第十三章 · CLS：让两条腿同时落地

上一章我们把那个致命的漏洞看清楚了：外汇结算有两条腿，一条付出美元、一条收进欧元，它们在不同的时区、不同的系统里分开落地。你的美元已经泼出去了，对方的欧元还没到，中间这段空档里对手方要是倒了，你的本金就全没了。这就是赫斯塔特风险。

它的病根只有一句话：两条腿缺少原子性——没有一个机制保证「要么两条都成，要么两条都不成」。这一章讲的，就是有人把这个机制真的造了出来。

先给这件事起个准确的名字：PvP

工程师听「原子性」会心一笑，但金融圈有自己的黑话。这个想法在结算界叫 PvP（Payment versus Payment，支付对支付）。

注意 PvP 只是一个原则，不是一台机器。真正把它变成每天运转的制度的，是一家专门机构。

CLS：一家专为外汇结算而生的机构

CLS（Continuous Linked Settlement，持续联系结算）——名字很拗口，你可以先只记住它是一家专门做外汇结算的机构和系统，2002 年正式上线，由全球一批大银行牵头组建，得到多国主要央行的支持，专门为了消灭赫斯塔特风险而建。它结算全球大部分主要货币的外汇交易。

它凭什么能让两条腿「同时」落地？靠一个关键身份：CLS 在它支持的每一种货币的央行都开了账户。美元在美联储有账户，欧元在欧洲央行有账户，日元在日本央行有账户……于是它成了一个横跨多个国家央行系统的居中第三方。

它到底怎么做一笔交易

假设 A 银行要拿美元换 B 银行的欧元。老办法是两家各自朝对方付款，各走各的路。CLS 的办法是：

1. 两家银行都不再直接付给对方，而是把这笔交易的两条腿都提交给 CLS。
2. 到了约定的结算时刻，A 银行要把美元打进 CLS 在美联储的账户，B 银行要把欧元打进 CLS 在欧洲央行的账户。
3. CLS 盯着自己这两个账户看：只有当两边的钱都到位了，它才动手。
4. 动手时，它在自己的账本上「同一个动作」里，把美元记到 B 名下、把欧元记到 A 名下。两条腿在 CLS 内部被绑成一个不可分割的记账。
5. 只要有一边没把钱凑齐，这笔就整笔不结，已经进来的钱原路退回。绝不会出现「A 的美元发出去了、B 的欧元没来」这种半拉子状态。

这就是 PvP 的落地：中间的空档被彻底抹掉了，因为两条腿的生效发生在 CLS 自己账本的同一瞬间，由同一个「要么全成、要么全不成」的判断守着。

这不就是数据库事务吗

写代码的人读到这里应该已经笑了——这套东西你天天在用。

CLS 能当这个「事务协调者」，靠的正是前面说的身份：它在两个央行都有账户，所以两种货币的最终生效都发生在它一家的账本上。事务之所以能原子，是因为提交点只有一个。分布式系统里最难的就是「让分处两地的两件事同时生效」，CLS 用「把两地的钱都先归拢到我这个中心点」这个老实办法解决了它。

顺手还省了大把资金：多边轧差

CLS 做的不止是安全，还顺手做了件省钱的事。全球的银行一天之间有海量外汇交易，同一家银行可能上午欠你美元、下午你又欠它美元。CLS 把一天里所有交易凑到一起算净额——这就是我们在第 7 章讲过的多边轧差：不是每笔都真金白银地对付一遍，而是把彼此抵消后剩下的差额结掉。

效果很夸张：真正需要在央行账户之间实际搬动的资金，只是全部交易面值的一个零头。既降低了每家银行当天要准备的现金，也让整个系统的资金压力小了一大截。

诚实说边界：它没盖住所有人

别以为赫斯塔特风险就此绝迹了。CLS 有明确的覆盖范围：

• 它只结算它支持的那些货币。你要交易的货币对里，只要有一种不在名单上，这套 PvP 保护就用不上。
• 它只服务它的会员及其客户。不在这个网络里的机构，还是得走老办法各自付款。

凡是 CLS 盖不到的货币对，两条腿仍然分开落地，那个致命时间差仍然存在，赫斯塔特风险原封不动。这也正是为什么像人民币这样的货币，其跨境结算的风险管理至今仍是一个被反复讨论的话题——不是技术上想不明白，而是要真正消除风险，得先被纳入一个能做 PvP 的结算网络。原理早就有了，覆盖到不到你，是另一回事。

留个钩子

CLS 的核心美感，是把一笔跨行、跨国、跨时区的外汇交易，变成了一次原子提交。它靠的是一个大家都信任、又在各国央行都有账户的中心机构来当协调者。

那么问题来了：能不能不要那个居中的中心机构，也让两条腿原子地同时落地？后面讲区块链时你会看到一个叫原子交换（atomic swap）的东西——它想干的事和 PvP 一模一样，只是换了一套不靠中心协调者的实现。同一个思想，两种活法，我们到第 16 章再细说。