳丁斯地区发行。2021年初，休眠数十年的苏弗雷火山喷发，自4月以来，东加勒比地区的居民一直处于恢复基础设施的过程之中。在重建经济的关键任务明确之后，比特公司和加勒比中央银行迅速开展工作以促进DCash的推出，造福灾区的居民。比特公司的首席执行官布赖恩·波佩尔卡表示，“免费的个人间跨境（Peer to Peer ，简称P2P）DCash交易以及现金与DCash之间的交换功能将很快改变那些受到火山爆发影响的灾区人民的生活。目前，东加勒比中央银行已将DCash扩展到联邦的另外两个国家：多米尼克和蒙特塞拉特。现在，八个成员国中已有七个推出了DCash。

Visa公司提出离线支付系统模型

Visa公司在2020年底发表的文章中为CBDC提出了一个离线支付系统（Offline Payment System，简称OPS）协议，该协议允许用户在两个用户暂时离线且无法连接到支付中介（甚至互联网）的情况下向另一个用户进行数字支付。OPS可用于即时完成涉任何形式的数字货币点对点交易，而无须与任何支付中介进行通信，从而实现近乎无限的吞吐量和实时交易延迟。该OPS协议通过依赖可信执行环境（Trusted Execution Environment，简称TEE）生成的数字签名来防止诈骗，这些数字签名可以在智能手机和平板电脑等大多数计算机设备上使用。由于OPS系统需要几个加密协议来进行多个支持TEE设备之间资金的安全交换，因此离线支付的功能实现需要一个可靠的金融生态系统来支持大规模的CBDC交易安全运行。

问题与展望

在自然灾害面前，CBDC系统通过离线的点对点支付提高了用户消费的便利性，这种设计允许离线交易和与现有支付系统的互操作性，并可以通过简化数字支付的访问来促进金融包容性。未来，巴哈马的试点项目将会促使中央银行改进设计，以进一步降低金融稳定性风险和网络安全风险。但由于安全控制（如“锁定”被盗资金或查询可疑交易）在分布式系统上实现的困难性，建立额外的安全措施来应对欺诈风险也是十分必要的。另外，允许离线交易设置上限对于解决安全问题来说无疑是有利的，然而，在出现长期操作问题（如自然灾害）时，离线封顶的设定也可能会产生一定限制，从而降低系统的弹性。不过，如果系统可以针对不同情况去调整离线数字钱包交易的限额，这或许对解决安全问题和灾后恢复是一个不错的解决方案。

目前，巴哈马央行针对数字货币设立的法律法规已经能保证CBDC在国家层面进行大范围的合规交易。但法规草案是否完善合理仍然需要等待实践的检验。尤其是当国家在遭受自然灾害和经济损失时，央行数字货币是否能够得偿所愿地为灾后的经济重建发挥重大作用还需要拭目以待。