Tokyo Stock Exchange: Hardware-Failover als Prüfstein der Rechenschaftspflicht für Marktkontinuität

Zusammenfassung

• Um 07:04 Japanischer Standardzeit am 1. Oktober 2020 erkannte arrowhead eine große Anzahl von Zugriffsfehlermeldungen aus dem Speicher eines Controllers eines Dual-Node Network-Attached Storage-Geräts. Der Geräteausfall war derAuslöser. Eine Komponente kann innerhalb ihrer Lebensdauer ausfallen; die Redundanz existierte genau, um dieses Ereignis einzudämmen.
• Dietechnische Ursachewar, dass der NAS-ParameterOn PanicaufFalsegesetzt war, basierend auf einem veralteten Verständnis, dass weiterhin ein Standard-Takeover stattfinden würde. In der tatsächlichen Produktspezifikation bedeutete eine vor dem Herzschlagverlust eintreffende Panikmeldung, dass weder ein sofortiges noch ein Standard-Takeover gestartet wurde. Ein veraltetes Handbuch, unzureichende Spezifikationsänderungskontrolle und nicht repräsentative Ausfalltests führten zu dieser Konfiguration.
• Das Speicherpaar hielt gemeinsam genutzte Dateien, die von der Marktdatenverteilung, den Überwachungsbildschirmen und allen drei normalen oder Notfall-Handelsaussetzungspfaden verwendet wurden. Diese gemeinsame Abhängigkeit war einebeitragende Bedingung: Es existierten mehrere benannte Kontrollen, aber jede wartete auf denselben nicht verfügbaren NAS.
• TSE erkannte die Symptome schnell, richtete ein Notfall-Hauptquartier ein und arbeitete mit Fujitsu zusammen. Doch auch das Diagnosetool blieb hängen, vorbereitete Befehle für erzwungene Übernahmen waren unzureichend, und mehrere Versuche schlugen fehl, bevor ein modifizierter Befehl um 09:26 die Kontrolle auf NAS Nr. 2 umschaltete.
• Die Auftragsannahme hatte um 08:00 begonnen. Da TSE die Ausführung nicht normal stoppen konnte, isolierte es arrowhead und ToSTNeT um 08:54 und 08:56 an den Netzwerk-Load-Balancern. Die interne Ausführungsverarbeitung für akzeptierte Auktionsaufträge wurde fortgesetzt, und FLEX verbreitete etwa eine Minute Ausführungsdaten nach 09:00. TSE erklärte diese Auktionsdaten für ungültig; es bestätigte separat, dass qualifizierende ToSTNeT-Ausführungen gültig waren. Die Integrität der Marktdaten erforderte daher eine rechtliche und betriebliche Klassifizierung, nicht nur das Wiedereinstecken eines Kabels.
• Ein Neustart ohne Reboot hätte zurückgehaltene Ausführungsmitteilungen freigegeben, die TSE bereits für ungültig erklärt hatte. Ein Reboot konnte börsenseitige Aufträge und Ausführungen löschen, aber die Teilnehmer würden keine gewöhnlichen Verfallmitteilungen erhalten und könnten ihre Kundenaufträge oft nicht rekonstruieren oder erneut senden. TSEs Konsultation ergab, dass nur etwa 38 % des Handelswerts, beschränkt auf ausländische Wertpapierfirmen, bereit sein könnten. Das unabhängige Direktorenkomitee hielt die Entscheidung zur ganztägigen Aussetzung unter den Umständen für angemessen.
• Dasselbe Komitee und die Financial Services Agency trennten die Angemessenheit derReaktionvon der Unzulänglichkeit vor dem Ereignis. TSE hatte weder einen Neustart-und-Wiederaufnahme-Test selbst in einer Testumgebung durchgeführt, noch die Auftragsbehandlung mit den Teilnehmern vereinbart oder einen klaren Wiederanlaufprozess am selben Tag etabliert. Eine vertretbare Entscheidung, nicht wieder zu eröffnen, beseitigte nicht das Kontinuitätskontrollversagen, das eine sichere Wiedereröffnung unmöglich machte.
• Fujitsu lieferte das OEM-Speichersystem unter eigener Marke, erstellte oder übermittelte die Produktdokumentation, entwarf die Einstellung in detaillierten Dokumenten, entwickelte und pflegte arrowhead und unterstützte den Vorfall. Fujitsu akzeptierte öffentlich die Lieferqualitätsverantwortung und unzureichende Tests. Die Untersuchung legte einen erheblichen Teil der Verantwortung für den Handbuchfehler und die Einstellungskette auf Fujitsu, befand aber auch, dass TSE in gewissem Maße Ausfalltests hätte verlangen müssen, die der Bedeutung des NAS entsprachen.
• Die FSA erließ Geschäftsverbesserungsverfügungen sowohl gegen TSE als auch gegen JPX nach verschiedenen Bestimmungen des Financial Instruments and Exchange Act. Sie verlangte Spezifikationsänderungskontrollen, Abhängigkeitsüberprüfungen, NAS-unabhängige Aussetzungsmechanismen, Teilnehmerregeln und -übungen, konzernweite Inspektionen und eine Verschiebung von einem überwiegenden „Never Stop“-Ansatz hin zur Resilienz.
• Die Managementkonsequenzen waren explizit, aber verfahrenstechnisch begrenzt: TSE-Präsident Miyahara Koichiro trat zurück; JPX- und TSE-Führungskräfte erhielten Gehaltskürzungen oder formelle Verwarnungen; Fujitsu kürzte die Bezüge von fünf Führungskräften und verwarnte drei leitende Angestellte. Dies waren unternehmerische Governance-Maßnahmen infolge behördlicher Anordnungen, keine gerichtlichen Urteile über Schadensersatz, Fahrlässigkeit oder strafrechtliche Haftung.
• Reparaturnachweisexistiert in mehreren Schichten: Austausch der Hauptplatine und überwachter Handel am 2. Oktober; ein Test mit tatsächlicher Ausrüstung, gefolgt vonOn Panic=Truein der Produktion am 4. Oktober; eine vollständige Überprüfung der NAS-Einstellungen; erzwungene Umschaltverfahren; ein NAS-unabhängiger Notfall-Halt-Pfad; Teilnehmerübungen; veröffentlichte Regeln für Neustart, Aufträge und Informationen; sowie spätere arrowhead-Resilienzarbeiten. Diese Artefakte verbessern die Gewissheit wesentlich, aber keine öffentliche Quelle beweist, dass jeder mögliche Hardwarezustand, jedes Teilnehmersystem oder jeder zukünftige Ausfall ohne Störung behoben werden kann.

Evidenzgrenzen und Verfahrenslage

Diese Analyse verwendet fünf Evidenzlabel. Einebestätigte Tatsacheist direkt in einer zeitgenössischen Börsenmitteilung, einem technischen Bericht, einer Unternehmensoffenlegung, einer Regelaufzeichnung oder einer regulatorischen Maßnahme festgestellt. Eineunterstützte Folgerungverbindet bestätigte Tatsachen für die Kontrollanalyse, ohne eine rechtliche Bewertung zu behaupten. Eineumstrittene Behauptungerfordert wesentlich widersprüchliche Positionen; bloße Unvollständigkeit oder spätere Verfeinerung ist kein Streit. EinUnbekanntesist eine Frage, die die öffentliche Aufzeichnung nicht klärt. Einerechtliche oder regulatorische Feststellungwird nur der Institution zugeschrieben, die sie getroffen hat, und nur innerhalb dieses Verfahrens.

Die wichtigste forensische Aufzeichnung ist der Bericht des unabhängigen JPX-Direktorenausschusses. Seineenglische Übersetzungist ungewöhnlich explizit hinsichtlich ihrer eigenen Grenzen: Das Komitee bestand aus externen Direktoren von JPX, war kein traditionelles Drittkomitee, stützte sich für die faktische Chronologie auf von JPX und TSE bereitgestellte Materialien und Informationen und machte weder eine proaktive Tatsachenermittlung noch rechtliche Verantwortung zu seinem Hauptziel. Es bewertete die Darstellung der Unternehmen, die Untersuchungsmethoden, die Reaktion und die vorgeschlagenen Abhilfemaßnahmen, einschließlich der Untersuchung von Fujitsu. Dies ist eine starke formelle Governance-Aufzeichnung, aber keine unabhängige gerichtliche Feststellung.

