分布式批发支付系统可行吗？——Jasper项目第二阶段评论
Jasper项目是加拿大支付公司、加拿大银行、金融创新联盟等加拿大金融机构合作研究倡议，旨在了解分布式账本技术（Distributed Ledger Technology，DLT）如何改变加拿大支付的未来。该项目于2016年3月启动，目前已发布六份报告，本文为对项目第二阶段的评论。中国人民大学金融科技研究所（微信ID：ruc_fintech）对文章进行了编译。
第一阶段报告：DLT平台的搭建——Jasper项目第一阶段报告
来源 | Financial System Review
引言
金融科技（FinTech）的定义是：通过技术实现金融创新，产生新的商业模式、应用、流程或产品，并对金融市场和机构或金融服务的提供产生相关的实质性影响。
其中一项具有巨大潜力的创新是分布式账本技术(DLT)，或作为其众所周知的通用变体的区块链。DLT在2008年与加密货币比特币一起引入（Nakamoto，2008），可以进行安全验证和交易记录。分布式账本是多方共享的数据库，它允许执行双方一致同意的事务，并就数据库的更改达成一致，这样就确保了各方之间的一致性。分布式分类账的关键特征是，授权方通过使用共识机制，共享相同版本的数据，而不需要一个中央数据库或中央管理员。一个更通用的DLT平台以太坊（Ethereum）于2013年推出。它允许定义、创建和交易任何类型的数字资产，还支持智能合约，允许DLT自动执行合约条款，提供比简单地转移一种特定类型的资产更多的功能(Buterin，2013)。这些发展引起了金融业的极大兴趣。底层分类账的共享性质可以提供许多潜在的好处，包括流程和成本效率、弹性和互操作性。然而，在使DLT适应金融部门的应用程序方面也存在许多挑战，包括交易的速度、实现交易的最终性和隐私。最近金融科技公司开发了更通用的DLT系统，如R3的Corda5，以满足金融部门的需求。金融领域的参与者对这种分布式账本技术感兴趣有几个原因。它有可能通过自动化各种结算流程来降低后台成本。它可以提高分类账中存储信息的可靠性和可追溯性，因为共识机制限制了谁可以更改记录以及他们如何更改记录。最后，通过去中心化流程，交易结算可以更快——减少到数小时或几分钟，而不是几天。人们感兴趣的一个领域是DLT对金融市场基础设施(FMIs)的潜在影响。FMIs作为金融机构之间的可信第三方，在集中的总账中跟踪和记录交易。FMIs的操作者、参与者和中央银行都对基于DLT的系统相对于当前的中心化系统所能提供的效率和机会感兴趣。因此，最近DLT的许多进步都集中在中心化系统的传统运作方实现DLT的优点，同时减轻其缺点的方法上。例如，一个常见的趋势是创建限制对一组受信任实体访问的DLT系统，这与任何实体都可以参与的比特币等开放安排形成了鲜明对比。到目前为止，中央银行只在概念证明的情况下实施DLT，对潜在DLT应用的进一步研究是可以期待的。正在研究的一个领域是DLT在批发支付系统中的可能应用。加拿大现有的批发支付系统是大额转账系统（LVTS），由加拿大支付公司运营。LVTS每个工作日平均处理1750亿美元的支付。它已被指定为具有系统重要性的FMI，并由加拿大银行按照金融市场基础设施原则（PFMIs）进行监督。批发支付系统作为DLT的早期潜在应用是有意义的，因为它们相对简单。它们对金融稳定也至关重要。因此，像加拿大银行这样的监督者必须了解DLT的使用将如何改变中央系统的结构和操作方式，DLT系统是否能够满足现有的国际标准，以及对支付系统政策的任何潜在影响。2016年，加拿大支付与加拿大银行、R3和R3联盟成员的加拿大商业银行一起发起了一个代号为Jasper的实验项目，探索基于DLT的批发支付系统。Jasper项目的直接目标是构建一个概念验证系统（无意推进到生产级系统），该系统利用中央银行发行和控制的结算资产。在第一阶段，参与者在以太坊平台上构建结算能力，并演示其在参与者之间交换结算资产的能力。第二阶段建立在Corda平台上，包含了允许参与者协调他们的支付以减少流动性需求的流动性节约机制(LSM)。作为第二阶段的一部分，参与者正在准备一份更长的白皮书，将于2017年6月底发表，概述这项工作的详细技术和政策影响。这一实验的主要启示之一是，与现有的银行间支付中心化系统相比，目前可用的分布式账本可能无法提供整体净收益。核心批发支付系统运转得相当有效。然而，基于DLT的批发支付系统可能会给更广泛的支付系统参与者和整个金融系统带来净收益，因为减少了后台对账，并改善了与更大的DLT金融市场基础设施生态系统的互动。下面是项目的高级概述和初步调查结果。
