ملخص
- في الساعة 07:04 بتوقيت اليابان في 1 أكتوبر 2020، اكتشف arrowhead كمية كبيرة من رسائل خطأ الوصول من الذاكرة في إحدى وحدات التحكم لجهاز تخزين متصل بالشبكة مزدوج العقدة. كان تعطل المعدات هوالعامل المسبب. يمكن أن يفشل أحد المكونات خلال عمر الخدمة؛ وكان التكرار موجودًا بالضبط لاحتواء هذا الحدث.
- كانالسبب الجذري التقنيهو أن معلمة
On Panicفي NAS تم ضبطها علىFalseبناءً على فهم قديم بأن الاستيلاء القياسي سيظل يحدث. في مواصفات المنتج الفعلية، وصول رسالة ذعر قبل فقدان ضربات القلب يعني أنه لم يبدأ الاستيلاء الفوري ولا القياسي. أدى دليل قديم، وعدم كفاية التحكم في تغيير المواصفات، واختبار فشل غير تمثيلي إلى هذا التكوين. - حمل زوج التخزين ملفات مشتركة تستخدمها توزيع بيانات السوق، وشاشات الإشراف، وجميع مسارات تعليق التداول العادية أو الطارئة. كان هذا الاعتماد المشتركشرطًا مساهمًا: كانت هناك ضوابط متعددة مسماة، لكن كل منها انتظر نفس NAS غير المتاح.
- اكتشفت TSE الأعراض بسرعة، وشكلت مقر طوارئ وعملت مع Fujitsu. ومع ذلك، توقفت أداة التشخيص أيضًا، وكانت أوامر الاستيلاء القسري المُعدّة مسبقًا غير كافية، وفشلت عدة محاولات قبل أن يقوم أمر معدّل بتحويل التحكم إلى NAS رقم 2 في الساعة 09:26.
- قد بدأ قبول الأوامر في الساعة 08:00. نظرًا لأن TSE لم تستطع إيقاف التنفيذ بشكل طبيعي، فقد عزلت arrowhead وToSTNeT عند موازنات تحميل الشبكة في الساعة 08:54 و08:56. استمرت معالجة التنفيذ الداخلي للأوامر المقبولة في المزاد، وقامت FLEX بتوزيع حوالي دقيقة واحدة من بيانات التنفيذ بعد الساعة 09:00. أعلنت TSE أن بيانات المزاد غير صالحة؛ وأكدت بشكل منفصل أن عمليات ToSTNeT المؤهلة كانت صالحة. لذلك تطلبت سلامة بيانات السوق تصنيفًا قانونيًا وتشغيليًا، وليس فقط إعادة توصيل كابل.
- كان من شأن إعادة التشغيل دون إعادة تشغيل النظام أن يحرر إشعارات تنفيذ محتفظة كانت TSE قد أعلنتها بالفعل غير صالحة. يمكن أن تؤدي إعادة التشغيل إلى مسح الأوامر والصفقات في جانب البورصة، لكن المشاركين لن يتلقوا إشعارات انتهاء الصلاحية العادية ولن يتمكن الكثيرون من إعادة بناء أو إعادة إرسال أوامر العملاء. أشارت مشاورة TSE إلى أن حوالي 38٪ فقط من قيمة التداول، مقتصرة على شركات الأوراق المالية الأجنبية حسب نوع المشارك، يمكن أن تكون جاهزة. وجدت لجنة المديرين المستقلين أن قرار التعليق ليوم كامل معقول في الظروف.
- قامت نفس اللجنة وهيئة الخدمات المالية بفصل معقوليةالاستجابةعن عدم الكفاية قبل الحدث. لم تختبر TSE إعادة التشغيل والاستئناف حتى في بيئة اختبار، أو اتفاق معالجة الأوامر مع المشاركين، أو إنشاء عملية إعادة تشغيل واضحة لنفس اليوم. قرار دفاعي بعدم إعادة الفتح لم يمحُ فشل استمرارية التحكم الذي جعل إعادة الفتح الآمن غير عملي.
- قدمت Fujitsu التخزين الأصلي تحت علامتها التجارية، وكتبت أو نقلت وثائق المنتج، وصممت الإعداد في وثائق مفصلة، وطورت arrowhead وحافظت عليها، ودعمت الحادث. قبلت Fujitsu علنًا مسؤولية جودة الشحن وعدم كفاية الاختبار. وضع التحقيق مسؤولية كبيرة عن الخطأ اليدوي وسلسلة الإعدادات على Fujitsu بينما وجد أيضًا أن TSE كان ينبغي عليها، إلى حد ما، أن تطلب اختبار فشل يتناسب مع أهمية NAS.
- أصدرت FSA أوامر تحسين الأعمال لكل من TSE وJPX بموجب أحكام منفصلة من قانون الأدوات المالية والبورصات. طلبت ضوابط تغيير المواصفات، ومراجعة التبعيات، وتعليق مستقل عن NAS، وقواعد المشاركين وتدريبات، وتفتيش على مستوى المجموعة، وتحول من نهج "لا تتوقف أبدًا" في الغالب نحو المرونة.
- كانت العواقب الإدارية واضحة ولكن محدودة إجرائيًا: استقال رئيس TSE Miyahara Koichiro؛ وتلقى مديرو JPX وTSE تخفيضات في الرواتب أو تحذيرات رسمية؛ وخفضت Fujitsu رواتب خمسة مديرين وحذرت ثلاثة كبار المسؤولين. كانت هذه إجراءات حوكمة شركة بعد الأوامر التنظيمية، وليست أحكام محكمة بالتعويضات أو الإهمال أو المسؤولية الجنائية.
- دليل الإصلاحموجود في طبقات: استبدال اللوحة الأم والمراقبة على التداول في 2 أكتوبر؛ اختبار على المعدات الفعلية يليه
On Panic=Trueفي الإنتاج في 4 أكتوبر؛ مراجعة كاملة لإعدادات NAS؛ إجراءات التبديل القسري؛ مسار توقف طارئ مستقل عن NAS؛ تدريبات المشاركين؛ قواعد منشورة لإعادة التشغيل والأوامر والمعلومات؛ وأعمال مرونة arrowhead لاحقة. هذه العناصر تحسن الضمان بشكل مادي، لكن لا يوجد مصدر عام يثبت أن كل حالة ممكنة من حالات الأجهزة أو نظام المشارك أو فشل مستقبلي يمكن أن تتعافى دون انقطاع.
الحدود الإثباتية والموقف الإجرائي
يستخدم هذا التحليل خمس تسميات إثباتية.حقيقة مؤكدةيتم ذكرها مباشرة في إشعار بورصة معاصر، أو تقرير فني، أو إفصاح شركة، أو سجل قواعد، أو إجراء تنظيمي.استنتاج مدعوميربط الحقائق المؤكدة لتحليل التحكم دون ادعاء الفصل القضائي.ادعاء متنازع عليهيتطلب مواقف متعارضة ماديًا؛ مجرد عدم الاكتمال أو التحسين اللاحق ليس نزاعًا.غير معروفهو سؤال لا يحله السجل العام.نتيجة قانونية أو تنظيميةتُنسب فقط إلى الهيئة التي أصدرتها وفقط ضمن ذلك الإجراء.
السجل الجنائي الرئيسي هو تقرير لجنة المديرين المستقلين الخارجيين لـ JPX.ترجمته الإنجليزيةصريحة بشكل غير عادي بشأن حدودها الخاصة: كانت اللجنة مكونة من مديرين خارجيين لـ JPX، ولم تكن لجنة تقليدية من طرف ثالث، واعتمدت على المواد والمعلومات المقدمة من JPX وTSE للتسلسل الزمني الوقائعي، ولم تجعل التحقيق الاستباقي أو المسؤولية القانونية هدفها الرئيسي. قيمت رواية الشركات وأساليب التحقيق والاستجابة والعلاجات المقترحة، بما في ذلك تحقيق Fujitsu. هذا سجل حوكمة رسمي قوي، لكنه ليس حكمًا قضائيًا مستقلاً.
الأمر الإداري الياباني الصادر عنFSAله موقف مختلف. طلب المنظم تقارير في 2 أكتوبر، واستلمها في 16 أكتوبر وأجرى تفتيشات موقع قبل إصدار أوامر تحسين الأعمال في 30 نوفمبر. لذلك تحمل نتائجه سلطة تنظيمية. لا تقرر تعويضًا خاصًا، أو تخصص أضرارًا تعاقدية بين TSE وFujitsu والمورد الأصلي غير المسمى، أو تثبت سلوكًا إجراميًا.