Diejapanische Verwaltungsverfügungder FSA hat eine andere Verfahrenslage. Die Regulierungsbehörde forderte am 2. Oktober Berichte an, erhielt sie am 16. Oktober und führte Vor-Ort-Inspektionen durch, bevor sie am 30. November Geschäftsverbesserungsverfügungen erließ. Ihre Feststellungen tragen daher regulatorische Autorität. Sie entscheiden weder über private Entschädigungen, noch weisen sie vertragliche Schäden zwischen TSE, Fujitsu und dem ungenannten OEM-Lieferanten zu, noch stellen sie strafbares Verhalten fest.

Fujitsus Offenlegungen sind Eingeständnisse und Beschreibungen eines direkt beteiligten Anbieters. Am 19. Oktober erklärte das Unternehmen, dass der ETERNUS NR1000 von einem anderen Entwickler-Hersteller als OEM-Produkt geliefert wurde, aber Fujitsu die Verantwortung für die Lieferqualität trug. Es räumte ein, dass das Handbuch einer betriebssystemgesteuerten Spezifikationsänderung nicht gefolgt war und dass seine Tests und Bestätigungen unzureichend waren. Diese Aussagen sind wichtige Erste-Partei-Beweise; sie sind keine externe Prüfung aller Fujitsu- oder Lieferanten-Ingenieurunterlagen.

Die kausale Darstellung wurde verfeinert, nicht wesentlich bestritten. Die Mitteilungen der TSE vom 1. und 5. Oktober beschrieben einen Speichermodulausfall und eine fehlgeschlagene Umschaltung. Die spätere Untersuchung unterschied zwischen dem Komponentenereignis, dem Konfigurationsmechanismus und den betrieblichen Bedingungen, die die Auswirkungen ausweiteten. Keine zitierte JPX-, TSE-, FSA- oder Fujitsu-Quelle bestreitet diese Kette formell.

Behauptungen, der ganztägige Ausfall sei „nur ein zufälliger Hardwareausfall“ gewesen, oder umgekehrt, es habe keinen echten Hardwareausfall gegeben, stehen im Widerspruch zur formellen Aufzeichnung, nicht zu bewahrten institutionellen Streitigkeiten.

Chronologie vor der Zuordnung

Vor dem 1. Oktober: ein Hochgeschwindigkeitssystem mit übernommenen Annahmen

Arrowhead war seit 2010 in Betrieb. Die dritte Generation ging am 5. November 2019 nach einer Hardware-Aktualisierung und Leistungssteigerung live. Diegemeinsame Startmitteilungvon TSE und Fujitsu betonte Funktionalität, stabile Leistung und einen sicheren Markt. Die Untersuchung beschrieb später ein System aus Hunderten synchronisierter Server, die Aufträge annahmen, abglichen, Ausführungsmitteilungen zurücksendeten, Marktinformationen verteilten, mit dem Clearing verbunden waren und Überwachungs- und Steuerungsfunktionen bereitstellten. Die beworbene Auftragsantwortzeit betrug etwa 200 Mikrosekunden.

Dieser Geschwindigkeitskontext ist wichtig, weil Kontinuität nicht nur die Aufrechterhaltung der Serververfügbarkeit bedeutet. Eine Börse muss einen gemeinsamen Zustand über Aufträge, Ausführungen, offizielle Benachrichtigungen, öffentliche Preisinformationen, Überwachung, Teilnehmerbücher und das endgültige Clearing hinweg bewahren. Schnelles Matching erhöht die Menge an Zustand, die in Sekunden auseinanderlaufen kann, wenn eine Steuerungsebene beeinträchtigt ist.

Das NAS-Paar hielt nicht das synchronisierte Kern-Auftragsbuch als Ersatz für die Matching-Architektur von arrowhead. Es hielt gemeinsame Dateien wie Emissions- und Benutzerinformationen, die mehrere Server und Betriebsfunktionen benötigten. Die Zentralisierung dieser Dateien unterstützte Konsistenz und effizientes Design. Sie bedeutete aber auch, dass Marktdaten- und Steuerungsprozesse auf denselben Speicherdienst warten konnten, wenn das Failover fehlschlug.

Die entscheidende Einstellung stammte aus der Zeit vor der dritten Generation. Nach dem älteren Produktverhalten deaktivierteOn Panic=Falsedas sofortige Takeover, aber ein Standard-Takeover folgte weiterhin dem Herzschlagverlust. Diese Einstellung funktionierte in der ersten und zweiten Generation. Während der späteren Produktentwicklung änderte sich die NAS-Spezifikation: Wenn eine Panikmeldung eintraf, bevor die Herzschlagnachrichten aufhörten, verhinderteFalseauch das Standard-Takeover. Der Standard änderte sich vonFalseaufTrue, aber die entsprechende schriftliche Spezifikation beschrieb die Verhaltensänderung nicht genau. Der ältere WertFalsewurde in die dritte Generation übernommen.

Dies war kein Fall, in dem TSE kein Wiederherstellungsziel spezifiziert hatte. Die Anforderungen der dritten Generation verlangten, dass NAS-bezogene Funktionen innerhalb von 30 Sekunden nach einem Geräteausfall umschalteten und fortfuhren. Der Fehler lag zwischen Anforderung, Produktverhalten, detaillierter Konfiguration, Überprüfung und repräsentativem Test. Eine Papieranforderung für Kontinuität bewies nicht, dass das eingesetzte Standby-System sie erfüllen würde.

Frühere Vorfälle lieferten einen Warnkontext, ohne eine Wiederholung desselben Fehlers zu beweisen. 2012 fiel ein Teil eines Marktinformations-Gateways aus, und 241 Papiere wurden für einen Vormittag ausgesetzt; die Untersuchung führte dieses Ereignis auf unvollständige Software-Umschaltung und unzureichende Umschaltbestätigung zurück. 2018 überlastete ein Burst von Nachrichten eines Co-Location-Benutzers die Routing-Ausrüstung und trennte mehrere Teilnehmer-Gateways. DerVorfallbericht der TSE von 2018dokumentierte Netzwerkkontrollen, Teilnehmerkommunikation und erweiterte Ausfalltests. Diese Reparaturen adressierten diese Mechanismen. Sie testeten nicht den genauen Panik-vor-Herzschlag-Zustand, der 2020 auftrat.

07:04-08:36: Erkennung, Diagnose und die Entscheidung zum Stopp

Um 07:04 generierte die Überwachung viele Zugriffsunregelmäßigkeitsmeldungen für NAS Nr. 1. Um 07:10 konnten einige Handelsüberwachungs- und Betriebsmanagement-Terminals nicht anmelden; andere Terminals konnten es noch. Der gemischte Zustand erschwerte die anfängliche Bewertung. Das Diagnosetool, das den Systemstatus hätte melden sollen, lief weiter, ohne ein Ergebnis zu liefern. TSE informierte Fujitsu um 07:10, und Fujitsus Plattform- und Anwendungspersonal begann um 07:11 mit der gemeinsamen Auswirkungsisolierung.

Ab 07:30 stellte TSE verzögerte Emissionsinformationen fest und fand heraus, dass geplante Routing-Wartungs- und Kommunikationsstartmeldungen nicht gesendet worden waren. CIO Yokoyama Ryusuke leitete ab 07:37 ein Systemausfall-Notfallhauptquartier. Um 07:55 meldete Fujitsu, dass die Meldungen darauf hindeuteten, dass der Steuerungsmechanismus von NAS Nr. 1 ausgefallen war und die erwartete Umschaltung auf NAS Nr. 2 nicht stattgefunden hatte.

Um 08:00 begann arrowhead, Aufträge nach dem normalen Zeitplan anzunehmen. Diese Entscheidung wurde später wichtig, sollte aber nicht mit Rückblick umgeschrieben werden. Das Komitee stellte fest, dass TSE vor 08:00 das volle Ereignis oder die Auswirkungen noch nicht verstand; einige Bildschirme waren verfügbar gewesen; und die Mitarbeiter glaubten, dass normale oder Notfall-Aussetzungskontrollen den Markt bei Bedarf immer noch schützen könnten. Es kritisierte jedoch später die tieferliegende „Never Stop“-Annahme, die die Auftragsannahme um 08:00 und die Öffnung um 09:00 als absolut und nicht als abhängig von Evidenz erscheinen ließ.

