数字人民币智能合约在铁路客票+业务支付结算的应用研究

苗守庭，景晓志，冉泽宇，张志强，于 茜，李红艳

（1.中国国家铁路集团有限公司 财务部，北京 100844；2.中国铁道科学研究院集团有限公司电子计算技术研究所，北京 100081；3.中国工商银行 数字人民币市场团队，北京 100120；4.中国铁路哈尔滨局集团有限公司 财务部，黑龙江 哈尔滨 150006；5.中国铁路财务有限责任公司 同业业务部，北京 100038）

0 引言

中国人民银行(以下简称“央行”)于2021 年7月发布了《中国数字人民币的研发进展白皮书》，按照稳步、安全、可控、创新、实用的原则，近年来选择部分城市及区域开展数字人民币试点，截至2022 年8 月31 日，先后选择15 个省(市)的部分地区，在批发零售、餐饮文旅、教育医疗、公共服务等领域已形成一大批涵盖线上线下、可复制可推广的应用模式，交易金额超1 000 亿元，支持数字人民币的商户门店数量超过560万个[1]。

铁路12306 目前已有8 亿多注册用户，铁路提出了综合交通下多式联运的旅客智能出行服务[2]，围绕铁路12306平台进一步构建MaaS+智能服务[3]，深入整合餐饮、住宿、旅游、交通等资源，在平台上提供出行全链条综合服务，其中支付结算是重要的业务环节。为满足客户通过互联网办理购票、运费缴纳需求，铁路建设了电子支付平台，提供了丰富的电子支付渠道，但在非运输业务中电子支付渠道不够丰富[4]，同时区块链、数字人民币等新型技术及产品在铁路电子支付运用不够[5-6]。数字人民币作为国家推出的重要公共产品，已在电力、能源、教育、医疗等涉及国计民生的众多场景推广运用，铁路有必要在相应的业务场景推广使用。此外，铁路客票+平台类业务日益丰富，部分业务采取资金收取至平台再分账给各商户的模式，存在合规安全隐患[7]、支付手续费高、对账结算工作量庞大等不足，数字人民币具有可编程的特点，对此类业务的支付结算，可在合规性、便捷性、经济性等方面起到有效的支撑作用。

1 数字人民币及铁路客票+概况

1.1 数字人民币

数字人民币是央行发行的数字形式的法定货币[8]，其核心要素由“一币两库三中心”构成[9-10]。其中“一币”为央行担保并发行的数字人民币，经央行私钥签名的才是法定数字人民币；“两库”指央行发行数据库和商业银行数据库；“三中心”指数字人民币登记中心、认证中心和大数据中心。

1.2 数字人民币特性

从支付及结算角度看，数字人民币特性主要包括以下几个方面。

（1）中心化管理、双层运营机制。央行负责数字人民币发行、注销、跨机构互联互通和钱包生态管理，指定运营机构提供数字人民币兑换和流通服务，数字人民币双层运营架构如图1所示。

图1 数字人民币双层运营架构Fig.1 Double layer operation architecture of e-CNY

（2）数字钱包体系。数字钱包是数字人民币的载体，由个人用户和单位用户在指定运营机构开立，办理数字人民币兑换、存储、流通等。数字钱包是数字人民币触达用户的媒介，提供在线或离线支付、批量支付、条件支付等多种支付方式，以实现数字人民币线上线下全场景应用。数字人民币按照客户类型可分为个人钱包和对公钱包，个人钱包目标用户为自然人，对公钱包目标用户为依法设立的企业、事业单位、机关、团体、部队和其他组织及个体工商户，对公数字钱包开立均需实名认证，审核客户资料、客户身份和客户意愿。

（3）支付即结算。数字人民币可基于数字钱包实现资金直接转移，无需与银行进行清结算，可实现支付即结算。

（4）可编程特性。数字人民币在预留域中加载信息代码，也可为货币设定流通的条件，从而实现数字人民币交易内容的代码化和执行的自动化，实现资金流和信息流的统一，可将不含付款方身份信息要素的原始订单数据无差别展示给交易各方及行业监管方。

