央行数字货币发行系统是怎么搭的？发行、分发、托管全链路拆解

央行数字货币发行系统不是单一产品，是覆盖总行、商业银行、用户端的三层网络。我在这条线上干了几年，聊聊怎么把这套东西真正跑起来。

总行层核心是账户型发行与额度管控。每笔币的铸造不是简单数据库写入，要经总行双中心授权、离线签名，再经加密通道下发到商业银行接入节点。我做过的项目里，签名用SM2国密，密钥由HSM托管，每5000笔轮换一次。

商业银行负责把额度拆到用户钱包，这一步叫分层可控匿名。技术上要在设备端做隐私计算，交易时只暴露必要信息，完整记录留在银行侧。难点在离线支付——地铁扫码没网时，钱包本地双花检测靠时间戳加序列号，超阈值就得回连验证。

跨境是最近的硬骨头。我参与对接的项目里，境外央行走代理行模式，报文参考ISO 20022做了裁剪。汇率换算、反洗钱筛查前置到边境节点，T+0清算要求延迟压到200毫秒以内央行数字货币发行系统央行数字货币发行系统是怎么搭的？发行、分发、托管全链路拆解，链路里每一跳都是极限。

运维上整套系统没有单点。我盯过一次灾备切换，主中心故障后热备45秒接管，在途交易零丢失。真正的风险不在技术，在密钥生命周期管理——HSM到期、人员变动导致密钥丢失，恢复要跑完整套国密体系重新签验，耗时远超预期。