Um 08:01 benachrichtigte TSE die Teilnehmer, dass Kommunikationsstartmeldungen nicht gesendet werden konnten. Wiederherstellungs- und Auswirkungsanalyse liefen parallel weiter. TSE wählte 08:30 als Entscheidungsschwelle für die Aussetzung aller Papiere, falls die Marktdatenverteilung sich nicht erholt hätte, um Zeit für die Benachrichtigung der Teilnehmer vor der Öffnung um 09:00 zu haben. Die Verteilung blieb beeinträchtigt. Um 08:36 benachrichtigte TSE die Teilnehmer über die Aussetzung gemäß Regel 29, Punkt 4 ihrer Geschäftsordnung. Dieerste englische Marktmitteilungbesagte, eine technische Störung beeinträchtige die Marktdatenverteilung, alle notierten Papiere würden gestoppt und die Auftragsannahme werde geschlossen.

Die Entscheidungsanweisung und der tatsächliche technische Stopp waren unterschiedliche Ereignisse. Die normale Handelsaussetzung erforderte den Handelsüberwachungsbildschirm; die Marktaussetzung erforderte den Betriebsmanagement-Bildschirm; der Notfall-Job umging diesen Bildschirm, las aber weiterhin NAS-Dateien. Alle waren nicht verfügbar. TSE verwendete daher eine Netzwerkkontrolle, die darauf ausgelegt war, Aufträge auf bestimmte Server zu beschränken: Sie kappte den arrowhead Load Balancer um 08:54 und den von ToSTNeT um 08:56. Dies verhinderte neue Teilnehmerkommunikation, gab aber keine normale Anweisung zum Stoppen des Matchings aus.

08:16-09:26: Fehlgeschlagene Übernahmeversuche und Zustandsdivergenz

Parallel versuchten TSE und Fujitsu, NAS Nr. 2 die Kontrolle übernehmen zu lassen. Befehle zum Ausschalten von NAS Nr. 1 um 08:16 und zum Übertragen der Kontrolle um 08:26 schlugen fehl. Eine Port-Sperre um 08:28 unterbrach die Kommunikation, doch NAS Nr. 1 war bereits ausgefallen, und die Übernahme fand nicht statt. Ein Versuch mit geänderten Bedingungen um 08:42 schlug ebenfalls fehl. Um 09:23 scheiterte ein von Fujitsus Produktgruppe bereitgestellter Befehl; um 09:26 erzwang das Hinzufügen von Optionen zu diesem Befehl schließlich die Umschaltung auf NAS Nr. 2.

Die Marktdatenprozesse sowie die Überwachungs- und Managementbildschirme waren dann bestätigt nutzbar.

Die 82 Minuten zwischen der ersten Erkennung und der erfolgreichen erzwungenen Übernahme waren nicht einfach die Reparaturzeit für eine defekte Komponente. Sie offenbarten eine Lücke in der Wiederherstellungskontrolle. Da die Ingenieure von einer automatischen Übernahme ausgingen, standen ein validierter Befehl und ein zustandsabhängiges manuelles Verfahren nicht bereit. Die Untersuchung stellte eine unzureichende Vorbereitung bei Fujitsu fest und erkannte auch die unzureichende Antizipation von TSE an.

In der Zwischenzeit hatten akzeptierte Aufträge ein Problem der Marktintegrität geschaffen. Die Auftragsannahme begann um 08:00, und Echtzeit-Auftragsdaten flossen zunächst. Da die Load-Balancer-Maßnahme die Matching-Engine nicht stoppte, verarbeitete arrowhead Aufträge, die bis 08:54 angenommen wurden. Die Marktdaten-Unterbrechung überschritt die Öffnung um 09:00, sodass FLEX etwa eine Minute scheinbare Ausführungsdaten verteilte. Um 09:11 teilte TSE dem Markt mit, dass die bis dahin verteilten Daten ungültig seien. Ihrdritter englischer Berichterklärte außerdem, dass ToSTNeT gestoppt habe und alle bisher verteilten FLEX-Daten ungültig seien, während die Derivate der Osaka Exchange normal operierten.

Die spätere Klassifizierung war präziser. DieHandelsstatusmitteilungder TSE vom selben Tag besagte, dass keine Auktionsmarkt-Ausführungen rechtsgültig zustande gekommen seien, auch wenn FLEX scheinbare Ausführungen übermittelt hatte, und dass vor der Aussetzung angenommene Aufträge nicht auf den nächsten Tag übertragen würden. Sie stellte separat fest, dass bis 08:56 eingegangene ToSTNeT-Aufträge ausgeführt worden seien und alle Ausführungsmitteilungen gesendet worden seien. „Alle Daten ungültig“ war eine dringende Marktdaten-Warnung, nicht die Aussage, dass jeder außerbörsliche Vertrag nichtig war.

Diese Unterscheidung ist zentral für die Rechenschaftspflicht. Ein Speicher-Failover konnte den Dateizugriff wiederherstellen, aber es konnte nicht allein entscheiden, welche Nachrichten gültige Markthandlungen darstellten, die Teilnehmersysteme abgleichen, Kundenbestände wiederherstellen oder eine faire Preisbildung neu schaffen. Die Wiederherstellung erforderte sowohl den technischen Zustand als auch den autoritativen Marktzustand.

09:26-11:45: Warum ein gesunder Standby keinen fairen Markt machte

Nach der erzwungenen Umschaltung erwog TSE zwei Wege: Wiederanschluss ohne Reboot oder Reboot von arrowhead und Wiedereröffnung. Ein Wiederanschluss hätte in arrowhead zurückgehaltene Ausführungsmitteilungen für Aufträge freigegeben, die vor der Netztrennung verarbeitet worden waren. TSE hatte diese Auktionsergebnisse bereits für ungültig erklärt. Die Teilnehmer könnten die Mitteilungen als gültig behandeln, Kundenbestände aktualisieren und auf einer falschen Basis weiterhandeln. Die Tagesbasispreise waren zudem durch die interne Verarbeitung beeinflusst worden.

Das Komitee hielt diesen Weg für unvereinbar mit einem fairen und unparteiischen Markt.

Ein Reboot würde die börsenseitig akzeptierten Aufträge, Ausführungsdaten und Basispreise zurücksetzen. Aber die normalen Teilnehmerprozesse waren mitteilungsgesteuert. Ein an die TSE gesendeter Auftrag änderte normalerweise seinen Status, wenn der Teilnehmer eine Annahme-, Ausführungs- oder Verfallmitteilung erhielt. Ein Reboot würde den Börsenstatus löschen, ohne die üblichen Verfallmitteilungen zu senden. Broker müssten Aufträge aus einem „Gesendet“-Status durch außergewöhnliche Verarbeitung entfernen, Kundenanweisungen abgleichen und berechtigte Aufträge erneut senden.

Einige vorfinanzierte Retail-Systeme müssten zudem verhindern, dass ungültige Ausführungen die Kaufkraft oder Bestände verändern.

TSE holte vor 11:00 Stellungnahmen von großen inländischen Brokern, Online-Brokern, ausländischen Firmen und Anbietern von Gemeinschaftssystemen ein. Online-Broker erklärten, sie könnten den Prozess nicht bewältigen; ein großer Anbieter, der zahlreiche mittelgroße Teilnehmer bediente, hatte ihn nie getestet und konnte die Bereitschaft nicht bestätigen. Das Komitee bezifferte später die geschätzte bereite Bevölkerung auf nicht mehr als etwa 38 % nach Handelswertanteil und beschrieb sie, nach Teilnehmermerkmal, als ausländische Wertpapierfirmen.

Ein wiedereröffneter Markt, der von dieser Teilmenge dominiert würde, würde einen großen Teil der inländischen und privaten Teilnahme ausschließen und die repräsentative Preisbildung gefährden.

Um 11:00 nahmen der Group CEO von JPX und der Präsident der TSE an einer außerordentlichen Risikomanagement-Ausschusssitzung teil. TSE-Präsident Miyahara traf die Entscheidung, den Markt für den Tag geschlossen zu halten, um 11:45 angekündigt. Derfünfte TSE-Bericht vom selben Tagerklärte, dass die fehlgeschlagene Umschaltung Marktinformationen verhinderte, ein Hardwareaustausch geplant sei und ein Reboot während des Tages nach Rücksprache mit Marktteilnehmern zu Verwirrung bei Anlegern und Teilnehmern führen könnte.