1.3 铁路客票+业务

铁路基于12306 互联网售票服务，围绕旅客出行前、旅途中、到达目的地全行程，为旅客提供了多样化的延伸服务产品，提供了丰富的客票+服务[11]。部分客票+服务产品提供了旅客合并下单、一次支付的服务，随着数字人民币的推广应用，有必要持续为旅客提供便捷的支付服务。所述客票+业务指需要将客票与其他服务产品合并下单并通过一次支付完成订单的业务。

2 铁路客票+业务数字人民币运用方案

2.1 铁路客票+业务支付结算特点

（1）支持多方分账结算。铁路客票+业务属于平台经济的一种业务模式[12]，在以平台运营方为核心的运营模式下，便产生了由平台企业主导的向参与交易的多方分账结算的需求，在现有电子支付方式及服务体系下，商业银行或持牌非银行支付机构为平台企业提供资金结算服务，以避免发生监管机构规定的“二清”违规行为，在运用数字人民币支付时，通过点对点支付实现支付即结算，故不存在“二清”违规行为。因此，可利用数字人民币智能合约特性，合规、高效完成铁路客票+业务支付资金的智能分账及结算。

（2）商品及服务延迟结算。与铁路客票实时支付、即时结算不同，部分客票+类业务完成订单支付后，接收商品、享受服务有一定的滞后性，为保证平台业务商品及服务质量，平台方一般采取将资金延迟结算至合作商家的方式开展运营。

（3）业务运营模式多元化。近年来通过利润分成(以下简称“分润”)、极速退款等多种灵活的运营方式，提升平台活跃度，增加平台用户粘性，在平台经济发展中取得了良好的效果，铁路客票+业务亦采取此类运营方式，在运用数字人民币进行合并订单支付时需要满足此类运营模式的支付结算需求。

2.2 钱包及智能合约实现

2.2.1 数字人民币智能合约机制

智能合约的概念1994年由Nick Szabo提出，指使用程序代码替代各类合同条款，让达到执行条件的“合同条款”被“强制”执行[13]。数字人民币智能合约类型主要包含非运营机构开发的商业合约、运营机构开发的机构合约和央行开发的DC合约(央行Digital Currency，以下简称“央行DC 合约”)，运营机构、央行数字货币研究所建设开放式的数字人民币智能合约服务平台，对合约模板创建、审核，以及合约配置、签订、执行进行管理。开发者创建合约模板后提交至智能合约服务平台，运营机构对合约模板进行审核，对于央行DC 合约则提交至央行智能合约生态服务平台进行审核，审核通过后返回合约模板创建结果。商户在使用时根据业务属性选择相应的合约模板，创建合约申请，提交至运营机构进行确认，确认成功后商户加载个性化业务参数，与客户签订合约，将加载合约信息的交易请求提交至运营机构执行合约，智能合约运行机制如图2 所示。随着数字人民币智能合约的不断深入推进，在预付卡[14]、消费红包等领域得到了广泛的运用。

图2 智能合约运行机制Fig.2 Operating mechanism of smart contract

2.2.2 独立钱包体系设计

使用数字人民币交易时，需要收付款方开通数字钱包，在交易请求中将金额、付款运营机构编号、收款运营机构编号、付款钱包编号、收款钱包编号等要素传递至运营机构。在铁路客票+业务中，客票业务属于运输收入，按照既有办法和规定，由中国铁路网络有限公司(以下简称“中铁网络”)统一代为收缴，其他业务由各商户收取，铁路客票+业务独立钱包体系如图3所示。

图3 铁路客票+业务独立钱包体系Fig.3 A Independent wallet system of railway ticket+business

铁路作为平台运营方与各商户明确业务运营规则，用户与平台、运营机构签订智能合约，并明确执行条件，交易处理时将智能合约加载到数字人民币交易请求中作为分账结算的原始依据。平台运营方将加载了智能合约的交易请求提交至智能合约生态服务平台，智能合约生态服务平台校验通过后将加载智能合约的交易请求提交至相应运营机构，运营机构根据智能合约将资金支付至商户对公钱包，完成资金的自动分账结算。

