在代币化金融市场的探索中，资产端的数字化（如债券上链、基金份额代币化）往往最先吸引眼球。但在金融市场基础设施（Financial Market Infrastructure, FMI）的设计中，真正决定整个交易体系能否安全运行、合规交收的，始终是清算与结算环节的另一半——现金腿（Cash Leg）。
欧洲央行（European Central Bank, ECB）与欧元体系（Eurosystem）近期公布的两个核心项目——计划于2026年第三季度启动初始运行的 Pontes Pilot，以及规划在2028年形成长期蓝图的 Appia 项目，清晰展现了欧洲对下一代证券结算基础设施的解题思路：资产可以迁移至新的账本形态，但最终的价值清算与信用锚，依然要牢牢锁定在中央银行货币（Central Bank Money）之上。
一、证券已经上链，结算问题为什么反而更关键了？
2026年8月19日，欧元体系（Eurosystem）正式公布了 Appia 联络小组（Appia Contact Group）的61家成员机构名单，涵盖欧洲主要商业银行、中央证券存管机构（Central Securities Depository, CSD）、交易所以及公共部门代表[1]。该工作组于2026年9月正式启动，既负责跟进 Pontes Pilot 的运行与演进，也负责共同设计欧洲代币化金融生态的长期基础设施蓝图[2]。
在具体工程进度上，欧央行规划的 Pontes Pilot 也进入了关键上线周期。这一系列动作给行业传递了一个明确信号：欧洲对于分布式账本技术（Distributed Ledger Technology, DLT）在金融领域的应用，已经从分散的技术概念验证（Proof of Concept, PoC），进入到系统级基础设施联调阶段。
对于金融科技从业者而言，观察这一进程的核心视角在于：当证券腿（Securities Leg）已经分布在各类外部市场 DLT 平台上，现金腿（Cash Leg）究竟该如何安全结算？
在现代证券交易生命周期中，任何一笔证券买卖都由两条独立但强耦合的业务分支构成：
- 证券腿（Securities Leg）：负责记录证券所有权的变更与划转；
- 现金腿（Cash Leg）：负责完成对价资金的扣划与交付。
要消除交易双方的本金风险（Principal Risk）——即防止“卖方交了券却没收到钱”或“买方付了钱却没拿到券”，传统金融体系依赖于成熟的券款对付（Delivery versus Payment, DvP）机制。
代币化技术（Tokenisation）改变的是资产的所有权记录载体、智能合约驱动的业务规则以及交易指令的流转方式。但这并不意味着只要证券上了链，结算风险就自然消失。如果证券记录在某条公链或联盟链上，而资金依然存放在商业银行账户、央行实时全额结算系统（Real-Time Gross Settlement, RTGS）或是另一套独立的账本体系中，实质上依然是两套账本，并不能天然解决两条腿之间的同步问题。
虽然区块链原生的哈希时间锁定合约（Hash Time‑Locked Contract，HTLC）可以实现“原子交换（Atomic Swap）”，但它解决的仅仅是计算机技术层面的指令执行同步性（Execution Atomicity），却无法解决资金结算背后的信用风险（Credit Risk）与法律层面的结算最终性（Settlement Finality）。
因此，代币化证券在向规模化演进时，核心瓶颈到了现金腿的设计：市场究竟使用什么货币资产来完成这笔交易？
二、为什么代币化证券仍然需要央行货币作为现金腿？
在代币化资产市场中，现金腿的潜在候选资产通常包括：商业银行代币化存款（Commercial Bank Tokenised Deposits）、法定货币支持的稳定币（Fiat-Backed Stablecoins），以及由中央银行发行的代币化央行准备金（Tokenised Central Bank Reserves）。
欧洲央行在推进批发金融代币化时，始终强调中央银行货币是金融体系中最安全的结算资产[3]。这种坚持并非源于对新兴技术的排斥，而是由金融市场基础设施的核心审慎原则所决定的：
1. 信用风险与流动性风险的本质差异
决定一种结算资产安全性的，不是它的技术表现形式（是否为代币），而是它在资产负债表上属于哪一家机构的负债：
| 结算资产类型 | 资产负债表属性 | 承载的信用主体 | 信用与违约风险 |
|---|---|---|---|
| 中央银行货币（准备金/央行现金代币） | 中央银行的负债 | 国家信用 / 中央银行 | 无商业机构信用风险，违约概率实质为零 |