11:45-2. Oktober: kontrollierte Wiederherstellung am nächsten Tag

TSE behandelte den ganztägigen Stopp nicht als Erlaubnis, den Marktzustand unklar zu lassen. Ihre japanische Mitteilung zur Tagesabwicklung klassifizierte die Auktions- und ToSTNeT-Ergebnisse. Eine separateMitteilung zur Abwicklung des nächsten Tageslegte Referenzpreise, fortbestehende Leerverkaufs-Preisbeschränkungen, Preislimit-Behandlung und besondere ToSTNeT-Preisregelungen fest. Um 19:25 erklärte dieWiederaufnahmemitteilungder TSE, dass Auktions- und ToSTNeT-Handel am 2. Oktober voraussichtlich normal stattfinden würden.

Auf der Hardwareseite tauschten TSE und Fujitsu die gesamte Hauptplatine des ausgefallenen NAS Nr. 1-Speichers aus. Die Untersuchung besagt, dass das System in seine Aktiv-Aktiv-Konfiguration zurückkehrte, schnelle manuelle Umschaltverfahren verfügbar waren, beide Organisationen eine verbesserte Überwachung einrichteten, die vorbereitende Verarbeitung normal abgeschlossen wurde und der Austausch der Hauptplatine um 22:00 Uhr beendet war. Der Handel am 2. Oktober schloss ohne Probleme ab.

Die Reparatur war im versicherungstechnischen Sinne noch nicht abgeschlossen. Am 2. Oktober fanden die Parteien den Konfigurationsfehler. Sie reproduzierten den relevanten Zustand auf tatsächlicher Ausrüstung, bestätigten die korrekte Umschaltung und setztenOn Panic=Truein der Produktion am 4. Oktober. Der Betrieb mit dem korrigierten Wert begann am 5. Oktober. Dieerste englische technische Mitteilungder TSE dokumentierte den Speichermodulausfall, die fehlgeschlagene Umschaltung, die Einstellungsänderung am 4. Oktober und die Bestätigung, dass die automatische Umschaltung sich wie erwartet verhielt.

Ursachenkarte: Auslöser, Ursache und beitragende Bedingungen

Auslöser

DerAuslöserwar ein zufälliger physischer Defekt, der eine Speicherkarte in NAS Nr. 1 unlesbar und unbeschreibbar machte. Fujitsu und der unbenannte OEM-Lieferant untersuchten das Teil. Ihre gemeldete Ausfallhistorie für dasselbe Modell blieb innerhalb der internen Schwelle von Fujitsu, die Karte war innerhalb der Lebensdauer, und sie identifizierten keine defekte Produktionscharge. Das Komitee machte TSE nicht für das Auftreten dieses Komponentenfehlers verantwortlich.

Den Speicherfehler einen Auslöser zu nennen, ist keine semantische Ausflucht. Ein Standby-Design wird gerade deshalb geschaffen, weil Komponenten ausfallen. Wenn eine im Betrieb befindliche Komponente trotz installierter Redundanz einen Markt zum Stillstand bringen kann, muss die Verantwortlichkeitsanalyse untersuchen, warum die Eindämmungskontrolle versagte.

Technische Ursache

Dietechnische Ursachewar die inkorrekte EinstellungOn Panic=Falsefür das tatsächliche NAS-Verhalten. Der ausgefallene Controller sendete eine Panikmeldung, bevor die 0,5-Sekunden-Herzschlagüberwachung endete. Unter der tatsächlichen Spezifikation unterdrückteFalsedas sofortige Takeover und, in dieser Sequenz, auch das Standard-Takeover. NAS Nr. 2 übernahm nicht die Kontrolle, wodurch das Paar für abhängige Funktionen nicht verfügbar war.

Die Einstellungskette hatte mehrere verbundene Tatsachen. Das alte Produkt hatte mitFalseein Standard-Takeover zugelassen. Die spätere Spezifikation und der Standard änderten sich. Das Dokument des Lieferanten hielt die Standardänderung fest, aber nicht die Verhaltensänderung; Fujitsus Handbuch blieb ungenau. Fujitsu schriebFalsein den detaillierten Entwurf, TSE überprüfte diesen Entwurf anhand desselben inkorrekten Handbuchs, und kein Produktionstest beider Organisationen reproduzierte den Verlust der NAS-Funktion unter der Paniksequenz. Daseine Seite umfassende NAS-Einstellungsbeiblattder TSE stellte dar, warum die Panikmeldung das erwartete verzögerte Takeover ausschloss.

Fujitsus eigenerUrsachen-und-Maßnahmen-Berichtbestätigte die operative Kette: Das Handbuch sagte, dass die automatische Umschaltung immer erfolgte; das tatsächliche Produkt konnte so konfiguriert werden, dass es unter der Speicherfehlerbedingung nicht umschaltete; das Handbuch war einer durch ein OS-Versionsupdate eingeführten Spezifikationsänderung nicht gefolgt; und Fujitsus Tests und Bestätigungen hatten den Missmatch nicht erkannt.

Beitragende Bedingung 1: Spezifikations-Governance bewahrte die Anforderung nicht

TSE verlangte eine fortgesetzte Verarbeitung innerhalb von 30 Sekunden. Fujitsus Systemingenieure kannten die konfigurierten Werte, aber Fujitsu teilte dem Komitee mit, dass TSEs Anforderungen der Produktgruppe bei ihrer Konsistenzprüfung nicht übermittelt worden seien. Die Produktgruppe prüfte, ob Geräteeinstellungen einander widersprachen, nicht ob das Geräteverhalten das Wiederherstellungsziel der Börse auf Systemebene erfüllte.

Dies ist eine unterstützte Governance-Folgerung: Die Anforderungs-, Implementierungs- und Produktvalidierungskreisläufe waren nicht geschlossen. Kein einzelner Dokumenteninhaber hatte nachgewiesen, dass die „30-Sekunden-Fortsetzung“ nach der Änderung des OEM-Verhaltens noch zutraf. Die Folgerung stellt nicht fest, dass eine Person wissentlich eine Änderung verschleierte.

Beitragende Bedingung 2: Der Test repräsentierte Herzschlagverlust, nicht den tatsächlichen Fehlerzustand

TSE und Fujitsu testeten die Unterbrechung der Herzschlagkommunikation und sahen, dass der Dienst fortgesetzt wurde. Sie behandelten dies als ausreichenden Nachweis für den Verlust des NAS-Controllers. Es war nicht gleichwertig. Im tatsächlichen Ereignis gab der Controller eine Panikmeldung vor dem Herzschlagverlust aus und wählte damit einen anderen Zweig in der Übernahmelogik. Ein Test namens „Umschaltung“ bestand daher, während der tatsächliche Produktionsfehlermodus ungetestet blieb.

Die Kontrolllektion ist präzise: Testabdeckung muss in Auslösezuständen und resultierenden Invarianten ausgedrückt werden, nicht nur in breiten Labels. Der Nachweis, dass ein Standby nach stillem Herzschlagverlust übernimmt, beweist keine Übernahme nach einer Controller-Panik, einem partiellen I/O-Fehler, einem veralteten Eigentümerzustand oder einer fehlerhaften Benachrichtigung.

Beitragende Bedingung 3: Mehrere Kontrollen teilten eine Speicherabhängigkeit

Der NAS zentralisierte gemeinsam genutzte Dateien, um die interne Datenkonsistenz zu wahren. Marktinformationsverteilung, Überwachungsbildschirme, Betriebsbildschirme, normaler Halt, Markthalt und der Notfall-Halt-Job stützten sich alle auf diese Dateien. Der Notfallpfad war verfahrenstechnisch getrennt, aber nicht ausfalldomänenunabhängig. Als das NAS-Paar nicht mehr verfügbar war, schlug jede entworfene Aussetzungsanweisung fehl.

Diese Abhängigkeit weitete einen Speichervorfall zu einer Unfähigkeit aus, den Handel zu kontrollieren. Sie erzwang auch die Netzwerkisolation, die die Kommunikation stoppte, ohne das Matching zu stoppen. Die FSA ordnete später an, dass TSE Abhängigkeiten im gesamten System inspizieren und sicherstellen müsse, dass der Ausfall eines bestimmten Ortes nicht Funktionen deaktivieren könne, die für die Kontinuität wesentlich sind.