إفصاحات Fujitsu هي اعترافات وأوصاف من مورد مشارك مباشر. في 19 أكتوبر، قالت إن ETERNUS NR1000 تم توفيره من قبل مطور مصنع آخر كمنتج أصلي لكن Fujitsu تتحمل مسؤولية جودة الشحن. اعترفت بأن الدليل لم يتتبع تغيير مواصفات مدفوع بتحديث نظام التشغيل وأن اختبارها وتأكيدها كانا غير كافيين. هذه التصريحات هي أدلة مهمة من الطرف الأول؛ إنها ليست تدقيقًا خارجيًا لكل سجل هندسي لـ Fujitsu أو المورد.
تم تحسين السرد السببي، ولم يتم التنازع عليه ماديًا. وصفت اتصالات TSE في 1 و5 أكتوبر فشل وحدة ذاكرة وفشل التحويل. ميز التحقيق اللاحق بين حدث المكون وآلية التكوين والظروف التشغيلية التي وسعت التأثير. لا يوجد مصدر مستشهد به من JPX أو TSE أو FSA أو Fujitsu يطعن رسميًا في هذه السلسلة. الادعاءات بأن الانقطاع ليوم كامل كان "مجرد فشل عشوائي للأجهزة"، أو بالعكس أنه لم يكن هناك فشل حقيقي في الأجهزة، تتعارض مع السجل الرسمي بدلاً من كونها نزاعات مؤسسية محفوظة.
التسلسل الزمني قبل التخصيص
قبل 1 أكتوبر: نظام عالي السرعة مع افتراضات موروثة
كان arrowhead قيد التشغيل منذ 2010. تم إطلاق الجيل الثالث في 5 نوفمبر 2019 بعد تحديث الأجهزة وترقية الأداء.إشعار الإطلاق المشتركبين TSE وFujitsu أكد على الوظائف والأداء المستقر والسوق الآمنة. وصف التحقيق لاحقًا نظامًا من مئات الخوادم المتزامنة التي تقبل الأوامر، وتطابقها، وتعيد إشعارات التنفيذ، وتوزع معلومات السوق، وتتفاعل مع المقاصة، وتوفر وظائف الإشراف والتحكم. كان وقت استجابة الأوامر المعلن عنه حوالي 200 ميكروثانية.
سياق السرعة هذا مهم لأن الاستمرارية لا تتعلق فقط بالحفاظ على توفر الخادم. يجب على البورصة الحفاظ على حالة مشتركة عبر الأوامر والصفقات والإشعارات الرسمية ومعلومات الأسعار العامة والإشراف ودفاتر المشاركين والمقاصة النهائية. المطابقة السريعة تزيد من مقدار الحالة التي يمكن أن تتباعد في ثوانٍ عندما يكون أحد مستويات التحكم معطلًا.
لم يحمل زوج NAS دفتر الأوامر الأساسي المتزامن كبديل لبنية مطابقة arrowhead. كان يحمل ملفات مشتركة مثل معلومات الإصدار والمستخدم التي تحتاجها خوادم متعددة ووظائف تشغيلية. دعم مركزية هذه الملفات الاتساق والتصميم الفعال. كما عنى ذلك أن عمليات بيانات السوق والتحكم يمكن أن تنتظر خدمة التخزين نفسها إذا فشل التحويل الاحتياطي.
الإعداد الرئيسي سبق الجيل الثالث. تحت سلوك المنتج الأقدم،On Panic=Falseعطل الاستيلاء الفوري لكن الاستيلاء القياسي استمر بعد فقدان ضربات القلب. عمل هذا الإعداد في الجيلين الأول والثاني. أثناء تطور المنتج لاحقًا، تغيرت مواصفات NAS: إذا وصل إشعار ذعر قبل توقف رسائل ضربات القلب، منعFalseأيضًا الاستيلاء القياسي. تغير الإعداد الافتراضي منFalseإلىTrue، لكن المواصفات المكتوبة ذات الصلة لم تصف تغيير السلوك بدقة. تم حمل القيمة القديمةFalseإلى الجيل الثالث.
لم تكن هذه حالة تحدد فيها TSE هدف استرداد. طلبت متطلبات الجيل الثالث أن تتحول وظائف NAS وتستمر خلال 30 ثانية بعد فشل المعدات. كان الفشل بين المتطلبات وسلوك المنتج والتكوين التفصيلي والمراجعة والاختبار التمثيلي. متطلب ورقي للاستمرارية لم يثبت أن الاحتياطي المنشور سيلبيها.
قدمت الحوادث السابقة سياق تحذيري دون إثبات تكرار نفس العيب. في 2012، فشل جزء من بوابة معلومات السوق وتم تعليق 241 إصدارًا لصباح؛ أرجع التحقيق ذلك إلى التحويل البرمجي غير المكتمل وعدم كفاية تأكيد التحويل. في 2018، أدى انفجار من الرسائل من مستخدم مشارك بالموقع إلى تحميل زائد على معدات التوجيه وفصل عدة بوابات مشاركين.تقرير حادث 2018لـ TSE وثق ضوابط الشبكة واتصال المشاركين وتوسيع اختبار الفشل. تلك الإصلاحات عالجت تلك الآليات. لم تختبر حالة الذعر قبل ضربات القلب الدقيقة التي حدثت في 2020.
07:04-08:36: الكشف والتشخيص وقرار الإيقاف
في 07:04، أنتجت المراقبة العديد من رسائل عدم الانتظام في الوصول لـ NAS رقم 1. في 07:10، لم تستطع بعض أطراف الإشراف التجاري وإدارة العمليات تسجيل الدخول؛ لا تزال أطراف أخرى قادرة. الحالة المختلطة عقدت التقييم الأولي. أداة التشخيص التي كان ينبغي أن تبلغ عن حالة النظام بقيت قيد التشغيل دون إرجاع نتيجة. أبلغت TSE Fujitsu في 07:10، وبدأ موظفو منصة وتطبيقات Fujitsu عزل التأثير المشترك في 07:11.
من 07:30، اكتشفت TSE معلومات إصدار متأخرة ووجدت أن رسائل صيانة التوجيه المجدولة وبدء الاتصال لم ترسل. ترأس CIO Yokoyama Ryusuke مقر طوارئ لفشل النظام من 07:37. في 07:55، أفادت Fujitsu أن الرسائل تشير إلى فشل آلية التحكم في NAS رقم 1 وأن التحويل المتوقع لـ NAS رقم 2 لم يحدث.
في 08:00، بدأ arrowhead قبول الأوامر في الجدول الزمني العادي. أصبح هذا القرار مهمًا لاحقًا، لكن لا ينبغي إعادة كتابته مع الاستفادة من المعرفة اللاحقة. وجدت اللجنة أنه قبل 08:00 لم تكن TSE قد فهمت بعد الحدث الكامل أو تأثيره؛ كانت بعض الشاشات متاحة؛ واعتقد الموظفون أن ضوابط التعليق العادية أو الطارئة يمكن أن تحمي السوق إذا لزم الأمر. ومع ذلك، انتقدت لاحقًا افتراض "لا تتوقف أبدًا" الأعمق الذي جعل قبول الأوامر في 08:00 والافتتاح في 09:00 يبدوان مطلقين بدلاً من مشروطين بالأدلة.
في 08:01، أبلغت TSE المشاركين أنه لا يمكن إرسال رسائل بدء الاتصال. استمر تحليل الاسترداد والتأثير بالتوازي. اختارت TSE 08:30 كعتبة قرار لتعليق جميع الإصدارات إذا لم يتم استرداد توزيع بيانات السوق، مما يترك وقتًا لإبلاغ المشاركين قبل افتتاح 09:00. ظل التوزيع معطلًا. في 08:36، أبلغت TSE المشاركين بالتعليق بموجب القاعدة 29، البند 4 من لوائح أعمالها.إشعار السوق الأول باللغة الإنجليزيةقال إن خللًا تقنيًا أثر على توزيع بيانات السوق، وسيتم إيقاف جميع الإصدارات المدرجة وسيتم إيقاف قبول الأوامر.
تعليمات القرار والتوقف التقني الفعلي كانا حدثين مختلفين. تطلب تعليق التداول العادي شاشة الإشراف التجاري؛ تطلب تعليق السوق شاشة إدارة العمليات؛ تجنبت المهمة الطارئة تلك الشاشة لكنها لا تزال تقرأ ملفات NAS. كانت جميعها غير متاحة. لذلك استخدمت TSE تحكمًا في الشبكة مصممًا لتقييد الأوامر على خوادم محددة: قطعت موازن تحميل arrowhead في 08:54 وموازن ToSTNeT في 08:56. منع هذا اتصال المشاركين الجدد، لكنه لم يصدر تعليمات عادية لوقف المطابقة.
