中央銀行デジタル通貨（CBDC）におけるオフラインの利用の難しさ

小売業者向け中央銀行デジタル通貨（CBDC）におけるオフライン機能の必要性

中央銀行デジタル通貨（CBDC）のオフライン取引は、外部電源や総勘定元帳に接続することなくユーザー間で完了することができます。オフラインでの利用は小売業者向けCBDC[i]の中核的な機能であり、中央銀行の資金への継続的なアクセスを含む主要な政策目標を成功裏に達成するために不可欠であると考えられています。また、地理的事情や、通信ネットワークや電力インフラ事情により利用が制約される可能性がある場合、金融包摂とアクセシビリティの鍵になります。

国際決済銀行（BIS）が新興国中央銀行を対象に行った最近の調査では、金融アクセスを促進するために最も重要な機能として、オフラインでの利用が挙げられています[ii]。 デジタル金融サービスの専門家であるデヴィッド・バーチ（David Birch）氏は、「先進国でも途上国でも人口規模で機能するデジタル通貨は、オフラインで機能する必要があり、もしオフラインで機能しないのであれば、それは現金の代わりにはなりません」[iii]と述べています。

既存のオンラインインフラの中断や利用不能に対する決済システムの回復力も、オフラインでの CBDC 機能の重要な推進力です[iv]。 例えば、ヨーロッパの TARGET2 大口決済システムにおける 8 時間にわたる障害[v]、カナダで最近発生した 2大国営通信ネットワークのうちの 1 つでの大規模障害[vi]、重大な影響を及ぼした AWS の中断[vii]、さらには 2022 年の初めに東カリブ中央銀行（ECCB）の DCash が数週間オフラインになったときの新興小売 CBDC のクラッシュなど[viii]、オンラインインフラの脆弱性の例は豊富にあ ります。 これらを踏まえ、米国連邦準備制度理事会の論文は、「CBDCがオフライン機能を備えて設計されていれば、決済システムの運用耐性を高めることができる 」[ix]と論じています。

オフラインでの使用例

オフラインでの決済シナリオは、総勘定元帳との関係によって定義されます。スウェーデン国立銀行の論文では、「すべての CBDC の支払いは遠隔地の台帳を含んでおり、CBDC は純粋にピアツーピア『かつ』オフラインで...現金のように使用することはできない」[xi]と述べられています。現金は送金時に決済されますが、オフラインでの CBDC 取引はユーザーのデバイスのローカル台帳に記録される必要があり、決済はその後一般の中央銀行負債と照合されるまでファイナルとはならず、取り消すこともできません。したがって、小売業者用向CBDC のオフライン機能の設計は、総勘定元帳との非同期性の程度によっ て決定されるということです。

• l  断続的/一時的な機能停止：システムは短時間のネットワークや電力の遮断に対する耐性を備えているかもしれません。限られた取引額や取引量の決済データが、接続が再確立した際に完了するよう に CBDC デバイスに一時的に保存されることがあります。
• l  圏外での使用：特定の地域、大量、高価な取引、またはネットワークサービスが長時間継続的に利用できない際には、より堅牢なオフライン処理が必要になる場合があります。この場合は、非接触型決済カードの PIN 再入力と同様に、定期的なネットワークベースの認証と照合により、範囲外の容量をリセットする必要が考えられます。
• l  オフグリッドでの使用：この場合、エンドユーザーの決済リスクを低減し、ローカルデバイスで長期間にわたって多数の取引を行うために、改ざん防止されたストレージとアプリケーションが必要になります。オフグリッドでの利用では、総勘定元帳との接続が再び確立されたときに、より複雑な配信、相互運用性、照合が必要になると考えられます。