Beitragende Bedingung 4: Die erzwungene Wiederherstellung war improvisiert

Es wurde eine automatische Umschaltung erwartet, daher waren exakte Befehle für die Kontrollübernahme in einem Zustand fehlgeschlagener Umschaltung nicht vorbereitet und validiert. Mehrere Versuche scheiterten, bevor Fujitsu um 09:26 die erfolgreichen Befehlsoptionen lieferte. Eine physische Kabeltrennung wurde erwogen. Ein Standby ist betrieblich nicht allein deshalb verfügbar, weil seine Hardware eingeschaltet und synchronisiert ist; der Betreiber benötigt einen zustandsbewussten, eingeübten Autoritätsübertragungspfad, der funktioniert, wenn die Automatisierung dies nicht tut.

Beitragende Bedingung 5: Auftragsannahme- und Neustartrichtlinie waren nicht als ein Kontinuitätssystem entworfen

Die Richtlinie der TSE favorisierte die Annahme von Aufträgen während Aussetzungen, da die Teilnehmer dieses Verhalten nach früheren Ereignissen gewünscht hatten. Am 1. Oktober machte die Annahme von Aufträgen, bevor die Auswirkungen vollständig verstanden waren, den späteren abnormalen Stopp schwerer zu bewältigen. Es gab keine vereinbarte Regel, wann die Auftragsannahme zu stoppen sei, was mit akzeptierten Aufträgen nach einem Reboot geschehe, welche Benachrichtigungen den Teilnehmerstatus steuerten oder wie festzustellen sei, dass eine ausreichende Marktdiversität zurückkehren könne.

Das unabhängige Komitee befand die Echtzeitentscheidungen der TSE angesichts dessen, was das Personal wusste, für vernünftig. Es befand jedoch die vorab festgelegten Entscheidungskriterien, Verfahren, Teilnehmerkommunikation und Testvorbereitung für unzureichend. Diese Schlussfolgerungen koexistieren. Die Einsatzleitung kann die am wenigsten schädliche verfügbare Entscheidung treffen, während die Governance dafür verantwortlich bleibt, nur schädliche Wiederherstellungsoptionen zuzulassen.

Beitragende Bedingung 6: Zuverlässigkeitskultur überweg Wiederherstellbarkeit

Das Komitee verwendete eine ungewöhnlich direkte Sprache zu „Never Stop“. Es sagte, eine Überbetonung des Beginns der Auftragsannahme um 08:00 und des Handels um 09:00 habe dazu beigetragen, einen reibungslosen Neustart nach der Wiederherstellung unmöglich zu machen. Die FSA stellte ebenfalls fest, dass die Resilienzarbeit von JPX hinter seinem Zuverlässigkeitsfokus zurückgeblieben sei. Die unterstützte Folgerung ist nicht, dass hohe Verfügbarkeit fehlgeleitet war.

Sie ist, dass die Vermeidung von Unterbrechungen zu einer stärkeren Designprämisse geworden war als kontrollierte Degradation, autoritativer Halt, Zustandsrücksetzung und getestete Wiedereröffnung.

Erkennung, Reaktion, Wiederherstellung und Marktdatenintegrität

Erkennung

Die Erkennung war weder abwesend noch voll wirksam. Die Überwachung zeigte sofort um 07:04 NAS-Zugriffsanomalien an, und betriebliche Symptome traten innerhalb von Minuten auf. TSE eskalierte zu Fujitsu und einem Notfallhauptquartier vor dem Auftragsannahmefenster. Dies sind positive Kontrollen.

Gleichzeitig wartete das Diagnosetool selbst unbegrenzt, die Terminalverfügbarkeit war inkonsistent, und frühe Marktdatenauslassungen mussten aus verschiedenen Anzeichen zusammengesetzt werden. Die Erkennung offenbarte Not, erklärte aber nicht sofort die Fehlerdomäne oder garantierte einen sicheren Stopp. Die verbleibende Lektion ist, die Beobachtbarkeit von der beobachteten Komponente zu trennen und Markteröffnungsnachweise vorzudefinieren: Erforderliche Kontrollbildschirme, Datenfeeds, Stopppfade und Teilnehmernachrichten müssen alle bestanden sein, bevor Aufträge angenommen werden.

Reaktion

Die Reaktion hatte drei gleichzeitige Ziele: Speicher wiederherstellen, die Eröffnung eines unfairen Marktes verhindern und den autoritativen Status kommunizieren. TSE verfolgte alle drei. Es versuchte die erzwungene Übernahme, setzte eine Entscheidungsschwelle um 08:30, benachrichtigte die Teilnehmer um 08:36, isolierte die Auftragsverbindungen vor der geplanten Öffnung, erklärte irreführende Auktionsdaten für ungültig, konsultierte die Teilnehmertypen und traf eine formelle Ganztagsentscheidung.

Die Reaktion offenbarte auch Implementierungsschwächen. Die Netztrennung erfolgte so nahe an 09:00, dass eine Minute Ausführungsdaten entweichen konnte. Die ersten öffentlichen Mitteilungen entwickelten sich notwendigerweise weiter, aber die Abfolge ließ die Nutzer auf einen Wiederherstellungszeitplan warten. DerEntwurf zur Informationspolitikdes späteren Wiederholungsvermeidungsrats vom Dezember 2020 schlug eine eigene Systemstatusseite, Aktualisierungen normalerweise alle 30 Minuten auch ohne Fortschritt, Ereignis-Auswirkung-Wiederaufnahme-Stufen und Push-Verteilung vor. Diese Abhilfemaßnahme ist ein Beleg dafür, dass Kommunikationsrhythmus und -struktur Teil der Kontinuitätslücke waren.

Warum Nicht-Neustarten eine Integritätskontrolle war

Die verlorene Handelsmöglichkeit war schwerwiegend. Daraus folgt nicht, dass jede Wiedereröffnung besser gewesen wäre als geschlossen zu bleiben. Ein Markt ist im relevanten Sinne nicht kontinuierlich, wenn nur eine enge Teilnehmerklasse Aufträge rekonstruieren kann, wenn ungültige Ausführungsmitteilungen in Brokerbücher gelangen können oder wenn öffentliche Preismeldungen dem rechtlichen Handelsstatus widersprechen.

Die Ganztagsentscheidung bewahrte drei Formen von Integrität.Transaktionsintegritäterforderte eine gemeinsame Antwort darüber, welche Aufträge und Geschäfte existierten.Datenintegritäterforderte eine autoritative Behandlung der FLEX-Nachrichten und der Referenzwerte für den nächsten Tag.Partizipationsintegritäterforderte eine ausreichend breite Gruppe von inländischen, privaten, institutionellen und ausländischen Teilnehmern für eine faire Preisbildung. Die offiziellen Beweise stützen die Schlussfolgerung der TSE, dass diese Bedingungen für einen gleichtägigen Neustart nicht nachgewiesen werden konnten.

Das Komitee gab sich nicht mit einer bloßen Überweisung an das Management zufrieden. Es bewertete die 38 %-Bereitschaftsschätzung, die Teilnehmerzusammensetzung, das Fehlen eines Testumgebungs-Neustarts und das Nachrichtenstatus-Problem und befand dann den Entscheidungs- und Informationssammelprozess für angemessen. Dies ist der stärkste Beweis gegen die vereinfachende Behauptung, das Management habe die Schließung nur gewählt, um betriebliche Unannehmlichkeiten zu vermeiden.

Wiederherstellung

Die Wiederherstellung erfolgte in Stufen. Um 09:26 stellte die erzwungene Übernahme den Zugriff und die Betriebsbildschirme wieder her. Am Abend hatte TSE den Handelsstatus des Tages klassifiziert, die Marktbehandlung für den nächsten Tag spezifiziert, die ausgefallene Hauptplatine ersetzt, eine gemeinsame Überwachung eingerichtet und die vorbereitende Verarbeitung abgeschlossen. Der normale Handel am 2. Oktober lieferte ein wichtiges Service-Level-Ergebnis.