| 代币化商业银行存款 | 商业银行的负债 | 发行存款的商业银行 | 包含商业银行的信用风险与流动性承压风险 |
| 法币储备型稳定币 | 稳定币发行机构的负债（或信托财产） | 私营非银机构 / 托管机构 | 存在储备资产信用风险、托管风险与解约兑付摩擦 |
在大额批发金融市场（Wholesale Financial Markets）中，日交易规模往往高达数千亿欧元。如果机构之间的大额证券交收依赖某一家商业机构的负债作为中介，一旦该机构在日间出现流动性危机或破产清算，整个证券市场的交收链条将面临系统性连环违约。中央银行货币作为主权信用背书的最终负债，是唯一能在系统层面消除此类信用风险的结算媒介。
2. 法律意义上的结算最终性（Settlement Finality）
在分布式账本中，一笔交易达成共识并写入区块，属于技术维度的状态确认。但在破产法和金融监管框架下，只有当支付行为达到法律认可的“不可撤销、不可更改”状态时，结算最终性才正式成立。
欧盟《结算最终性指令》（Settlement Finality Directive, SFD）明确界定了受法律保护的指定结算系统。欧洲央行的结算架构明确规定，欧元央行货币的结算最终性必须严格锚定在官方运营的泛欧实时全额自动转移清算系统（TARGET2 / T2）之中。这种法律确定性是私营代币化网络无法通过技术手段自行获得的。
3. 维护货币单一性（Singleness of Money）
如果不同的 DLT 证券交易平台各自发行或采用不同的私人稳定币与银行代币，且这些代币无法在无摩擦、平价（按面值1:1）的条件下随时兑换为中央银行基础货币，市场就会产生货币价格分层与流动性割裂。中央银行货币作为所有商业货币的共同价值锚，确保了无论资产在哪个技术账本上流转，计价和结算的法定货币始终保持统一。
三、拆解 Pontes：连接外部市场 DLT 与央行结算基础设施的互操作桥梁
欧洲央行推出的 Pontes，其定位非常清晰：它不是一条由央行包办所有证券发行与交易的“超级链”，而是一套定位于连接外部市场 DLT 平台与欧元体系结算系统（Eurosystem TARGET Services）的互操作桥梁架构（Interoperability Architecture）[4]。
这意味着，欧洲各大交易所、证券存管机构和金融科技平台可以根据自身业务需求，继续使用公有链、联盟链或专有 DLT 平台来承载证券腿；而 Pontes 负责提供标准的互操作机制，让这些平台能够无缝调用央行的现金腿结算能力。
1. Pontes 的双轨现金结算模式（Dual Settlement Models）
根据欧洲央行公布的业务与系统需求文档（Business & User Requirements Documents）[5]，Pontes 设计了两种并行的现金腿结算路径，以适应不同机构的技术成熟度与流动性管理诉求：
- 模式一：欧元体系 DLT 现金代币模式（Eurosystem DLT Cash Token Model）
参与银行在 T2 系统中锁定一部分准备金流动性，由欧元体系官方维护的 Eurosystem DLT 铸造出等额的央行现金代币（Cash Token）。在证券交收过程中，外部市场 DLT 上的证券代币与 Eurosystem DLT 上的现金代币通过跨账本协议完成点对点同步交付。虽然现金代币在日间可以在 Eurosystem DLT 内部流转，但其背后的法定结算最终性仍与 T2 准备金账户紧密绑定。
- 模式二：直接接入 T2 结算模式（Direct T2 RTGS Settlement Model）
对于尚未部署 DLT 节点的传统银行，或者涉及超大额核心资产的交收场景，Pontes 允许外部市场 DLT 发出的结算指令直接触发 T2 RTGS 系统中的准备金账户转账。只有当 T2 返回资金全额扣划成功的最终凭据后，外部链上的证券代币才正式释放给买方。
2. 跨账本 DvP 的协调机制：哈希锁定协议（Hash-Link）
当证券腿与现金腿运行在两个相互独立的账本上时，核心技术挑战在于如何确保“要么两边都完成，要么两边都不发生（All-or-None）”。
Pontes 采用了基于哈希锁定（Hash-Lock）与时间锁（Time-Lock）原理的通信协调机制：
- 预锁定阶段：卖方的证券在市场 DLT 上被智能合约锁定，买方的现金（或现金代币）在 Eurosystem 结算域中被同步锁定，锁定条件由一组唯一的加密哈希原像（Pre-image）控制；
- 结算触发阶段：结算协调系统公开密钥，两端账本在有效时间窗口内同时验证该密钥并执行资产释放；
- 超时保护机制：若任何一边在规定时间内出现通信故障或验证失败，锁定期限触发超时规则，两边资产自动原路退回各自账户，从而彻底杜绝单边风险。