08:16-09:26: محاولات استيلاء فاشلة وتباعد الحالة
بالتوازي، حاولت TSE وFujitsu إجبار NAS رقم 2 على الاستيلاء. أوامر إيقاف تشغيل NAS رقم 1 في 08:16 ونقل التحكم في 08:26 فشلت. حجب منفذ في 08:28 قطع الاتصال، لكن NAS رقم 1 كان قد توقف بالفعل ولم يحدث استيلاء. محاولة تغيير الحالة في 08:42 فشلت أيضًا. في 09:23، فشل أمر قدمته مجموعة منتجات Fujitsu؛ في 09:26، إضافة خيارات لذلك الأمر أجبرت أخيرًا التحويل إلى NAS رقم 2. تم تأكيد استخدام عمليات بيانات السوق والشاشات الإشرافية والإدارية بعد ذلك.
كانت الدقائق الـ 82 بين الكشف الأولي والاستيلاء القسري الناجح ليست مجرد وقت إصلاح لمكون ميت. كشفت فجوة في تحكم الاسترداد. نظرًا لأن المهندسين افترضوا حدوث استيلاء تلقائي، لم يكن أمر مثبت وإجراء يدوي معتمد على الحالة جاهزين. وجد التحقيق أن الإعداد غير كاف في Fujitsu واعترف بعدم كفاية توقع TSE نفسه.
في هذه الأثناء، خلقت الأوامر المقبولة مشكلة في سلامة السوق. بدأ قبول الأوامر في 08:00، وتدفقت بيانات الأوامر الفورية في البداية. نظرًا لأن إجراء موازن التحميل لم يوقف محرك المطابقة، عالج arrowhead الأوامر المقبولة حتى 08:54. عبر انقطاع بيانات السوق افتتاح 09:00، لذلك وزعت FLEX حوالي دقيقة واحدة من بيانات التنفيذ الظاهرية. في 09:11 أخبرت TSE السوق أن البيانات الموزعة حتى تلك النقطة غير صالحة.تقريرها الإنجليزي الثالثذكر أيضًا أن ToSTNeT توقف وأن جميع بيانات FLEX الموزعة حتى الآن غير صالحة، بينما كانت عقود بورصة أوساكا المشتقات تعمل بشكل طبيعي.
التصنيف اللاحق كان أكثر دقة.إشعار حالة التداول لنفس اليوملـ TSE قال إنه لم يتم إنشاء أي صفقات سوق مزاد قانونية، حتى حيث حملت FLEX عمليات تنفيذ ظاهرية، وأن الأوامر المستلمة قبل التعليق لن تنتقل إلى اليوم التالي. وقالت بشكل منفصل إن أوامر ToSTNeT المستلمة حتى 08:56 تم تنفيذها وتم إرسال جميع إشعارات التنفيذ. "جميع البيانات غير صالحة" كان تحذيرًا عاجلاً لبيانات السوق، وليس بيانًا بأن كل عقد خارج المزاد كان باطلاً.
هذا التمييز مركزي للمساءلة. يمكن لاستيلاء التخزين استعادة الوصول إلى الملفات، لكنه لا يمكنه بمفرده تحديد الرسائل التي تشكل إجراءات سوق صالحة، أو مواءمة أنظمة المشاركين، أو استعادة أرصدة العملاء، أو إعادة تكوين تكوين سعر عادل. تطلب الاسترداد كلاً من الحالة التقنية وحالة السوق الموثوقة.
09:26-11:45: لماذا لم يخلق الاحتياطي الصحي سوقًا عادلاً
بعد التحويل القسري، نظرت TSE في طريقين: إعادة الاتصال دون إعادة تشغيل، أو إعادة تشغيل arrowhead وإعادة الفتح. من شأن إعادة الاتصال تحرير إشعارات تنفيذ محفوظة داخل arrowhead للأوامر التي تمت معالجتها قبل قطع الشبكة. كانت TSE قد أعلنت بالفعل نتائج المزاد تلك غير صالحة. قد يعالج المشاركون الإشعارات كصالحة، ويحدثون أرصدة العملاء، ويستمرون في التداول على أساس خاطئ. تأثرت أسعار الأساس لليوم أيضًا بالمعالجة الداخلية. اعتبرت اللجنة هذا الطريق غير متوافق مع سوق عادلة ونزيهة.
إعادة التشغيل من شأنه إعادة تعيين الأوامر المقبولة وبيانات التنفيذ والأسعار الأساسية في جانب البورصة. لكن عمليات المشاركين العادية كانت مدفوعة بالإشعارات. الأمر المرسل إلى TSE يغير حالته عادةً عندما يتلقى المشارك رسالة قبول أو تنفيذ أو انتهاء صلاحية. إعادة التشغيل ستمسح حالة البورصة دون إرسال إشعارات انتهاء الصلاحية العادية. سيتعين على الوسطاء نقل الأوامر من حالة "مرسلة" باستخدام معالجة استثنائية، وتسوية تعليمات العملاء، وإعادة إرسال الأوامر المؤهلة. بعض أنظمة التجزئة المسبقة التمويل ستحتاج أيضًا إلى منع عمليات التنفيذ غير الصالحة من تغيير القوة الشرائية أو المقتنيات.
طلبت TSE آراء من الوسطاء المحليين الكبار والوسطاء عبر الإنترنت والشركات الأجنبية وموردي الأنظمة المشتركة قبل 11:00. قال الوسطاء عبر الإنترنت إنهم لا يستطيعون التعامل مع العملية؛ أحد الموردين الرئيسيين الذي يخدم العديد من المشاركين المتوسطين لم يختبره أبدًا ولم يستطع تأكيد الجاهزية. قدرت اللجنة لاحقًا السكان المستعدين بما لا يزيد عن حوالي 38٪ بحصة قيمة التداول ووصفتهم، حسب سمة المشارك، بشركات الأوراق المالية الأجنبية. سوق معاد فتحها تسيطر عليها هذه المجموعة الفرعية ستستبعد الكثير من المشاركة المحلية والتجزئة وتهدد تكوين السعر التمثيلي.
في 11:00، انضم الرئيس التنفيذي للمجموعة لـ JPX ورئيس TSE إلى اجتماع اللجنة الاستثنائية لإدارة المخاطر. اتخذ رئيس TSE Miyahara قرارًا بالبقاء مغلقين لليوم، وأعلن في 11:45.تقرير TSE الخامس لنفس اليومشرح أن فشل التحويل منع معلومات السوق، وكان استبدال الأجهزة مخططًا، وإعادة التشغيل خلال اليوم يمكن أن تسبب ارتباكًا للمستثمرين والمشاركين بعد التشاور معهم.
11:45-2 أكتوبر: استرداد محكوم لليوم التالي
لم تعامل TSE الإيقاف ليوم كامل كإذن لترك حالة السوق غامضة. إشعارها الياباني حول معالجة اليوم صنف نتائج المزاد وToSTNeT.إشعار معالجة اليوم التاليمنفصل حدد الأسعار المرجعية، واستمرار قيود سعر البيع على المكشوف، ومعالجة حد السعر، وترتيبات سعر ToSTNeT الخاصة. في 19:25،إشعار استئنافTSE قال إن تداول المزاد وToSTNeT متوقع أن يسير بشكل طبيعي في 2 أكتوبر.
على جانب الأجهزة، استبدلت TSE وFujitsu اللوحة الأم بأكملها التي تحمل ذاكرة NAS رقم 1 الفاشلة. يقول التحقيق إن النظام عاد إلى تكوينه النشط-النشط، وكانت الإجراءات اليدوية السريعة للتحويل متاحة، وأنشأت كلتا المنظمتين مراقبة معززة، واكتملت المعالجة التحضيرية بشكل طبيعي، وانتهى استبدال اللوحة الأم في 22:00. تداول 2 أكتوبر أكمل دون مشاكل.
الإصلاح لم يكتمل بعد بمعنى الضمان. في 2 أكتوبر، حددت الأطراف خطأ التكوين. أعادوا إنتاج الحالة ذات الصلة على معدات فعلية، وأكدوا التحويل الصحيح وضبطواOn Panic=Trueفي الإنتاج في 4 أكتوبر. بدأت العملية بالقيمة المصححة في 5 أكتوبر.الإشعار الفني الإنجليزي الأوليلـ TSE وثق فشل وحدة الذاكرة، وفشل التحويل، وتغيير الإعداد في 4 أكتوبر، وتأكيد أن التحويل التلقائي تصرف كما هو متوقع.