Jasper项目的关键特征
Jasper项目为中央银行和参与的金融机构如何在分布式账本上完成银行间支付提供了至关重要的见解，该项目还提供了对使用不同DLT平台的批发支付系统的功能的理解，以及如何整合现代支付系统队列等功能，可以通过减少附带需求提高效率。最后，开发一个可工作的原型提高了对基于DLT系统的潜在风险以及如何减少这些风险的意识。
开发Jasper项目的第一个关键挑战是确定如何转移价值。PFMIs要求在任何实际可行和可用的情况下，FMI以中央银行的资金结算。这通常意味着使用中央银行的账户进行结算。为此，我们使用了数字存单（DDR）的概念来表示加拿大银行的存款。DDR是由加拿大银行发行的货币的数字表示形式；这可能是未来更广泛使用央行资金的一种方法（Garratt，2017）。DDR由加拿大银行在该系统中发行，并由参与者向银行认捐的现金逐一支持。将DDR兑换为中央银行的货币意味着银行系统中流通的货币不会增加。DDR被系统的参与者用来交换和结算银行间的支付。在在与加拿大银行交换DDR，将加拿大元转入各自的结算账户后，Jasper项目在加拿大银行账簿上实现最终结算。无论出于何种目的，这些DDR在系统中都发挥着现金的作用。第二个关键挑战是如何以最低的DDR或流动性最有效地支付。从历史上看，银行间支付是通过在参与者之间进行日末净额结算的系统进行的。但随着这些系统的交易量和价值的增加，各国央行开始担心净额计算所固有的风险。作为回应，大多数央行选择了实施实时全额支付系统（RTGS）(见Bech和Hobijn，2007)。而在RTGS中，支付将在一天内独立处理。Jasper项目的第一阶段是作为一个纯RTGS系统实施的，账本上的每一笔付款都由参与者钱包中的DDR预供资。RTGS系统以增加流动性需求为代价消除了结算风险。RTGS系统的流动性需求可能是巨大的，因为在这些系统中结算的价值很大——通常高达一个国家每日国内生产总值的五分之一。为了降低RTGS系统对流动性的要求，世界各地的运营商都采用了流动性节约机制（LSMs）。最有效的流动性节约机制是那些通过定期匹配已提交到中央支付队列的抵消付款并只结算净债务来支持结算的方式，然而，抵消算法会导致结算延迟，这对于某些类型的支付是不可接受的。因此，银行需要一种方式来进行这些时间紧迫的支付。Jasper项目的第二阶段探索了让银行选择立即结算或排队进行净额结算和延期结算的可能性。Jasper项目似乎是在分布式账本平台上实现LSM算法的第一个公共实例。
Jasper项目的技术特征
比特币的崛起激发了FMI开发者对DLT的兴趣。比特币使用工作证明（PoW）协议，提供交易的去中心化验证。设计PoW协议是为了阻止参与者接管开放的DLT系统和重复支出或重写分类账。这需要在每个节点进行开销很大的事务验证工作。然而，该协议在计算上可能非常昂贵，并且要求所有事务具有一定程度的透明度。例如，在比特币区块链上，所有参与者的身份都被屏蔽了，但所有交易对所有人都是可见的。这种费用和透明度源于比特币等DLT的匿名性和开放性。
在Jasper项目的第一阶段，该系统构建在以太坊平台上，该平台使用PoW共识协议。以太坊的公共版本是一个不受限制的系统，与所有参与者共享账本的完整副本；Jasper使用的版本只在R3成员之间共享分类帐。在一个封闭的私有网络中，如批发支付系统，PoW协议既不是必需的，也不是需要的。限制对可信对手方的访问使DLT协议的开发人员能够使用替代的有效协议来执行验证和记录功能。Jasper项目第二阶段所构建的Corda平台使用了公证功能，而不是PoW。Corda的一个关键特性是通过两个函数实现对总账的更新：一个验证函数和一个唯一函数。验证函数由交易中涉及的各方执行，确保交易的所有细节都是正确的，并且发送方拥有所需的资金。唯一函数由公证人执行。对于Jasper项目系统，公证人是加拿大银行。作为公证人，加拿大银行可以访问整个分类账，以便核实交易中涉及的资金是否可用。
Jasper的流动性节约机制