四、从 Pontes 到 Appia：从“互操作连接”到“代币化金融生态”
如果说 Pontes 解决的是“今天已经进入市场的 DLT 证券如何安全接入央行货币”这一痛点，那么 Appia 则是欧洲央行对未来金融市场基础设施的顶层制度设计。
欧洲央行明确将代币化探索划分为短期轨道与长期蓝图：
| 近期工程轨道：Pontes Pilot (2026 Q3) | 长期生态蓝图：Appia Blueprint (至2028) |
|---|---|
| 聚焦痛点：现金腿（Cash Leg）互操作 | 覆盖范围：资产全生命周期基础设施 |
| 架构策略：连接外部市场既有 DLT 平台 | 架构策略：统一标准、可编程性与生态整合 |
| 核心机制：Hash-Link + T2 结算最终性 | 核心机制：共享规则、合规框架与流动性池 |
| 实施目标：解决当下存量代币化资产清算 | 实施目标：构建欧洲数字资本市场通用底座 |
欧洲央行在2026年3月发布的战略路线中指出，Appia 将不仅仅聚焦于支付结算，还将深入探讨以下领域[6]：
- 资产全生命周期管理：涵盖代币化证券的登记发行（Issuance）、交易撮合（Trading）、托管（Custody）以及资产分红派息等公司行为（Asset Servicing）；
- 全生态可编程性（Programmability）：建立统一的智能合约安全标准，支持跨机构、跨资产类型的自动化组合交易（如自动化抵押品置换、程序化回购交易）；
- 防范欧洲市场碎片化（Market Fragmentation）：避免因各国采用不同底层链而重演历史上欧洲资本市场割裂的局面，打造符合欧盟《数字运营抗风险能力法案》（DORA）和《分布式账本技术试验制度》（EU DLT Pilot Regime）的整合型基础设施。
2026年8月成立的 Appia 联络小组，其重要意义正在于搭建了中央银行与61家主流金融机构的直接沟通机制，确保未来的 Appia 蓝图不是央行在实验室里的闭门造车，而是充分吸纳商业银行、清算托管机构在实际资产管理与交易风控中的诉求。
五、从 Pontes、Appia 与 Project Agorá 观察下一代金融市场基础设施
将欧洲体系的 Pontes、Appia，与国际清算银行（Bank for International Settlements, BIS）牵头的 Project Agorá 放在同一坐标系下对比，可以提炼出全球主流央行在代币化金融基础设施探索中的底层共识。
2026年7月，Project Agorá 顺利完成了真实价值测试（Real-Value Testing）。来自全球主要货币管辖区的央行与28家大型私营金融机构共同执行了17类跨境批发支付场景，累计完成约80万瑞士法郎的真实交易测试[7]。在测试中，代币化央行准备金（Tokenised Central Bank Reserves）与代币化商业银行存款（Tokenised Commercial Bank Deposits）实现了在可编程环境下的协同结算，并验证了与国际标准化组织金融报文标准（ISO 20022）外部系统的交互。
| 观察维度 | 欧洲体系：Pontes / Appia | 国际清算银行体系：Project Agorá |
|---|---|---|
| 主要业务场景 | 代币化证券的批发型券款对付（DvP） | 跨境多币种批发支付与同步交收（PvP） |
| 核心连接对象 | 外部证券 DLT 平台 ↔ 欧元体系 T2 准备金系统 | 商业银行代币化存款 ↔ 央行代币化准备金 |
| 货币结构 | 强调以单一央行货币为现金腿提供信用与法律最终性锚 | 强调两层银行货币体系（商业银行存款+央行准备金）的链上映射 |
| 外部系统交互 | 直连 T2 RTGS 或通过 Eurosystem DLT 结算 | 原型系统通过 ISO 20022 报文与传统核心银行系统和 RTGS 对接 |
这两个项目的实践共同印证了一个关键判断：下一代金融市场基础设施的核心竞争点，不是“谁能造出一条统一所有资产与交易的超级区块链”，而是“不同资产账本、商业银行货币账本与央行基础货币账本之间，如何实现安全、合规且具备法律最终性的互操作性”。
在过去的行业讨论中，人们经常争论机构应该采用以太坊（Ethereum）、Corda 还是自建私有联盟链。但从现实金融运行逻辑来看，全球金融资产极其庞大，不同的司法管辖区、资产类别和监管等级不可能被强行迁移至单一物理账本中。更具实操性的演进路径是：
- 资产端多元并存：不同的细分市场根据自身性能和合规要求，选择适合的 DLT 或传统电子记账平台；