خريطة السبب: العامل المسبب والسبب الجذري والظروف المساهمة
العامل المسبب
كانالعامل المسببفشلًا ماديًا عرضيًا جعل بطاقة ذاكرة في NAS رقم 1 غير قابلة للقراءة والكتابة. فحصت Fujitsu والمورد الأصلي غير المسمى الجزء. سجلهم المبلغ عنه للفشل لنفس النموذج ظل ضمن عتبة Fujitsu الداخلية، وكانت البطاقة ضمن عمر الخدمة ولم يحددوا دفعة إنتاج معيبة. لم تلم اللجنة TSE لحدوث فشل المكون.
تسمية فشل الذاكرة كعامل مسبب ليس مراوغة دلالية. تصميم احتياطي يُنشأ لأن المكونات تفشل. إذا كان أحد المكونات في الخدمة يمكن أن يوقف سوقًا رغم التكرار المثبت، يجب على تحليل المساءلة فحص لماذا فشل تحكم الاحتواء.
السبب الجذري التقني
كانالسبب الجذري التقنيهو الإعداد غير الصحيحOn Panic=Falseلسلوك NAS المنشور. أرسل المتحكم الفاشل إشعار ذعر قبل توقف مراقبة ضربات القلب لمدة 0.5 ثانية. تحت المواصفات الفعلية،Falseقمع الاستيلاء الفوري، وفي هذا التسلسل، قمع أيضًا الاستيلاء القياسي. لم يستولِ NAS رقم 2 على التحكم، تاركًا الزوج غير متاح للوظائف المعتمدة.
كان لسلسلة الإعدادات عدة حقائق مترابطة. المنتج القديم كان يسمح بالاستيلاء القياسي معFalse. المواصفات اللاحقة والإعداد الافتراضي تغيرا. وثيقة المورد سجلت تغيير الإعداد الافتراضي ولكن ليس تغيير السلوك؛ ظل دليل Fujitsu غير دقيق. كتبت FujitsuFalseفي التصميم التفصيلي، راجعت TSE ذلك التصميم مقابل نفس الدليل غير الدقيق، ولم يختبر اختبار ما قبل الإنتاج لأي من المنظمتين فقدان وظيفة NAS تحت تسلسل الذعر.ملحق إعداد NASلـ TSE المكون من صفحة واحدة رسم لماذا استبعدت رسالة الذعر الاستيلاء المتوقع المؤجل.
أكدإفصاح الأسباب والإجراءاتالخاص بـ Fujitsu السلسلة التشغيلية: قال الدليل إن التحويل التلقائي يحدث دائمًا، يمكن للمنتج الفعلي أن يُهيأ بعدم التحويل تحت حالة فشل الذاكرة، لم يتبع الدليل تغيير مواصفات تم تقديمه من خلال تحديث إصدار نظام التشغيل، وفشل اختبار وتأكيد Fujitsu في اكتشاف عدم التطابق.
الظرف المساهم 1: حوكمة المواصفات لم تحافظ على المتطلب
طلبت TSE استمرار المعالجة خلال 30 ثانية. عرف مهندسو أنظمة Fujitsu القيم المكونة، لكن Fujitsu أخبرت اللجنة أن متطلبات TSE لم تبلغ إلى مجموعة المنتج أثناء مراجعة الاتساق. فحصت مجموعة المنتج ما إذا كانت إعدادات المعدات تتعارض مع بعضها البعض، وليس ما إذا كان سلوك الجهاز يلبي هدف الاسترداد على مستوى النظام للبورصة.
هذا استنتاج حوكمة مدعوم: حلقات المتطلبات والتنفيذ والتحقق من المنتج لم تكن مغلقة. لم يكن لدى أي حامل وثيقة واحد إثبات أن "الاستمرار لمدة 30 ثانية" ظل صحيحًا بعد تغيير سلوك OEM. الاستنتاج لا يثبت أن أي شخص أخفى تغييرًا عن علم.
الظرف المساهم 2: الاختبار مثل فقدان ضربات القلب، وليس حالة الفشل الفعلية
اختبرت TSE وFujitsu انقطاع اتصال ضربات القلب ورأوا الخدمة تستمر. عاملوا ذلك كدليل كافٍ لفقدان متحكم NAS. لم يكن مكافئًا. في الحدث الفعلي، أصدر المتحكم رسالة ذعر قبل فقدان ضربات القلب، مختارًا فرعًا مختلفًا في منطق الاستيلاء. اختبار اسمه "تحويل" نجح بينما ظل وضع فشل الإنتاج غير مختبر.
الدرس في التحكم دقيق: يجب التعبير عن تغطية الاختبار بحالات محفزة وثوابت ناتجة، وليس فقط بتسميات واسعة. الدليل على أن احتياطيًا يستولي بعد فقدان ضربات القلب الصامت لا يثبت الاستيلاء بعد ذعر المتحكم، أو فشل I/O جزئي، أو حالة ملكية قديمة، أو إشعار مشوه.
الظرف المساهم 3: ضوابط متعددة تشترك في تبعية تخزين واحدة
مركز NAS الملفات المشتركة للحفاظ على تناسق البيانات الداخلية. اعتمد توزيع معلومات السوق، وشاشات الإشراف، وشاشات العمليات، والإيقاف العادي، وإيقاف السوق، ومهمة الإيقاف الطارئ على تلك الملفات. كان المسار الطارئ متميزًا إجرائيًا ولكن ليس مستقلاً في مجال الفشل. عندما أصبح زوج NAS غير متاح، فشلت كل تعليمات التعليق المصممة.
وسعت هذه التبعية حادث تخزين إلى عدم القدرة على التحكم في التداول. كما أجبرت عزل الشبكة، الذي أوقف الاتصال دون إيقاف المطابقة. أمرت FSA لاحقًا TSE بفحص التبعيات في جميع أنحاء النظام وضمان أن فشل موقع محدد لا يمكن أن يعطل وظائف أساسية للاستمرارية.
الظرف المساهم 4: الاسترداد القسري كان ارتجاليًا
كان التحويل التلقائي متوقعًا، لذا لم يتم إعداد أو تحقق الأوامر الدقيقة للاستيلاء تحت حالة فشل التحويل. فشلت عدة محاولات قبل أن تقدم Fujitsu خيارات الأوامر الناجحة في 09:26. تم النظر في فصل الكابل المادي. الاحتياطي ليس متاحًا تشغيليًا لمجرد أن أجهزته مشغلة ومتزامنة؛ يحتاج المشغل إلى مسار نقل سلطة واعي بالحالة ومُمرن يعمل عندما لا تعمل الأتمتة.
الظرف المساهم 5: سياسة قبول الأوامر وإعادة التشغيل لم تكن مصممة كنظام استمرارية واحد
فضلت سياسة TSE قبول الأوامر أثناء التعليقات لأن المشاركين طلبوا هذا السلوك بعد أحداث سابقة. في 1 أكتوبر، جعل قبول الأوامر قبل فهم التأثير بالكامل الإيقاف غير الطبيعي اللاحق أصعب في التوفيق. لم تكن هناك قاعدة متفق عليها لمتى يتم إيقاف استلام الأوامر، وماذا سيحدث للأوامر المقبولة بعد إعادة التشغيل، وأي إشعارات تتحكم في حالة المشارك، أو كيفية تحديد أن تنوع السوق الكافي يمكن أن يعود.
وجدت اللجنة المستقلة أن قرارات TSE في الوقت الفعلي كانت معقولة بالنظر إلى ما عرفه الموظفون. ومع ذلك، وجدت معايير القرار المسبقة والإجراءات واتصال المشاركين والإعداد للاختبار غير كافية. هذه الاستنتاجات تتعايش. يمكن لقيادة الحادث اتخاذ القرار الأقل ضررًا المتاح بينما تظل الحوكمة مسؤولة عن السماح فقط بخيارات استرداد ضارة.
الظرف المساهم 6: ثقافة الموثوقية تفوقت على قابلية الاسترداد
استخدمت اللجنة لغة مباشرة بشكل غير عادي حول "لا تتوقف أبدًا". قالت إن التركيز المفرط على بدء قبول الأوامر في 08:00 والتداول في 09:00 ساهم في جعل إعادة التشغيل السلس مستحيلة بعد الاسترداد. وجدت FSA أيضًا أن أعمال المرونة لـ JPX تخلفت عن تركيزها على الموثوقية. الاستنتاج المدعوم ليس أن التوفر العالي كان مضللاً. إنما أن منع الانقطاع أصبح فرضية تصميم أقوى من التدهور المتحكم، والإيقاف الموثوق، وإعادة تعيين الحالة، وإعادة الفتح المختبرة.