Jasper LSM是一个具有周期性多边支付联网的支付队列。从概念上讲，它的工作方式非常简单。如果银行有非紧急付款，付款可以放到等待队列中。银行向队列提交付款通知后，提交的付款将与其他排队的付款一起等待，直到匹配周期开始。然后，在算法组合所有提交的付款、确定每家银行的净债务并评估每家银行的流动性状况时，队列会被暂时锁定。
支付队列本质上是集中式的。一个关键的挑战是在DLT系统中实现它，而不是使用传统的基于账户的集中分类账系统。这些技术问题带来了极大的复杂性，并突出了在构建依赖某种程度的集中控制或集中信息的分散系统时所面临的固有挑战。Jasper项目开发的创新解决方案是将“吸气/呼气”程序整合到Corda平台上。在匹配周期开始之前，银行可以向队列提交付款。但是，这些支付不会立即经过两阶段验证和唯一过程，这是在Corda系统中将交易添加到分类账中所必需的。相反，支付指令一直在队列中，直到匹配循环开始。这时，一系列的事件发生了。首先，在“吸气”阶段，向所有参与匹配周期的银行发送通知，要求它们向加拿大银行发送DDR。每一笔付款都经过验证并添加到分类账中。然后，在“呼气”阶段，匹配算法在给定可用资金的基础上，确定要清除的付款子集。加拿大银行向所有参与银行发送DDR付款，支付金额与它们的出资金额相等，加上或减去它们在匹配算法完成后欠下的任何资金。为了说明这一点，假设只有两家银行，A和B，在队列中相互支付的金额分别为100美元和90美元。此外，作为“吸气”环节的一部分，每家银行还向队列发送了15美元。根据A和B之间的相互支付，算法会向A银行收取10美元，并将10美元贷给B银行。考虑到他们在吸气阶段的初始贡献，这意味着在呼气阶段向A银行支付5美元，B银行支付25美元。
随后，会对这些交易进行验证并添加到分类账中。算法不匹配的付款将保留在队列中。此时，一个新的匹配循环开始了。银行可以自由地输入或从队列中移除支付，直到下一个匹配周期结束，这个过程继续重复。
Jasper的效率和金融稳定风险
Jasper项目的效率和金融稳定风险通过适用于批发支付系统运作的PFMIs评估。其中，只考虑了那些与概念证明系统有关的问题，那些只适用于生产级别的FMI的原则——例如那些主要涉及治理和法律方面的原则——被排除在外。因此，审查的原则可以按照它们所处理的风险进行分组：信用和流动性风险、结算风险和操作风险。
信用和流动性风险
Jasper平台的设计没有信用风险，因为所有的支付都代表了对央行存款这种无风险资产的要求。参与者通过LVTS将现金转移到加拿大银行，然后LVTS创建可以在分布式账本平台上交换的DDR。总的来说，在概念验证设计中没有发现与信用风险原则从根本上不相容的东西。
如上所述，Jasper项目引入了一个LSM，该LSM模仿了现有RTGS系统的功能，以减轻流动性风险，即参与者没有足够的DDR进行支付的风险。Jasper的LSM的性能目前正在使用模拟数据进行测试。虽然现在预测这些模拟的结果还为时过早，但我们可以报告说，迄今为止，我们没有看到在分布式账本上实现LSM会改变其使用或性能相对于集中式系统的证据。LSM可能会产生与现有LSM类似的流动性节约。结算风险
结算的定义是不可撤销和无条件地转让资产。确定最终结算条件是金融稳定的基础。
与结算最终性相关的两个方面与像Jasper项目这样的DLT的应用相关：操作结算——或去中心化账本更新过程的确定性——和法律结算，这是在相关系统规则和相关法律中定义结算最终性的方式。为了确保法律结算的最终性，Jasper项目搭建的结构使DDR的转移相当于对中央银行存款的基本索赔权的完全和不可撤销的转移。这个设计特性与DDR的发行有关，因此独立于Jasper所基于构建的平台。相比之下，为了确保业务结算的最终性，需要解决与所使用的DLT平台的基础技术相关的问题。在以太坊的情况下，PoW共识机制被用于验证支付，但PoW结算是概率性的。因此，付款永远不会完全结清，因为总是有很小的可能性，付款可以逆转。结算变得越来越确定，因为记录的交易随着时间推移变得越来越不可改变，但它从来不会达到不可撤销的点。在Corda平台中，理论上，受信任的公证人的角色将消除这种不确定性，因为交易一旦完成就不能撤销。然而，这个系统还没有经过压力测试，因此一些风险可能仍然与结算的最终结果有关。总的来说，从以太坊转移到Corda降低了结算风险，并提高了生产系统遵守结算风险原则的可能性。然而，最终的评估需要进一步的测试。操作风险