独立钱包体系下，由于各钱包相互独立，数字人民币将分别直接转入不同收款钱包，用户个人钱包将分别收到多个支付通知，用户体验不佳；因数字人民币支付即结算属性，商户可以实时收到资金，平台运营方需要经过复杂的授权方可掌握交易信息流、资金流；同时由于各钱包相互独立，平台或运营机构缺少商户钱包管控的手段，因而无法处理延迟结算、分润等特殊业务模式。

2.2.3 多级钱包体系设计

为满足铁路客票+业务的需求，利用数字人民币特有的钱包功能对钱包体系进行优化，即平台运营方在运营机构开立顶部钱包，以顶部钱包为基础开立相关联的商户子钱包、特殊功能子钱包等底部钱包，平台通过智能合约对底部钱包进行管控，底部钱包用于收付商品及服务资金、与银行账户绑定以提现等，铁路客票+业务多级钱包体系如图4所示。

图4 铁路客票+业务多级钱包体系Fig.4 A Multi layer wallet system of railway ticket+business

顶部钱包为以平台名义开立的运营机构钱包，通过多级钱包体系对所有底部子钱包的智能合约进行统一管理，可查询下级钱包的余额、明细；底部钱包不可单独开立，依托顶部钱包而存在，由各商户授权平台及运营机构线上实时开立及注销，底部子钱包的所有收付款及提现均由平台的智能合约统一管控，底部子钱包可按照智能合约收付数字人民币资金，可与商户银行账户绑定，实现资金自动提现。

平台可为商户提供在线档案信息进件服务，或复用留存的商户档案信息，通过运营机构生成平台的数字人民币受理子商户。中铁网络子钱包用于收付客票票款，商户子钱包用于收付商品及服务资金，特殊功能子钱包可根据实际需要开多个，如分润子钱包、退款子钱包等。

2.3 支付结算流程

2.3.1 整体说明

在构建钱包体系的基础上，支付结算核心包含智能合约的生成、基于智能合约的支付以及资金结算。当前阶段数字人民币智能合约处于能力拓展期，已开放的能力为预付资金监管、消费红包等业务逻辑简单类能力，以及向场景方定向输出的供应链融资等相关能力。为满足铁路客票+业务，以及未来资金归集、物流金融、担保等更广泛领域的业务需求，铁路可参考其他行业做法，整合业务场景，进行聚类分析，抽象生成系列智能合约模板，与央行及运营机构开展系统层面的对接，构建铁路数字人民币智能合约支付结算的数字化处理能力。以此为基础开展业务流程研究。

2.3.2 业务流程设计

多级钱包体系下，智能合约业务流程如图5所示。

图5 智能合约业务流程Fig.5 Business process of smart contract

（1）合约创建。平台在运营机构智能合约服务平台根据业务类型选择智能合约模板，创建合约，运营机构获取合约模板并传送至平台，平台根据业务属性配置个性化参数，传送至运营机构，运营机构根据平台需求生成合约，并存储参数合约，对于央行DC合约则上传至央行智能合约服务平台。

（2）合约签订。用户与运营机构签订合约方可正常使用智能合约，用户选择已创建的合约，运营机构根据请求下传合约并予以展示，用户输入合约信息签订合约，运营机构接收用户签约指令，返回签约结果，储存业务合约信息，对于央行DC 合约则上传至央行智能合约服务平台。

（3）合约执行。用户处理业务订单时，对于需要加载智能合约订单，选择相应合约生成订单，平台加载智能合约生成支付请求，提交至运营机构，运营机构接收并执行智能合约，对于央行DC 合约需上传至央行智能合约服务平台执行合约，合约执行后处理交易请求，跨机构交易提交至央行互联互通平台进行处理，处理完成后向平台返回交易处理结果。