الكشف والاستجابة والاسترداد وسلامة بيانات السوق
الكشف
الكشف لم يكن غائبًا ولا فعالاً بالكامل. أظهرت المراقبة حالات شذوذ في الوصول إلى NAS فورًا في 07:04، وظهرت أعراض تشغيلية في غضون دقائق. صعدت TSE إلى Fujitsu ومقر الطوارئ قبل نافذة قبول الأوامر. هذه ضوابط إيجابية.
في نفس الوقت، أداة التشخيص نفسها انتظرت إلى أجل غير مسمى، وتوفر الأطراف كان غير متناسق، وكان لابد من تجميع إغفالات بيانات السوق المبكرة من علامات منفصلة. الكشف كشف عن وجود مشكلة لكنه لم يشرح مجال الفشل بسرعة أو يضمن توقفًا آمنًا. الدرس المتبقي هو فصل قابلية الملاحظة عن المكون الذي يتم ملاحظته وتحديد أدلة فتح السوق مسبقًا: يجب أن تمر شاشات التحكم المطلوبة وتدفقات البيانات ومسارات الإيقاف ورسائل المشاركين جميعها قبل قبول الأوامر.
الاستجابة
كان للاستجابة ثلاثة أهداف متزامنة: استعادة التخزين، ومنع فتح سوق غير عادلة، وإبلاغ الحالة الموثوقة. سعت TSE لتحقيق الثلاثة. حاولت الاستيلاء القسري، وحددت عتبة قرار 08:30، وأبلغت المشاركين في 08:36، وعزلت اتصالات الأوامر قبل الافتتاح المجدول، وأبطلت بيانات المزاد المضللة، واستشارت أنواع المشاركين، واتخذت قرارًا رسميًا ليوم كامل.
كشفت الاستجابة أيضًا عن نقاط ضعف في التنفيذ. قطع الشبكة اكتمل قريبًا من 09:00 بما يكفي لخروج دقيقة واحدة من بيانات التنفيذ. تطورت الإشعارات العامة الأولى بالضرورة، لكن التسلسل ترك المستخدمين ينتظرون جدولًا زمنيًا للاسترداد.مسودة سياسة المعلومات لشهر ديسمبر 2020لمجلس منع التكرار اقترحت صفحة حالة نظام مخصصة، وتحديثات عادةً كل 30 دقيقة حتى بدون تقدم، ومراحل تأثير الحدث واستئنافه، وتوزيع دفعي. هذا العلاج دليل على أن إيقاع الاتصال وبنيته كانا جزءًا من فجوة الاستمرارية.
لماذا كان عدم إعادة التشغيل تحكمًا في السلامة
كانت فرصة التداول المفقودة شديدة. لا يتبع ذلك أن أي إعادة فتح كانت أفضل من البقاء مغلقًا. السوق ليست مستمرة بالمعنى ذي الصلة إذا كانت فقط فئة ضيقة من المشاركين يمكنها إعادة بناء الأوامر، أو إذا كانت إشعارات التنفيذ غير الصالحة قد تدخل دفاتر الوسطاء، أو إذا كانت رسائل الأسعار العامة تتعارض مع حالة التداول القانونية.
حافظ قرار اليوم الكامل على ثلاثة أشكال من السلامة.سلامة المعاملاتتطلبت إجابة مشتركة حول الأوامر والصفقات الموجودة.سلامة البياناتتطلبت معالجة موثوقة لرسائل FLEX وقيم المرجع لليوم التالي.سلامة المشاركةتطلبت مجموعة واسعة بما فيه الكفاية من المشاركين المحليين وأفراد التجزئة والمؤسسات والأجانب لتكوين سعر عادل. تدعم الأدلة الرسمية استنتاج TSE بأن تلك الشروط لا يمكن إثباتها لإعادة التشغيل في نفس اليوم.
اللجنة لم تقتصر فقط على تأجيل الإدارة. قامت بتقييم تقدير الجاهزية 38٪، وتكوين المشاركين، وغياب إعادة تشغيل بيئة الاختبار ومشكلة حالة الرسالة، ثم وجدت عملية القرار وجمع المعلومات معقولة. هذا أقوى دليل ضد الادعاء المبسط بأن الإدارة اختارت الإغلاق فقط لتجنب الإزعاج التشغيلي.
الاسترداد
حدث الاسترداد على مراحل. في 09:26، الاستيلاء القسري استعاد الوصول والشاشات التشغيلية. بحلول المساء، كانت TSE قد صنفت حالة التداول لليوم، وحددت معالجة السوق لليوم التالي، واستبدلت اللوحة الأم الفاشلة، ورتبت مراقبة مشتركة، وأكملت المعالجة التحضيرية. قدم التداول الطبيعي في 2 أكتوبر نتيجة مهمة على مستوى الخدمة.
في 4 أكتوبر، بعد إعادة إنتاج الحالة على معدات فعلية، غيرت TSEOn PanicإلىTrue. بحلول 23 أكتوبر، راجعت فرق النظام والمنتج في Fujitsu جميع إعدادات NAS مقابل المتطلبات وسلوك المنتج الفعلي؛ بحلول نهاية أكتوبر، تلقت القيم التي تختلف عن إعدادات الشحن الافتراضية تأكيدًا على المعدات الفعلية. أفاد التحقيق أيضًا بتأكيد إجراءات التحويل القسري وخطط لقوائم أوامر خاصة بحالة المعدات.
لا ينبغي دمج هذه المراحل في "أصلح بين ليلة وضحاها". استبدال المكون استعاد السعة؛ المراقبة المعززة أدارت عدم اليقين قصير الأجل؛ تغيير الإعداد أزال عيب التحويل التلقائي المعروف؛ المراجعة الشاملة بحثت عن أخطاء تكوين شقيقة؛ والإجراءات عالجت فشل الأتمتة. كل منها يجيب على سؤال ضمان مختلف.
تخصيص المساءلة بعد التسلسل الزمني
بورصة طوكيو: مشغل السوق ومالك النظام
كانت TSE تملك السيطرة الأساسية المواجهة للجمهور على ما إذا كان سوقها النقدي يفتح، والأوامر التي يتم قبولها، وما إذا كانت الرسائل تمثل صفقات صالحة، ومتى يتوقف التداول، ومتى يمكن استئنافه. حددت متطلبات استمرار NAS لمدة 30 ثانية، وراجعت التصميمات التفصيلية، وشغلت arrowhead، وحافظت على خطة الطوارئ، ونسقت المشاركين المتصلين.
مساءلتها أوسع إذًا من تأليف الإعداد السيئ. يمكن لـ TSE الاعتماد بشكل معقول على دليل دقيق من مورد متخصص، ووضعت اللجنة مسؤولية أساسية عن ذلك الخطأ على Fujitsu. لكن TSE سيطرت على معايير القبول لنظام يمكن أن يؤدي فشله إلى إيقاف سوق وطنية. وجدت اللجنة أنه، نظرًا لأهمية NAS، كان ينبغي على TSE إلى حد ما أن تطلب اختبار فقدان الوظيفة الفعلي وكانت مسؤولة جزئيًا عن عدم التعرف على عيب الإعداد.
كما امتلكت TSE تصميم استمرارية السوق حول الفشل التقني. العديد من آليات الإيقاف شاركت NAS الفاشل؛ إعادة التشغيل والاستئناف لم يتم اختبارها حتى في بيئة اختبار؛ لم يكن لدى المشاركين معالجة أوامر متفق عليها؛ ومعايير الاستئناف لم تكن واضحة. هذه ضوابط بورصة حتى حيث يكون تعاون المشارك والمورد ضروريًا.
لا ينبغي تحويل قرار اليوم الكامل إلى نتيجة خطأ منفصلة. لم تجد اللجنة خطأ في القرار بالبقاء مغلقًا. مساءلة TSE تكمن في البنية والقواعد قبل الحدث التي جعلت إعادة الفتح العادلة لنفس اليوم غير قابلة للإثبات، بالإضافة إلى واجب تصحيحها.
مجموعة بورصة اليابان: حوكمة الشركة الأم ومرونة المجموعة
امتلكت JPX حوكمة مخاطر المجموعة، وتخصيص الموارد، والإشراف على TSE. أثر الحدث على بورصات نقدية أخرى تستخدم arrowhead وأثار أسئلة مشتركة لبورصة أوساكا ووظائف سوق المجموعة الأخرى على الرغم من بقاء مشتقات OSE مفتوحة. مساءلة الشركة الأم تضمنت إذًا أكثر من مجرد الإشراف على فريق حادث واحد.