弹性、安全性和可扩展性是批发支付系统的核心运营风险考虑因素。考虑到Jasper项目不是一个生产级平台，对所有这些操作风险的详细评估是不可能的。也就是说，Jasper的重点是弹性和可扩展性。
在弹性方面，一个关键问题是，基于DLT的批发支付平台是否能够通过没有单点故障而提供更具成本效益的弹性。Jasper项目的第一阶段演示了高可用性的低成本，因为所有参与者操作的节点基本上在共享数据方面为彼此提供了支持。这保证了高可用性不需要对每个节点进行额外的风险防范。然而，一旦向系统添加了额外的功能（如LSM），就会恢复对单点故障的敏感性。因此，在实施设计中必须仔细考虑弹性，原因有三。首先，附加的技术组件（如密钥、身份和系统访问管理）目前是基于中心化模型和单一可信运营商的假设（早期曾尝试设计这些组件的分布式版本）。因此，这些重要的组件面临着与现有中心化系统所面临的单点故障相同的典型挑战。例如，数字密钥与个人参与者绑定，用于证明这些参与者对特定资产执行交易的权利；区块链节点的任何操作员都需要有系统组件来安全地存储其数字密钥，而不是与网络中的其他人共享它们。因此，存储数字密钥的系统组件应该高度可用，以避免单点故障风险，并为灾难恢复进行备份，因为这些信息无法从其他参与者的节点恢复。其次，DLT系统与现有系统的单点故障比较可以通过公证系统（如Corda）进一步进行。与PoW不同，参与者的单个节点必须是可操作的，才能发送或接收支付，这降低了系统的弹性。Corda DLT平台在Jasper项目中检查了分区数据，以使每个参与者的节点只能访问和维护该数据的一个子集。虽然这种方法解决了数据隐私问题，但它给跨网络的数据复制带来了重大挑战。不同于所有节点都有完全相同数据库的副本的公共区块链方案，这些受限系统在每个节点都有一个故障点；也就是说，每个节点都需要数据复制和归档以确保业务连续性，而不是像以太坊区块链那样，每个节点都需要为系统提供弹性。第三，与PoW系统相比，公证系统中的节点相对更专门化，在公证系统中出现单点故障的可能性更大。在Jasper项目的第二阶段，Corda的公证人角色由加拿大银行扮演，因此加拿大银行的中断将阻止所有支付处理。这一点很重要，因为它强调了操作弹性与每个节点所执行的功能相关。总体评估表明，与集中式平台和开放DLT平台相比，如果不仔细设计，受限分布式账本方案可能会降低操作弹性。这种对业务复原力的需要可能使以Corda为基础的Jasper第二阶段在满足PFMIs方面比目前的中央系统更昂贵。因此，在Jasper第二阶段中，每个参与者可能都必须投资于高可用性节点，以减少中断的可能性。PFMIs中操作风险的另一个关键方面是可扩展性。目前，LVTS每天处理32000个事务，峰值吞吐量大约为每秒10个事务。在DLT安排中，分布功能需要计算成本。在像以太坊这样的PoW平台上，扩展性是有限的。在第一阶段，大约是每秒14笔交易，因为以太坊是为公共互联网设计的，在公共互联网上，速度限制将挑战节点之间的信息流动。虽然这一速度足以处理当前的每日LVTS交易量，但它可能会造成未来的峰值交易量限制，比如在市场压力或波动时期。相比之下，可扩展性在Corda平台中不是一个约束，因为Corda没有一个基于固定时间的共识方法，只需要涉及各方的节点和公证人员来验证交易。透明度和隐私
批发支付系统的一个基本要求是，参与者需要对没有参与交易的各方保密他们的交易。这对于防止其他参与者能够利用这些信息是必要的。参与者的客户也可能喜欢或要求这种隐私。PoW系统不适合这些类型的大价值系统，因为它们是在系统中的所有事务在某种程度上都是公开可见的假设下运行的。
相反，基于公证的DLT系统，如Corda，允许增加隐私，因为可信的第三方（如加拿大银行）帮助验证所有交易。但是Corda系统缺乏透明度，这意味着除了公证人之外，系统中没有任何节点拥有所有信息。因此，如果一个或多个节点的信息被破坏，就可能无法重建整个网络，因为即使是公证人也没有完整的账本副本。这就产生了对单个节点的备份的需求，并损失了与中心化系统相关的规模经济。此外，它还提出了一个问题：在交易仍为私有的约束下，DLT所提议的运营弹性益处是否可能实现。
以下为文章部分截图
……
获取完整文章
请后台回复“Jasper”
获取下载链接
END
编辑/李锦璇
责编/李锦璇
【延伸阅读】