发生退款时，平台核验退款业务逻辑，核验通过后将退款请求提交至运营机构，运营机构处理退款交易，处理成功后将结果通知至平台，平台将退款结果展示给用户，退款业务流程如图6所示。

图6 退款业务流程Fig.6 Refund business process

2.3.3 资金流程设计

多级钱包体系下的资金流依赖于钱包及智能合约设置，一种方案为资金先收至平台顶部钱包托管，此时资金处于预收代付状态，触发智能合约执行条件后资金自动转移至相应底部子钱包；一种方案为资金直接收取至平台底部商户子钱包，通过智能合约进行统一控制，此时资金处于预收代付状态，触发智能合约执行条件后资金自动执行兑出至商户相应绑定账户。

（1）资金托管顶部钱包。资金托管至顶部钱包的资金流如图7所示。

图7 资金托管至平台顶部钱包资金流Fig.7 Fund flow of fund trusteeship to the top of the platform wallet

发生付款时，加载智能合约的资金从用户个人钱包转移至顶部钱包，触发智能合约执行条件时，资金从顶部钱包转移至各商户底部钱包，此时，每个支付至各个商户子钱包的资金结算条件不一样，可根据不同的结算条件签订不同的智能合约。分润等特殊业务资金依据预先设置的智能合约条件，从商户底部钱包转移至平台分润子钱包。各商户可将银行账户绑定至底部子钱包，进行数字人民币资金提现。

发生退款时，资金未结算至商户子钱包时，根据智能合约将原支付资金从顶部钱包直接退至用户个人钱包；资金已结算至商户子钱包时，有分润等特殊业务的先将分润资金从分润子钱包转移至商户子钱包，再从商户子钱包经平台顶部钱包退至用户个人钱包，针对中国国家铁路集团有限公司所属铁路局集团公司采取先结算后服务，社会商户采用先服务后结算的业务模式，可大幅降低退款失败情况的发生，服务完成后的旅客特殊情况退款由平台与用户协商解决。为提升用户体验，确保退款时资金充足，平台通过智能合约设置商户子钱包可提现底额。

（2）资金收取至底部商户钱包。资金收取至商户底部钱包的资金流如图8所示。

图8 资金收取至底部商户钱包资金流Fig.8 Fund flow of funds paid to the bottom merchant wallet

发生付款时，加载智能合约的资金从用户个人钱包直接转移至商户子钱包，若尚未达到结算条件时，资金通过智能合约控制，暂时保留在商户子钱包中，商户可查不可用。待达到结算条件后，执行智能合约，资金自动完成清分和结算，有分润等特殊业务的资金同时根据智能合约结算至平台分润子钱包。各商户可将银行账户绑定至底部子钱包，实现数字人民币资金自动提现。

发生退款时，资金未解冻时，依据智能合约将商户子钱包中的原支付资金退至用户个人钱包；资金已结算时，有分润等特殊业务的资金先根据智能合约将分润子钱包资金退回至商户子钱包，再从商户子钱包退至用户个人钱包。

（3）多家运营机构多级钱包体系。为提升系统稳健性，加强与运营机构的差异化合作，平台可选择与多家运营机构合作，构建多套多级钱包体系，处理支付结算业务。根据央行数字人民币运营机制，当收、付款方为同一运营机构时，可直接通过该运营机构完成数字人民币的熔铸币，当收、付款方为不同运营机构时，由收款方运营机构通过央行互联互通平台实现跨机构交易处理。

当平台与多家运营机构合作时，可设置资金分流智能路由，当平台接收到用户支付请求时判断是否属于合作运营机构，如果是则将此交易请求提交至该运营机构的多级钱包体系处理，如果不是，可自行设置分流比例，分发至合作的运营机构多级钱包体系处理，多家运营机构业务分流示意图如图9所示。

图9 多家运营机构业务分流示意图Fig.9 A schematic diagram of business diversion of multiple operating agencies