أمرت FSA JPX بإجراء فحص للأنظمة من قبل شركات المجموعة والتدرب على الاسترداد المبكر، وإنشاء قواعد إعادة تشغيل تشمل المشاركين، وإعادة توازن التطوير والصيانة نحو المرونة. دعا التقرير المستقل أيضًا إلى موثوقية على مستوى المجموعة واتصال "شامل". كان دور JPX تحويل فشل شركة تابعة إلى معيار عبر أعمال السوق، وليس افتراض أن التكوين المعيب كان معزولاً.
Fujitsu: مورد منتج ذو علامة تجارية، ومتكامل أنظمة، ومورد صيانة
كانت لـ Fujitsu عدة ضوابط. زودت ETERNUS NR1000 تحت علامتها التجارية؛ مجموعة منتجاتها تحققت من منتج OEM ووثائقه؛ مهندسو arrowhead كتبوا إعداد NAS التفصيلي؛ طورت وحافظت وخدمت نظام البورصة؛ وزودت قيادة الحادث. هذه الأدوار أعطت Fujitsu سيطرة عملية على سلسلة تغيير المواصفات والترجمة من سلوك المنتج إلى متطلب النظام.
استنتج التحقيق أن Fujitsu كانت مسؤولة عن الدليل الخاطئ وتحمل مسؤولية كبيرة عن الإعداد المعيب. وجد أيضًا تحقق مجموعة المنتج غير كافٍ، والتواصل مع مورد OEM، واختبار حالة الفشل، والتنسيق الداخلي، والإعداد للتحويل اليدوي. قبلت Fujitsu نفسها أن علاقة OEM لم تنقل مسؤولية جودة الشحن.
لم تتحكم Fujitsu فيما إذا كانت TSE تفتح أو تغلق السوق قانونيًا، أو الأوامر الصالحة، أو التنوع الكافي للمشاركين لتكوين السعر. ولا يثبت السجل المستشهد به التخصيص التعاقدي الخاص للتعويضات. مسؤولية المورد ومسؤولية البورصة هما ضوابط متداخلة، وليس خيارًا صفريًا.
مورد OEM غير المسمى
يسمي التقرير مصدر NAS الأساسي "الشركة أ". غير هذا المورد سلوك المنتج والإعداد الافتراضي الأولي، بينما لم تلتقط مواصفاته تغيير السلوك بشكل كافٍ. كما شارك في فحص المكون. هذه الحقائق تدعم دورًا تشغيليًا في مواصفات المنتج وأدلة الاختبار.
يحجب السجل العام هوية المورد وعقده ولا ينشر استجابته المستقلة. سيكون من غير السليم تخصيص نسبة من المسؤولية القانونية أو استنتاج الإخفاء. قبول Fujitsu الصريح لجودة الشحن ذات العلامة التجارية يعني أن علاقة OEM لم تزل سيطرة Fujitsu المواجهة للعملاء.
المشاركون في التداول وموردو الأنظمة المشتركة
سيطر الوسطاء على آلات حالة الأوامر وأوامر العملاء والتمويل المسبق ومعالجة الاستثناءات والجاهزية للتوفيق وإعادة الإرسال. سيطر موردو المنصات المشتركة على ما إذا كان العديد من المشاركين يمكنهم تنفيذ استرداد استثنائي. عدم قدرتهم على دعم إعادة التشغيل كان حقيقة استمرارية مساهمة، لكن التحقيق لم يؤطرها كسوء سلوك: TSE لم تتفق أو تختبر الإجراء معهم.
بعد الحدث، أنشأت المشاركة واجبات متبادلة. TSE كان عليها نشر قواعد واضحة ومرافق اختبار؛ المشاركين كان عليهم تنفيذ وتدريب المعالجة المتفق عليها. قاعدة إعادة تشغيل موجودة فقط داخل وثائق البورصة ليست استمرارية سوق. بالمقابل، لا يمكن للمشارك طلب إعادة فتح في نفس اليوم بينما يرفض بناء ضوابط الرسالة وحالة العميل التي تجعلها عادلة.
المنظمون
لم تصمم FSA arrowhead أو تشغل قيادة الحادث. ضوابطها كانت الإشراف وطلبات التقارير والتفتيش والإنفاذ. أمر 30 نوفمبر وثق عيوب النظام والإجراءات والحوكمة وطلب تقارير منتظمة. كان دور المنظم تحويل خطة علاج الشركة إلى التزامات خاضعة للإشراف وطلب وضوح المسؤولية.
اختبر الحدث أيضًا حدود الامتثال بمقياس التوفر. يمكن للبورصة الإبلاغ عن وقت تشغيل تاريخي مرتفع بينما تفتقر إلى استرداد موثوق من إيقاف غير طبيعي. يجب أن تفحص مساءلة المنظم إذًا التوفيق المختبر للحالة، ومسارات الإيقاف المستقلة، وتغطية المشاركين، والأدلة من التدريبات التخريبية، وليس فقط التكرار الاسمي ومدة الانقطاع.
نتائج FSA والمساءلة الإدارية
وجدت FSA أن عيبًا في المنتج تسبب مباشرة في الحدث، وإعدادات التحويل التلقائي كانت غير كافية، وقواعد إعادة التشغيل لـ TSE كانت غير كافية. بالنسبة لـ TSE، تطلب الأمر أربعة برامج مترابطة: إعادة تأكيد الإعدادات وعمليات التحكم في التغيير، بما في ذلك المتطلبات المفروضة على الموردين الخارجيين؛ إزالة تبعيات تعليق التداول الحرجة على الجهاز الفاشل وفحص جميع تبعيات النظام؛ إنشاء قواعد فعالة لقبول الأوامر وإعادة التشغيل مع اختبارات المشاركين؛ وتوسيع المرونة جنبًا إلى جنب مع موثوقية "لا تتوقف أبدًا".
بالنسبة لـ JPX، طلبت FSA من شركات المجموعة فحص الأنظمة والتدرب على الاستعادة المبكرة، وإنشاء قرارات إعادة تشغيل متفق عليها مسبقًا مع المشاركين، وتحسين المرونة عبر التطوير والصيانة.ترجمة إنجليزية مرجعية رسمية للأمرتحافظ على هذه المتطلبات للقراء غير اليابانيين. النص الياباني الأصلي هو المرجع إذا اختلفت الترجمة.
حددإفصاح المسؤولية في 30 نوفمبرلـ JPX العواقب الإدارية. استقال رئيس TSE Miyahara Koichiro من TSE ومن منصب الرئيس التنفيذي المشارك للمجموعة في JPX. تم تخفيض الراتب الشهري للرئيس التنفيذي لـ JPX Kiyota Akira بنسبة 50٪ لمدة أربعة أشهر، و CIO Yokoyama Ryusuke بنسبة 20٪ لمدة أربعة أشهر، ومدير TSE بنسبة 10٪ لمدة أربعة أشهر؛ تلقى اثنان من رؤساء الأقسام تحذيرات شديدة.
تبعتها Fujitsuإشعار إجراء تنفيذي في 3 ديسمبر. تم تخفيض المكافأة الشهرية لرئيسها بنسبة 50٪ لمدة أربعة أشهر، ولنائب رئيسها بنسبة 30٪، وثلاثة مسؤولين تنفيذيين بنسبة 20٪ أو 10٪؛ تلقى ثلاثة مسؤولين تنفيذيين في الشركة تحذيرات شديدة. ربطت الشركة هذه الإجراءات بفشل التحويل التلقائي وبدأت إعادة فحص أوسع للنظام وتعزيز ضمان الجودة.
تجعل هذه الإجراءات مساءلة الإدارة مرئية، لكنها لا تثبت التناسب أو الفعالية. استقالة وتخفيض راتب يظهران أن مجالس الإدارة خصصت عواقب مؤسسية. لا تحل محل أدلة التكوين، أو الاختبار المستقل، أو جاهزية المشارك، أو متابعة المنظم. كما أنها ليست نتائج بأن المديرين المذكورين قاموا شخصياً بتكوين الجهاز أو ارتكبوا خطأ قانونيًا.
دليل الإصلاح: من تصحيح التكوين إلى سوق قابلة لإعادة التشغيل
دليل فني فوري
أقوى دليل فوري لم يكن بيان سياسة. أعادت TSE وFujitsu إنتاج حالة الفشل على معدات فعلية، ولاحظوا الاستيلاء الصحيح مع الإعداد المتغير ثم وضعواOn Panic=Trueفي الإنتاج. راجعوا جميع إعدادات NAS مقابل المتطلبات وسلوك المنتج، مع فحوصات على المعدات الفعلية للقيم غير الافتراضية. كما أكدوا إجراء تحويل قسري للحالات التي لا تزال فيها الأتمتة تفشل.