Am 4. Oktober, nachdem der Zustand auf tatsächlicher Ausrüstung reproduziert worden war, änderte TSEOn PanicaufTrue. Bis zum 23. Oktober hatten die System- und Produktteams von Fujitsu alle NAS-Einstellungen anhand der Anforderungen und des tatsächlichen Produktverhaltens überprüft; bis Ende Oktober hatten Werte, die von den Auslieferungsstandards abwichen, eine Bestätigung auf tatsächlicher Ausrüstung erhalten. Die Untersuchung berichtete auch über die Bestätigung von Verfahren für erzwungene Umschaltungen und Pläne für ausrüstungszustandsspezifische Befehlslisten.

Diese Stufen sollten nicht zu „über Nacht behoben“ zusammengefasst werden. Der Komponentenaustausch stellte die Kapazität wieder her; die verbesserte Überwachung handhabte kurzfristige Unsicherheit; die Einstellungsänderung entfernte den bekannten automatischen Umschaltfehler; die umfassende Überprüfung suchte nach verwandten Konfigurationsfehlern; und die Verfahren adressierten das Automationsversagen. Jede beantwortet eine andere Frage der Gewissheit.

Rechenschaftszuordnung nach der Chronologie

Tokyo Stock Exchange: Marktbetreiber und Systemeigentümer

TSE hatte die primäre öffentlichkeitswirksame Kontrolle darüber, ob ihr Kassamarkt öffnete, welche Aufträge akzeptiert wurden, ob Nachrichten gültige Geschäfte darstellten, wann der Handel gestoppt wurde und wann er wieder aufgenommen werden konnte. Sie spezifizierte die 30-Sekunden-NAS-Fortsetzungsanforderung, überprüfte detaillierte Entwürfe, betrieb arrowhead, unterhielt den Notfallplan und koordinierte die angeschlossenen Teilnehmer.

Ihre Rechenschaftspflicht ist daher breiter als die Urheberschaft der schlechten Einstellung. TSE konnte sich vernünftigerweise auf ein genaues Handbuch eines spezialisierten Anbieters verlassen, und das Komitee legte die Hauptverantwortung für diesen Fehler auf Fujitsu. Aber TSE kontrollierte die Abnahmekriterien für ein System, dessen Versagen einen nationalen Markt stoppen konnte. Das Komitee befand, dass TSE angesichts der Bedeutung des NAS in gewissem Maße tatsächliche Funktionsverlusttests hätte verlangen müssen und teilweise dafür verantwortlich war, den Einstellungsfehler nicht erkannt zu haben.

TSE besaß auch das Design der Marktkontinuität um technisches Versagen herum. Mehrere Stoppmechanismen teilten den ausgefallenen NAS; ein Reboot-und-Neustart war nicht einmal in einer Testumgebung getestet worden; die Teilnehmer hatten keine vereinbarte Auftragsbehandlung; und die Wiederaufnahmekriterien waren nicht explizit. Dies sind Börsenkontrollen, selbst dort, wo die Kooperation von Teilnehmern und Anbietern notwendig ist.

Die Ganztagsentscheidung sollte nicht in eine separate Fehlerfeststellung umgewandelt werden. Das Komitee fand keinen Entscheidungsfehler darin, geschlossen zu bleiben. TSEs Rechenschaftspflicht liegt in der Vor-Ereignis-Architektur und den Regeln, die eine faire gleichtägige Wiedereröffnung unbeweisbar machten, zuzüglich der Pflicht, sie zu korrigieren.

Japan Exchange Group: Muttergesellschafts-Governance und Gruppenresilienz

JPX besaß das Gruppenrisiko-Governance, die Ressourcenzuweisung und die Aufsicht über TSE. Das Ereignis betraf andere Kassabörsen, die arrowhead nutzten, und warf gemeinsame Fragen für die Osaka Exchange und andere Gruppenmarktfunktionen auf, obwohl die OSE-Derivate geöffnet blieben. Die Muttergesellschaftsverantwortung umfasste daher mehr als die Beaufsichtigung eines Einsatzteams.

Die FSA ordnete an, dass JPX die Gruppengesellschaften Systeme inspizieren und frühe Wiederherstellung üben lassen, teilnehmerinklusive Neustartregeln erstellen und die Entwicklung und Wartung in Richtung Resilienz neu ausbalancieren müsse. Der unabhängige Bericht forderte ebenfalls gruppenweite Zuverlässigkeit und „allseitige“ Kommunikation. Die Rolle von JPX bestand darin, das Versagen einer Tochtergesellschaft in einen Standard über die Marktgeschäfte hinweg umzuwandeln, nicht anzunehmen, die fehlerhafte Konfiguration sei isoliert gewesen.

Fujitsu: Markenproduktlieferant, Systemintegrator und Wartungsanbieter

Fujitsu hatte mehrere Kontrollen. Es lieferte den ETERNUS NR1000 unter seiner Marke; seine Produktgruppe validierte das OEM-Produkt und die Dokumentation; seine arrowhead-Ingenieure schrieben die detaillierte NAS-Einstellung; es entwickelte, wartete und servicete das Börsensystem; und es lieferte die Einsatzbefehle. Diese Rollen gaben Fujitsu praktische Kontrolle über die Spezifikationsänderungskette und die Übersetzung vom Produktverhalten zur Systemanforderung.

Die Untersuchung kam zu dem Schluss, dass Fujitsu für das fehlerhafte Handbuch verantwortlich war und eine wesentliche Verantwortung für die fehlerhafte Einstellung trug. Sie stellte auch unzureichende Produktgruppenvalidierung, Kommunikation mit dem OEM-Lieferanten, Fehlerzustandstests, interne Koordination und Vorbereitung für manuelle Umschaltung fest. Fujitsu selbst akzeptierte, dass eine OEM-Beziehung die Lieferqualitätsverantwortung nicht übertrug.

Fujitsu kontrollierte nicht, ob TSE den Markt rechtlich öffnete oder schloss, welche Aufträge gültig waren oder welche Teilnehmerbreite für die Preisbildung ausreichte. Noch stellt die zitierte Aufzeichnung die private vertragliche Schadenszuweisung fest. Anbieterverantwortung und Börsenverantwortung sind überlappende Kontrollen, keine Nullsummenwahl.

Der unbenannte OEM-Lieferant

Der Bericht nennt die zugrundeliegende NAS-Quelle „Unternehmen A“. Dieser Lieferant änderte das Produktverhalten und den ursprünglichen Standard, während seine Spezifikation die Verhaltensänderung nicht angemessen erfasste. Er beteiligte sich auch an der Komponentenuntersuchung. Diese Tatsachen stützen eine operative Rolle bei der Produktspezifikation und Testevidenz.

Die öffentliche Aufzeichnung hält die Identität des Lieferanten und den Vertrag zurück und veröffentlicht keine unabhängige Stellungnahme. Es wäre unseriös, einen Prozentsatz rechtlicher Verantwortung zuzuweisen oder Verschleierung zu folgern. Die explizite Akzeptanz der Markenlieferqualität durch Fujitsu bedeutet, dass die OEM-Beziehung die kundenorientierte Kontrolle von Fujitsu nicht aufhob.

Handelsteilnehmer und Gemeinschaftssystemanbieter

Broker kontrollierten ihre Auftragszustandsmaschinen, Kundenanweisungen, Vorfinanzierung, Ausnahmebehandlung und die Bereitschaft, abzugleichen und erneut zu senden. Gemeinschaftsplattformanbieter kontrollierten, ob viele Teilnehmer eine außergewöhnliche Wiederherstellung durchführen konnten. Ihre Unfähigkeit, einen Reboot zu unterstützen, war eine beitragende Kontinuitätstatsache, aber die Untersuchung rahmte sie nicht als Fehlverhalten: TSE hatte das Verfahren mit ihnen weder vereinbart noch getestet.

Nach dem Ereignis schuf die Teilnahme wechselseitige Pflichten. TSE musste klare Regeln und Testeinrichtungen veröffentlichen; die Teilnehmer mussten die vereinbarte Behandlung implementieren und üben. Eine Neustartregel, die nur in der Börsendokumentation existiert, ist keine Marktkontinuität. Umgekehrt kann ein Teilnehmer keine gleichtägige Wiedereröffnung verlangen und sich gleichzeitig weigern, die Nachrichten- und Kundenstatus-Kontrollen aufzubauen, die sie fair machen.