オフラインの課題

オフラインでの利用を念頭に置いてCBDC を設計する上では、下記のようなで技術的、政策的な課題が挙げられます：

• l  二重使用[xii]と偽造[xiii]：オフラインのデバイスがハッキングされたり故障したりした場合、同じ価値のものが複数回使われたり、残高を超えて使われたりする可能性があります。実際、ハッキングされたデバイスはもはやプリンターと同じです。ハッカーの一存で、「一見有効に見える」取引を際限なく生み出せる機械と化してしまうのです[xiv]。 世界経済フォーラムの論文では、「通常オンラインで行われる高度なセキュリティの検証プロセスを経ずに、二重の支出取引がオフラインの事業体に送信される可能性がある」と警告しています[xv]。 こういったリスクは、悪質な利用者間の連携によってさらに悪化する可能性も秘めています。 価値あるオブジェクトやトークンの偽造の可能性は、CBDC システムがオンラインとオフラインの 両方で対策しなければならない問題です[xvi]。
• l  資金の損失：オフラインでの使用にはデバイスベースのストレージが必要なため、デバイスが損傷、紛 失、盗難にあった場合、取引と資金が失われる可能性があります。実際、デバイスの紛失リスクは年間8～16％[xvii]と推定されており、資金を復元するためのバックアップデータは、二重使用のリスクをもたらします[xviii]。 カナダ銀行の論文では、オフラインでの支出は「トリレンマ」と呼ばれ、システムはある時点で、オフライン、支出、二重使用の欠如、回復データの維持の3つの機能のうち2つしか提供できないとしています[xix]。
• 「Unique（唯一無二）」かつ「Separate（他とは違う）」なユーザーデバイス：オフライン決済では、グローバル台帳から分離された唯一無二のユーザーデバイスを使用し[xx]、改ざんできない環境での資金の保管と処理を可能にすることが必要です。また、このデバイスは、ユーザーが行う基本的な操作を実行し、更新された元帳の状態を表示するのに十分なインタラクティブ性を持っている必要があります。一般的に、スマートフォンは、その内部の信頼できる実行環境（TEE）を利用して、オフラインのCBDC使用の主な候補であると考えられています。しかし、スウェーデン国立銀行が主張するように、「残念ながら、100％改ざん不可能なデバイスは存在しない」[xxi]のです。 さらに、デバイスを改ざんする経済的インセンティブは強く、システムは "graceful degradation[xxii]（グレースフル・デグラレーション：デジタルのシステム（またはプログラム）において、グレードを落とさざるを得ない場合に、劣化を最小限に抑えられるように、大きな支障を来しにくい代替手段(fallback)を用意するという意味で用いられる表現）" をサポートしないでしょう。 カナダ銀行の分析によると、「改ざん防止デバイスがオフラインで長期間使用されても破られずに生き残れるかどうかについては、今のところ不明」であり、「スマートフォン上で動作する CBDC ストア・オブ・バリューとそれをサポートするアプリケー ションは、複雑で多因子の脅威表面を持っている」[xxiii]と主張しています。 さらに、金融包摂と CBDC へのアクセスを確保するために、システム設計者はスマートフォンやフィーチャーフォンに加えて、多くのコスト、リスク、難しい設計問題をもたらす対話型スマートカードのような他の技術をも開発しなければなりません[xxiv]。

昨今の高速インターネットアクセスを拡大するための他の政策的努力を見れば、接続の問題はもはや改善されつつあると結論付けたくなるかもしれません[xxv]。 しかし、特に人口の少ない地域や発展途上国では、ユビキタスブロードバンドアクセスはまだ先の話であり[xxvi]、オフライン機能は依然として重要な機能です。

また、ほとんどの中央銀行は、CBDC は当面、現金使用を併用していくと考えています。しかし、先進国では現金の使用量が劇的に減少しており[xxvii]、交換手段としての現金の受け入れと利用可能性もそれに伴って減少しているという問題があります。

オフライン利用課題の解決策

オフラインでの CBDC 利用の課題に対しては、解決策の存在が考えられています。例えば、オフラインでの取引を金額や取引回数、統合台帳との照合前の「ホップ」回数で 制限することにより、オフラインのデバイスで使用可能な資金量を制御し、損失や決済障害の可能 性を減らすことと同様に、リスクを減らすことになるかもしれません。 また、ローカルでの多要素認証もオフライン端末の安全性を高めるでしょう。カナダ銀行の論文では、オフライン機器に保存された資金は「失効」してオンライン資金として再発行されるか、オンライン認証や総勘定元帳との照合によって自動的に更新される可能性が示唆されています[xxviii]。

課題は、信頼できる第三者が提案するソリューションのセキュリティと性能を実現しなければならないことです。中央銀行だけではリスクを適切に管理できない可能性があるため、提供する製品のメーカーが堅牢性、完全性、性能に関する懸念に加え[xxix]、「プラットフォームを制御し、組み込み型セキュアエンクレーブや加入者IDモジュール（SIM）カードなどの重要なシステムコンポーネントへのアクセスを制限できる」[xxx]という立場に置かれることになるのです。

結論

中央銀行が堅牢で安全かつ広く採用される小売業者向け CBDC を導入するには、他の無数の設計上の課題に加えて、オフラインでの使用課題の解決も考えなければならず、これは特に茨の道です。しかし、デジタル通貨がその目的を達成し、エンドユーザーにとって有用な中央銀行決済の選択肢となるためには、この機能の確立が必須であると考えます。

備考