- 结算端央行锚定：中央银行通过构建如 Pontes 这样的互操作结算网关，确保无论资产在哪里交易，大额结算始终回归央行准备金；
- 协议层标准互联：通过标准化的跨账本协调协议（如 Hash-Link、ISO 20022 ），在异构系统之间实现确定性的原子级交收。
正如互联网的成功并不是因为全世界只保留了一台超级计算机，而是因为标准通信协议将千万台异构设备连接成了一个统一网络；未来金融市场基础设施的成型，也必将建立在异构账本的高效互操作之上。
代币化技术重塑了资产所有权的记账与流转效率，但金融交易的最终结算，追问的始终是货币的信用本质。
参考资料
[1]: European Central Bank. (2026-08-19). Eurosystem establishes Contact Group for Appia project. ECB Market Infrastructure News. https://www.ecb.europa.eu/press/intro/news/html/ecb.mipnews260819.pt.html ↩
[2]: European Central Bank. (2026-05). Box 5: Towards a tokenised financial ecosystem in the euro area. Financial Integration and Stability Report. https://www.ecb.europa.eu/press/fie/box/html/ecb.fiebox202605_05.en.html ↩
[3]: European Central Bank. (2026-03). Eurosystem comprehensive payments and settlement strategy. ECB Publications. https://www.ecb.europa.eu/press/pubbydate/2026/html/ecb.eurosystemcomprehensivepaymentsstrategy202603.en.html ↩
[4]: European Central Bank. (2026). Pontes: Exploring central bank money settlement of wholesale financial transactions recorded on DLT platforms. ECB TARGET Services Overview. https://www.ecb.europa.eu/paym/target/pontes/html/index.en.html ↩
[5]: European Central Bank. (2026-03-24). Pontes Pilot – Service Description Document (SDD) & User Requirements Document (URD). Eurosystem Market Infrastructure and Payments. https://www.ecb.europa.eu/paym/target/target-professional-use-documents-links/pontes/shared/pdf/ecb.pontes260324_SDD.en.pdf ↩
[6]: European Central Bank. (2026-03-11). Update on the Eurosystem work on new technologies for wholesale central bank money settlement. ECB Press Release. https://www.ecb.europa.eu/press/pr/date/2026/html/ecb.pr260311~14ddf51a77.en.html ↩
[7]: Bank for International Settlements. (2026-07). Project Agorá: Progress update on real-value testing and wholesale cross-border payments. BIS Innovation Hub. https://www.bis.org/project/agora ↩
本文首发于 Luminale 金融科技观察：https://luminale.cn/articles/from-pontes-to-appia-rebuilding-cash-leg-for-tokenised-securities