Regulierungsbehörden

Die FSA entwarf nicht arrowhead oder betrieb die Einsatzleitung. Ihre Kontrollen bestanden aus Aufsicht, Berichtsanforderungen, Inspektion und Durchsetzung. Die Verfügung vom 30. November dokumentierte System-, Verfahrens- und Governance-Mängel und verlangte eine regelmäßige Berichterstattung. Die Rolle der Regulierungsbehörde bestand darin, einen unternehmerischen Sanierungsplan in überwachte Verpflichtungen umzuwandeln und die explizite Übernahme von Verantwortung zu verlangen.

Das Ereignis testete auch die Grenzen der Compliance-durch-Verfügbarkeitsmetrik. Eine Börse kann eine hohe historische Betriebszeit melden, ohne über eine glaubwürdige Wiederherstellung aus einem abnormalen Stopp zu verfügen. Die regulatorische Rechenschaft sollte daher getestete Zustandsabstimmung, unabhängige Stoppfade, Teilnehmerabdeckung und Evidenz aus disruptiven Übungen untersuchen, nicht nur nominelle Redundanz und Ausfalldauer.

FSA-Feststellungen und Management-Rechenschaft

Die FSA stellte fest, dass ein Produktfehler das Ereignis direkt verursachte, die Einstellungen für die automatische Umschaltung unzureichend waren und die Neustartregeln der TSE ungenügend waren.

Für TSE verlangte die Verfügung vier zusammenhängende Programme: Überprüfung der Einstellungen und Änderungskontrollprozesse, einschließlich der Anforderungen an ausgelagerte Anbieter; Beseitigung kritischer Handelsaussetzungsabhängigkeiten vom ausgefallenen Gerät und Inspektion aller Systemabhängigkeiten; Schaffung wirksamer Auftragsannahme- und Neustartregeln mit Teilnehmertests; und Ausweitung der Resilienz parallel zur „Never Stop“-Zuverlässigkeit.

Für JPX verlangte die FSA, dass die Gruppengesellschaften Systeme inspizieren und für frühe Wiederherstellung trainieren, vorab vereinbarte Neustartentscheidungen mit Teilnehmern etablieren und die Resilienz in Entwicklung und Wartung verbessern. Eine offizielleenglische Referenzübersetzung der Verfügungbewahrt diese Anforderungen für nicht-japanische Leser. Das japanische Original ist maßgeblich, falls die Übersetzung abweicht.

JPXsVerantwortungsoffenlegung vom 30. Novemberidentifizierte dann die Managementkonsequenzen. TSE-Präsident Miyahara Koichiro trat von TSE und als JPX-Gruppen-Co-COO zurück. Das Monatsgehalt von JPX-CEO Kiyota Akira wurde für vier Monate um 50 % gekürzt, das von CIO Yokoyama Ryusuke um 20 % für vier Monate und das eines TSE-Führungsmitglieds um 10 % für vier Monate; zwei Abteilungsleiter erhielten strenge Verwarnungen.

Fujitsu folgte mit einerBekanntmachung zu Führungsmaßnahmen vom 3. Dezember. Die monatliche Vergütung seines Präsidenten wurde für vier Monate um 50 % gekürzt, die seines stellvertretenden Präsidenten um 30 % und die von drei leitenden Angestellten um 20 % oder 10 %; drei Corporate Executive Officers erhielten strenge Verwarnungen. Das Unternehmen verknüpfte diese Maßnahmen mit der fehlgeschlagenen automatischen Umschaltung und begann eine breitere Systemüberprüfung und Stärkung der Qualitätssicherung.

Diese Maßnahmen machen die Management-Rechenschaft sichtbar, aber sie beweisen nicht die Verhältnismäßigkeit oder Wirksamkeit. Ein Rücktritt und Gehaltskürzungen zeigen, dass die Gremien institutionelle Konsequenzen zuschrieben. Sie ersetzen keine Konfigurationsevidenz, unabhängige Tests, Teilnehmerbereitschaft oder die Nachverfolgung durch eine Regulierungsbehörde. Noch sind es Feststellungen, dass die genannten Führungskräfte das Gerät persönlich konfiguriert oder ein rechtliches Fehlverhalten begangen hätten.

Reparaturnachweis: Von der Konfigurationskorrektur zu einem neustartfähigen Markt

Sofortiger technischer Nachweis

Der stärkste sofortige Nachweis war keine politische Erklärung. TSE und Fujitsu reproduzierten den Fehlerzustand auf tatsächlicher Ausrüstung, beobachteten die korrekte Übernahme mit der geänderten Einstellung und setzten dannOn Panic=Truein der Produktion ein. Sie überprüften alle NAS-Einstellungen anhand der Anforderungen und des Produktverhaltens, mit tatsächlichen Ausrüstungschecks für nicht standardmäßige Werte. Sie bestätigten auch ein erzwungenes Umschaltverfahren für Fälle, in denen die Automatisierung immer noch versagte.

Diese Evidenz adressiert direkt den bekannten kausalen Pfad. Ihre Grenze ist der Umfang: Sie beweist ein getestetes Szenario und eine Konfiguration, nicht alle denkbaren Controller-, Netzwerk-, Speicher- oder Korruptionszustände. Das Komitee warnte ausdrücklich, dass „unerwartete“ Ausfälle weiterhin möglich seien und dass Anbieter umfassende Szenariotests durchführen sollten.

Unabhängiger Marktstopp-Nachweis

TSE untersuchte, ob ein Gerät oder eine Funktion eine Handelsaussetzungsanweisung verhindern konnte, und entwickelte einen Notfall-Halt-Pfad, der nicht über den NAS führte. Dies adressierte die versteckte gemeinsame Abhängigkeit, die die Load-Balancer-Isolation erzwang. Die Kontrolle sollte anhand periodischer Ausführungsevidenz beurteilt werden, einschließlich des Nachweises, dass sie das Matching und die Auftragsannahme stoppt und gleichzeitig eine prüfbare Aufzeichnung bewahrt, nicht nur durch das Vorhandensein eines separaten Knopfes oder Jobs.

Vereinbarter Neustart- und Auftragszustandsnachweis

TSE richtete einen Rat für Wiederholungsvermeidungsmaßnahmen mit Wertpapierfirmen, Investoren, Systemanbietern und FSA-Beobachtern ein. Die offizielleAufzeichnung des Ratesbewahrt drei Ratssitzungen und neun Sitzungen spezialisierter Arbeitsgruppen. Dieses Forum wandelte den Neustart von einer internen Börsenentscheidung in ein Marktprotokoll um.

DerAbschlussbericht des Rates vom März 2021definierte Regeln nach Ausfallzeitpunkt und -typ, Auftragsannahme, Neustart-Entscheidungsfenster, Teilnehmerkonsultation, Informationsrhythmus und Übungen. Er besagt, dass eine Benutzerübung am 23. Januar 2021 den neuen Informationsprozess testete und dass im Februar der Live-Betrieb der arrowhead-Informationen begann. Dies ist ein Nachweis der Implementierung, nicht nur der Absicht.

Die dauerhafteSeite zur Systemneustart-Wiederaufnahmeder TSE gibt die betrieblichen Konsequenzen an. Ein Reboot löscht börsenseitige Aufträge; Teilnehmer senden anvertraute Kundenaufträge grundsätzlich erneut, sofern nicht anders vereinbart; teilweise ausgeführte Aufträge benötigen eine Verknüpfung; gültige Ausführungen vor dem Fehler bleiben grundsätzlich gültig; neugestartete FLEX-Daten spiegeln den Zeitraum nach dem Neustart wider, wobei konsolidierte Tagesinformationen später veröffentlicht werden; und Preis-, Unternehmensinformations-Halt- und Leerverkaufsregeln haben eine explizite Behandlung. Dies sind genau die Zustandsabfragen, für die es am 1. Oktober keine vereinbarte Antwort gab.

TSE eröffnete 2021 auch einenProzess zur öffentlichen Kommentierungfür Mängel in Transaktionsdetailmitteilungen, die durch Systemausfälle verursacht wurden. Die Veröffentlichung der vorgeschlagenen Behandlung und der Antworten auf Kommentare macht die rechtlich-operationale Grenze über den Einsatzraum hinaus überprüfbar.