2.3.4 对账处理

数字人民币实现了支付即结算，在支付成功后即可完成资金的结算，银行、商家无需再进行资金结算。但由于数字人民币的交易基于网络实现，无论是平台、运营机构还是央行数字人民币系统，均有复杂的网络架构、通道设计，因而在交易处理过程中难免会由于网络波动等系统原因导致交易异常；同时平台运营方、商家基于财务处理也需要相应的业务数据做支撑，故有对账处理的需求。

合作运营机构根据平台及商家的业务需求，生成与付款、退款相关的交易对账文件，提供至平台、合作商家，平台、商家根据自身业务特点进行对账处理，三方协商处理对账中发现的异常交易。

2.3.5 与传统支付方式统一结算流程

统一结算的核心是解决资金结算、对账处理业务，被央行列为指定运营机构的银行可利用其自身清结算能力，实现数字人民币与账户资金统一结算的业务目标，对账单由该运营机构提供，统一结算资金流如图10所示。

图10 统一结算资金流Fig.10 Fund flow of unified settlement

运营机构开通平台内部账户，用于收取使用传统支付方式支付的资金，使用数字人民币智能合约支付时，资金通过平台顶部钱包或直接转移至商户子钱包，再按约定周期或金额将数字人民币子钱包提现的资金和传统支付方式收取的资金统一结算至商户的银行结算账户，人民币支付订单与数字人民币订单均实时同步送达平台和商户，从而实现数字人民币与既有支付方式统一结算、统一对账。

在此模式下，商户可以不用开立普通数字人民币钱包，但需要平台同时接入该运营机构聚合的传统支付渠道，以确保用户支付的资金可以统一进入该运营机构账户；同时，由于资金先结算至运营机构，再由运营机构结算至商户，资金结算周期相对通过数字人民币直接结算周期要长。

3 风险分析及对策研究

3.1 风险分析

数字人民币智能合约在铁路客票+业务场景的运用，主要存在以下风险。

一是可能面临铁路业务代码所表达的智能合约与用户文本合同真实意思不一致[15]，造成智能合约面临合法性问题，从而引起铁路与用户争议。

二是与运营机构对接的智能合约系统可能会存在安全风险，遇到如公有链中智能合约面临的代码漏洞以及攻击事件等方面的安全困境[16]，从而给铁路业务造成非法使用智能合约以及用户合约隐私数据泄漏等法律争议与纠纷问题。

3.2 对策研究

针对上述存在的风险，可以从以下2 个方面加强风险管控。

一是借鉴李嘉图合约[17]的设计思路，将铁路业务合法的法律协议文本与软件系统进行可信连接的审核及验证机制，让法律协议文本不仅人类可读可理解，同时也方便机器提取法律要素进行计算。

二是与智能合约运营机构建立专属域的智能合约通信和智能风控机制，相比公有链，智能合约的运营机构通信及系统安全度高，另外可以提供额外的安全管控手段，保护用户资产安全，并配合法律手段，打击各种犯罪行为。

4 结束语

数字人民币利用计算机、密码等先进技术，构建了与传统的支付体系不同的技术体系，在高效率、低成本、差异化等方面具有较大的潜力。相较于传统支付方式T+N的资金结算周期，数字人民币基于央行统一业务和系统架构，可实现支付即结算，大大提升了交易确认效率，压缩了商户在途资金占用期，有效减轻商户的现金流压力；支付费率方面，相较于既有传统支付方式2‰～6‰甚至更高的支付手续费，现阶段数字人民币0 元手续费，可大大降低企业的运营成本；数字人民币可编程的特性，可有效满足平台型业务在多方权威监管系统驱动下的智能分账、灵活结算需求，可有效提升交易监管透明度和资金管理的智能化水平，降低结算和合规成本。铁路12306 致力于打造国内最大的综合出行服务平台，数字人民币的运用将有利于铁路客票+业务提供更丰富的电子支付方式、更高效低成本的资金结算服务。