تتناول هذه الأدلة بشكل مباشر المسار السببي المعروف. حدها هو النطاق: تثبت سيناريو وتكوينًا تم اختبارهما، وليس جميع حالات المتحكم أو الشبكة أو التخزين أو الفساد المحتملة. حذرت اللجنة صراحةً من أن حالات الفشل "غير المتوقعة" لا تزال ممكنة وأنه يجب على الموردين إجراء اختبارات سيناريو شاملة.
دليل إيقاف السوق المستقل
فحصت TSE ما إذا كان جهاز أو وظيفة واحدة يمكن أن تمنع تعليمات تعليق التداول وطورت مسار إيقاف طارئ لا يمر عبر NAS. عالج هذا التبعية الخفية المشتركة التي أجبرت عزل موازن التحميل. يجب الحكم على التحكم من خلال أدلة التنفيذ الدورية، بما في ذلك إثبات أنه يوقف المطابقة وقبول الأوامر مع الحفاظ على سجل قابل للمراجعة، وليس فقط وجود زر أو مهمة منفصلة.
دليل إعادة التشغيل وحالة الأوامر المتفق عليه
أنشأت TSE مجلسًا لتدابير منع التكرار مع شركات الأوراق المالية والمستثمرين وموردي الأنظمة ومراقبي FSA.سجل المجلس الرسمييحفظ اجتماعات المجلس الثلاثة وتسع جلسات مجموعة عمل متخصصة. هذا المنتدى حوّل إعادة التشغيل من قرار بورصة داخلي إلى بروتوكول سوق.
حددتقرير المجلس النهائيلشهر مارس 2021 القواعد حسب توقيت الفشل ونوعه، وقبول الأوامر، ونوافذ قرار إعادة التشغيل، ومشاورة المشاركين، وإيقاع المعلومات، والتدريبات. يقول إن تدريب مستخدم في 23 يناير 2021 اختبر عملية المعلومات الجديدة وأن عمليات معلومات arrowhead المباشرة بدأت في فبراير. ذلك دليل على التنفيذ، وليس فقط النية.
صفحة استئناف إعادة تشغيل النظامالدائمة لـ TSE تذكر العواقب التشغيلية. إعادة التشغيل تلغي أوامر جانب البورصة؛ يعيد المشاركون إرسال أوامر العملاء الموكلة بشكل عام ما لم يتم الاتفاق على خلاف ذلك؛ تحتاج الأوامر المنفذة جزئيًا إلى الربط؛ تظل عمليات التنفيذ الصالحة قبل الفشل صالحة من حيث المبدأ؛ تعكس بيانات FLEX المعاد تشغيلها الفترة بعد إعادة التشغيل، مع نشر معلومات يومية مجمعة لاحقًا؛ وللسعر وإيقاف معلومات الشركة وقواعد البيع على المكشوف معالجة صريحة. هذه بالضبط أسئلة الحالة التي افتقرت إلى إجابة متفق عليها في 1 أكتوبر.
فتحت TSE أيضًاعملية تعليق عام 2021لأوجه القصور في إشعارات تفاصيل المعاملات الناجمة عن فشل النظام. نشر المعالجة المقترحة والردود على التعليقات يجعل الحدود القانونية-التشغيلية قابلة للمراجعة خارج غرفة الحادث.
دليل على مستوى المجموعة والعمل المتبقي
ذكرتمراجعة خطة الإدارة للسنة المالية 2020لـ JPX اكتمال الإعدادات المصححة والفحوصات الشاملة، وإجراءات التحويل القسري، وفحوصات النظام الرئيسية، ووظيفة إيقاف تداول مستقلة عن NAS. وصفت الاختبارات والتدريبات بأنها مستمرة وقواعد المجلس كأساس لمراجعة الفعالية المستمرة. هذا الإفصاح هو دليل إداري مفيد، على الرغم من أنه يظل تقرير حالة من الطرف الأول بدلاً من شهادة تقنية خارجية.
امتدت التبعية إلى ما وراء إدراجات TSE الخاصة.إشعار 1 أكتوبرلبورصة ناغويا ذكر أن تعليقها ليوم كامل نشأ من نظام تداول TSE الذي تستخدمه. أصدرت بورصة فوكوكا أيضًاتعليمات معالجة اليوم التاليبعد تعليقها ليوم كامل. لذلك كان على الإصلاح تنسيق البورصات الإقليمية التي تستخدم arrowhead، وليس فقط شركات JPX التابعة.
يوفر تطور النظام اللاحق دليلاً إضافيًا، لكنه غير حاسم، على الاستمرارية.تاريخ خدمة arrowheadالحالي لـ JPX يسجل الجيل الرابع في نوفمبر 2024 مع المرونة كهدف صريح، إلى جانب معالجة بيانات تداول متزامنة ثلاثية العقد ووظائف موجهة نحو الاسترداد الحالية. جيل جديد ناجح يظهر استثمارًا وأولويات تصميم متغيرة. لا يمكنه إثبات بأثر رجعي أن كل ضعف في 2020 كان غائبًا في كل نقطة بعد الحادث.
حقائق مؤكدة، استنتاجات مدعومة، ادعاءات متنازع عليها، وغير معروف
حقائق مؤكدة
فشلت بطاقة الذاكرة؛ لم يتحول زوج NAS تلقائيًا؛ كان لـOn Panic=Falseسلوك فعلي مختلف عن الفهم القائم على الدليل؛ كان اختبار حالة الذعر التمثيلي غائبًا؛ اعتمدت جميع مسارات الإيقاف العادية والطارئة على ملفات NAS؛ نجح الاستيلاء القسري في 09:26؛ كانت بيانات تنفيذ المزاد الموزعة حوالي 09:00 غير صالحة؛ بقيت بعض معاملات ToSTNeT صالحة؛ لم يتم اختبار إعادة التشغيل في نفس اليوم؛ كانت جاهزية إعادة الإرسال المقدرة حوالي 38٪ بقيمة التداول ومقتصرة على الشركات الأجنبية؛ بقيت TSE مغلقة؛ اكتمل التداول الطبيعي في 2 أكتوبر؛ أصدرت FSA أمرين لتحسين الأعمال؛ فرضت JPX/TSE وFujitsu عواقب إدارية؛ وتبع ذلك علاج تقني وإجرائي.
استنتاجات مدعومة
التكرار الاسمي للأجهزة لم يكن تكرارًا تشغيليًا لأن الحالة المنشورة والدليل والاختبار ومسار التجاوز اليدوي لم يثبتوا الاستيلاء بشكل مشترك. خلق NAS المشترك وضعًا شائعًا لمستوى التحكم على الرغم من وجود حماية أخرى للتزامن لبيانات المطابقة. أصبح "لا تتوقف أبدًا" حالة حوكمة مساهمة عندما تم التعامل مع إجراءات الافتتاح كافتراضية على الرغم من عدم اكتمال أدلة الجاهزية. قرار البقاء مغلقًا حمى سلامة السوق، بينما عدم القدرة على إعادة الفتح كشف فجوة استمرارية يمكن تجنبها. هذه استنتاجات تحكم مدعومة بالسجل، وليست أحكامًا قانونية.
ادعاءات متنازع عليها
لا يظهر أي نزاع سببي مادي بين TSE وJPX وFSA وFujitsu في السجل الرسمي المستشهد به. الاختزال المبكر الذي أرجع الحادث إلى الأجهزة تم تجاوزه، وبدونه، يكون غير مكتمل بدون سلسلة الإعدادات والحوكمة الموثقة. التأكيدات العامة بأن TSE كان بإمكانها ببساطة إعادة تشغيل السوق تتعارض مع الإشعارات المحفوظة وأدلة حالة المشارك والجاهزية. نظرًا لعدم تقديم أي طرف رسمي بديلًا مختبرًا لنفس اليوم، لا تخلق هذه المقالة نزاعًا ذا جانبين.
غير معروف
لا يحدد السجل العام الشركة أ، ولا ينشر عقد OEM، ولا يكشف الكود المصدري أو ملفات التكوين الكاملة، ولا يقدم تقرير المختبر الكامل للبطاقة الفاشلة، أو يظهر كل تعليق مراجعة داخلي. لا يحدد الخسارة الاقتصادية لكل مستثمر، أو يثبت ما إذا كانت TSE أو Fujitsu دفعت تعويضًا خاصًا، أو يفصل المسؤولية التعاقدية. لا ينشر استجابات الجاهزية لكل مشارك أو يثبت أن تقدير 38٪ كان دقيقًا. لا يقدم نتائج مستقلة كاملة لكل تدريب لاحق أو يثبت أن جميع الأنظمة الإقليمية وأنظمة المشاركين نفذت كل قاعدة في نفس الوقت.
الضوابط المضادة للواقع ومعيار الإثبات
ما يثبته سجل التأثير وما لا يثبته
يتم تأكيد التأثير الحرج للحادث دون اختراع تقدير الخسارة بالين. لم تقدم TSE فرصة تداول مزاد لليوم المقرر بأكمله؛ توقف ToSTNeT بعد فترة ما قبل الافتتاح؛ علقت ناغويا وفوكوكا التداول أيضًا لأنهما تستخدمان نظام TSE؛ تطلبت بيانات السوق العامة إبطالًا وتصحيحًا؛ وكان على الوسطاء والمصدرين والمستثمرين حمل قرارات استثمار مفتوحة إلى الجلسة التالية. كانت وظيفة اكتشاف السعر المركزية للبورصة غير متاحة على الرغم من استمرار المشتقات في بورصة أوساكا.
لا توفر المصادر العامة دفتر معاملات مضادًا للواقع كاملاً يظهر ما كان سيشتريه أو يبيعه كل مستثمر وبأي سعر لولا الانقطاع. كما لا تجمع تكلفة علاج الوسيط، أو انزلاق التحوط في أماكن أخرى، أو نشاط الإصدار المؤجل، أو آثار المؤشرات، أو المطالبات الخاصة. يوم من التداول غير المتاح يمكن أن يخلق تكاليف فرصة وتعرضًا للمخاطر، لكن تلك النتائج تعتمد على نية المستثمر والأسعار اللاحقة. لذلك لا تحول هذه المقالة القيمة السوقية، أو متوسط دوران يوم، أو قيمة أمر غير منفذ إلى أضرار.
التأثير المؤسسي مهم بشكل مستقل. وجدت FSA أن التوقف ليوم كامل أضر بشكل خطير بثقة المستثمرين في بورصة أدوات مالية، وتطلب تقارير علاج منتظمة وطالب بمسؤولية صريحة. أظهر الاعتماد الإقليمي أن فشل تحكم واحد يمكن أن يؤثر على أسواق متميزة قانونيًا. أظهرت الإجراءات الإدارية في JPX/TSE وFujitsu أن كلا المجلسين تعاملا مع الحدث كفشل حوكمة، وليس صيانة روتينية للمكونات. هذه الحقائق تدعم التصنيفحرجمع الحفاظ على الفرق بين فقدان خدمة تكوين سعر وطنية، وتكاليف استجابة قابلة للقياس، وخسارة مالية خاصة غير مثبتة.
أضيق مضاد للواقع وقائي مباشر: معOn Panic=True، كان المتحكم المستقبل ليبدأ الاستيلاء الفوري بعد إشعار الذعر. إعادة الإنتاج على المعدات الفعلية قبل التغيير في الإنتاج يدعم هذا الاستنتاج للحالة المعروفة.
مضاد للواقع وقائي أقوى قائم على الحوكمة. إذا تم ربط كل تغيير في سلوك المنتج بمتطلبات النظام، كان من الممكن أن يؤدي الإعداد الافتراضي المتغير ودلالات الذعر إلى مراجعة. إذا تم اختبار القيمة غير الافتراضية المنشورة الدقيقة لـ TSE تحت فقدان المتحكم بدلاً من مجرد انقطاع ضربات القلب، كان يمكن اكتشاف عدم الاتساق قبل الخدمة. إذا كانت بوابة القبول تتطلب دليلاً لكل فرع محفز، لما كانت نتيجة "اختبار الفشل ناجح" العامة قد أغلقت المتطلب.
ضوابط تخفيف التأثير منفصلة. كتابة إجراءات استيلاء قسري مثبتة كان يمكن أن تقصر استرداد التخزين. أمر مستقل عن NAS يوقف المطابقة واستلام الأوامر كان يمكن أن يمنع إشعارات التنفيذ المحتجزة. بوابة فتح السوق كان يمكن أن توقف قبول الأوامر في 08:00 بمجرد تعطل شاشات التحكم الحرجة والاتصالات. دلالات إعادة التشغيل المتفق عليها مسبقًا وتدريبات المشاركين كان يمكن أن تسمح بإعادة إرسال واسعة وعادلة واسترداد في نفس اليوم.
يجب أن يكون الإثبات متعدد الطبقات.إثبات التكوينيشمل جردًا موقعًا، وخرائط من متطلب إلى إعداد، واختبارات على الأجهزة الفعلية.إثبات مجال الفشليشمل تمارين تخريبية أو حقن أخطاء عبر حالات الذعر، وضربات القلب، و I/O الجزئي، وفقدان التحكم، وحالات الملكية القديمة.إثبات التحكم في السوقيظهر أن مسارات الإيقاف المستقلة توقف العمليات المقصودة وتحافظ على سجلات موثوقة.إثبات إعادة التشغيليوازن بين حالة البورصة والوسيط والعميل والبيانات العامة والمقاصة.إثبات المشاركةيقيس حصة وتنوع السوق التي يمكن أن تعود داخل كل نافذة استرداد.إثبات الحوكمةيسجل الاستثناءات والمالكين والمواعيد النهائية ومراجعة المجلس ومتابعة المنظم.
وقت التشغيل هو مجرد نتيجة واحدة. يجب أن تكون البورصة المرنة قادرة على التوقف بأمان، وشرح ما هو صالح، والاستعادة من حالة معروفة، وتضمين سوق تمثيلي، وإنتاج دليل على أن كل خطوة عملت. أظهر انقطاع 2020 كيف يمكن لجهاز احتياطي وخطة طوارئ وعدة وظائف طارئة أن توجد جميعًا بينما تظل الاستمرارية غير مثبتة.
الخاتمة
انقطاع 1 أكتوبر 2020 كان بسبب فشل ذاكرة مادي، لكن أهميته جاءت من احتواء فاشل. وصف منتج قديم، وإعداد موروث، وتسلسل ذعر غير مختبر، وإعداد تحويل يدوي غير كافٍ هزموا تكرار التخزين. ثم عطل الاعتماد المشترك ضوابط بيانات السوق وإيقاف التداول. خلق قبول الأوامر وقطع على مستوى الشبكة حالة لا يمكن التوفيق بينها بأمان مع أنظمة المشاركين تحت أي قاعدة ممرنة.
اختيار TSE بعدم إعادة التشغيل في منتصف اليوم لم يكن دليلاً على اللامبالاة بالاستمرارية. وفقًا للسجل الرسمي، كان قرارًا عقلانيًا لسلامة السوق: إعادة الاتصال تخاطر بتسليم عمليات تنفيذ غير صالحة، وإعادة التشغيل تخاطر باستبعاد معظم المشاركة المحلية والتجزئة، ولم يتم اختبار أي من الطريقين. حدث فشل المساءلة في وقت سابق، عندما لم يكن النظام البيئي للبورصة قد جعل إعادة التشغيل الآمن قدرة مصممة ومثبتة.
اتبعت المسؤولية السيطرة. امتلكت Fujitsu وثائق المنتج ذات العلامة التجارية، وتصميم الإعداد، والتحقق من المنتج، ووظائف الصيانة المهمة، وقبلت خطأ كبيرًا في تلك السلسلة. امتلكت TSE معايير القبول، وبنية الإيقاف المستقلة، وقواعد السوق، وجاهزية المشاركين. امتلكت JPX إشراف المجموعة وأولويات المرونة. امتلك المشاركون استرداد أوامرهم وحالة العملاء بمجرد أن زودت البورصة بروتوكولًا متفقًا عليه. امتلكت FSA الإنفاذ التنظيمي وطلبت أن تصبح تلك الضوابط واضحة.
سجل الإصلاح موثوق لأنه يحتوي على أكثر من مجرد اعتذارات: لوحة مستبدلة، وإعادة إنتاج على المعدات الفعلية، وإعداد إنتاج مصحح، ومراجعة شاملة للإعدادات، وإجراءات تحويل قسري، وتطوير إيقاف مستقل، وتدريبات المشاركين، ودلالات إعادة تشغيل منشورة، وإيقاع معلومات، وأعمال مرونة على مستوى المجموعة. حده المتبقي مهم بنفس القدر. لا يوجد اختبار محدود يثبت أن السوق لن تتوقف أبدًا. الهدف الخاضع للمساءلة هو إظهار أنه عندما يفشل مكون أو حالة غير متوقعة، يمكن للسوق أن تتوقف بشكل موثوق، وتحافظ على الحقيقة، وتتعافى على نطاق واسع، وتظهر سبب عدالة إعادة الفتح.