Gruppenebenen-Nachweis und verbleibende Arbeit

DieÜberprüfung des Managementplans für das GJ2020von JPX berichtete den Abschluss der korrigierten Einstellungen und umfassenden Überprüfungen, der erzwungenen Umschaltverfahren, der Schlüsselsystemüberprüfungen und einer NAS-unabhängigen Handelsstopp-Funktion. Sie beschrieb Tests und Übungen als laufend und die Ratsregeln als Grundlage für die kontinuierliche Wirksamkeitsüberprüfung. Diese Offenlegung ist ein nützlicher Managementnachweis, obwohl sie eine Erste-Partei-Statusberichterstattung und keine externe technische Zertifizierung bleibt.

Die Abhängigkeit ging über TSEs eigene Notierungen hinaus. DieMitteilung vom 1. Oktoberder Nagoya Stock Exchange besagte, dass ihr ganztägiger Stopp sich aus dem von ihr genutzten TSE-Handelssystem ergab. Die Fukuoka Stock Exchange gab ebenfallsAnweisungen für die Abwicklung des nächsten Tagesnach ihrer ganztägigen Aussetzung heraus. Die Reparatur musste daher die regionalen Börsen koordinieren, die arrowhead nutzten, nicht nur die JPX-Töchter.

Die spätere Systementwicklung liefert zusätzliche, aber nicht abschließende Kontinuitätsevidenz. Die aktuellearrowhead Service-Historievon JPX verzeichnet die vierte Generation, die im November 2024 mit Resilienz als explizitem Ziel live ging, zusammen mit synchronisierter Drei-Knoten-Handelsdatenverarbeitung und aktuellen wiederherstellungsorientierten Funktionen. Eine erfolgreiche neue Generation zeigt Investition und geänderte Designprioritäten. Sie kann nicht rückwirkend beweisen, dass jede Schwäche von 2020 zu jedem Zeitpunkt nach dem Vorfall abwesend war.

Bestätigte Tatsachen, unterstützte Folgerungen, umstrittene Behauptungen und Unbekannte

Bestätigte Tatsachen

Die Speicherkarte fiel aus; das NAS-Paar schaltete nicht automatisch um;On Panic=Falsehatte ein anderes tatsächliches Verhalten als das handbuchbasierte Verständnis; repräsentative Panikzustandstests waren abwesend; alle normalen und Notfall-Stopp-Pfade hingen von NAS-Dateien ab; die erzwungene Übernahme gelang um 09:26; die um 09:00 verbreiteten Auktionsausführungsdaten waren ungültig; einige ToSTNeT-Transaktionen blieben gültig; ein gleichtägiger Reboot war nicht getestet worden; die geschätzte Wiederaussendungsbereitschaft betrug etwa 38 % nach Handelswert und war auf ausländische Firmen beschränkt; TSE blieb geschlossen; der normale Handel wurde am 2. Oktober abgeschlossen; die FSA erließ zwei Geschäftsverbesserungsverfügungen; sowohl JPX/TSE als auch Fujitsu verhängten Managementkonsequenzen; und technische sowie verfahrenstechnische Abhilfemaßnahmen folgten.

Unterstützte Folgerungen

Nominale Hardware-Redundanz war keine betriebliche Redundanz, weil der eingesetzte Zustand, das Handbuch, der Test und der manuelle Übersteuerungspfad gemeinsam keine Übernahme nachwiesen. Der gemeinsam genutzte NAS schuf eine Steuerungsebenen-Common-Mode, obwohl die Matching-Daten andere Synchronisationsschutzmechanismen hatten. „Never Stop“ wurde zu einer beitragenden Governance-Bedingung, als die Öffnungsroutinen trotz unvollständiger Bereitschaftsevidenz als Standard behandelt wurden.

Die Entscheidung, geschlossen zu bleiben, schützte die Marktintegrität, während die Unfähigkeit zur Wiedereröffnung eine vermeidbare Kontinuitätslücke offenbarte. Dies sind Kontrollschlussfolgerungen, die durch die Aufzeichnung gestützt werden, keine rechtlichen Urteile.

Umstrittene Behauptungen

Keine wesentliche kausale Streitigkeit zwischen TSE, JPX, FSA und Fujitsu erscheint in der zitierten formellen Aufzeichnung. Frühe verkürzte Darstellungen, die den Vorfall der Hardware zuschrieben, wurden durch die dokumentierte Einstellungs- und Governance-Kette ersetzt und sind ohne sie unvollständig. Öffentliche Behauptungen, TSE hätte die Märkte einfach wieder einschalten können, werden durch die zurückgehaltenen Mitteilungen, den Teilnehmerstatus und die Bereitschaftsevidenz widerlegt. Da keine formelle Partei eine getestete gleichtägige Alternative vorlegte, konstruiert dieser Artikel keinen zweiseitigen Streit.

Unbekannte

Die öffentliche Aufzeichnung identifiziert Unternehmen A nicht, veröffentlicht nicht den OEM-Vertrag, legt keinen Quellcode oder vollständige Konfigurationsdateien offen, liefert keinen vollständigen Laborbericht der ausgefallenen Karte und zeigt nicht jeden internen Überprüfungskommentar. Sie quantifiziert nicht den wirtschaftlichen Verlust jedes Anlegers, stellt nicht fest, ob TSE oder Fujitsu private Entschädigungen zahlten, und entscheidet nicht über vertragliche Haftung. Sie veröffentlicht keine teilnehmerindividuellen Bereitschaftsantworten und beweist nicht, dass die 38 %-Schätzung exakt war.

Sie liefert keine vollständigen unabhängigen Ergebnisse für jede spätere Übung und beweist nicht, dass alle regionalen und Teilnehmersysteme jede Regel zur gleichen Zeit implementierten.

Kontrafaktische Kontrollen und das Beweismaß

Was die Auswirkungsaufzeichnung beweist und was nicht

Die kritische Auswirkung des Vorfalls ist bestätigt, ohne eine Yen-Verlustschätzung zu erfinden. TSE bot für den gesamten geplanten Tag keine Auktionshandelsmöglichkeit; ToSTNeT stoppte nach dem Voreröffnungsintervall; Nagoya und Fukuoka setzten den Handel ebenfalls aus, weil sie das TSE-System nutzten; öffentliche Marktdaten mussten für ungültig erklärt und korrigiert werden; und Broker, Emittenten und Anleger mussten offene Investitionsentscheidungen in die nächste Sitzung mitnehmen. Die zentrale Preisfindungsfunktion der Börse war nicht verfügbar, obwohl die Derivate an der Osaka Exchange fortgesetzt wurden.

Die öffentlichen Quellen liefern kein vollständiges kontrafaktisches Transaktionsbuch, das zeigt, was jeder Anleger ohne den Ausfall gekauft oder verkauft hätte, zu welchem Preis. Noch aggregieren sie die Kosten der Broker-Sanierung, Slippage bei der Absicherung an anderen Handelsplätzen, verzögerte Emissionstätigkeit, Indexeffekte oder private Ansprüche. Ein Tag ohne Handelsmöglichkeit kann Opportunitätskosten und Risikoexposition verursachen, aber diese Ergebnisse hängen von der Anlegerabsicht und späteren Preisen ab.

Dieser Artikel wandelt daher weder Marktkapitalisierung, einen durchschnittlichen Tagesumsatz noch einen nicht ausgeführten Auftragswert in Schäden um.

Die institutionelle Auswirkung ist unabhängig signifikant. Die FSA stellte fest, dass der ganztägige Stopp das Anlegervertrauen in eine Finanzinstrumentebörse schwer beschädigte, verlangte eine regelmäßige Sanierungsberichterstattung und forderte explizite Verantwortung. Die regionale Abhängigkeit zeigte, dass ein Kontrollversagen rechtlich getrennte Märkte betreffen konnte. Die Managementmaßnahmen bei JPX/TSE und Fujitsu zeigten, dass beide Gremien das Ereignis als Governance-Versagen behandelten, nicht als routinemäßige Komponentenwartung. Diese Tatsachen stützen dieKRITISCHEAuswirkungsbewertung, während sie den Unterschied zwischen dem Verlust eines nationalen Preisfindungsdienstes, messbaren Reaktionskosten und unbewiesenem privatem monetärem Verlust bewahren.

Die engste präventive Kontrafaktische ist direkt: MitOn Panic=Truehätte der empfangende Controller nach der Panikmeldung sofort die Übernahme eingeleitet. Die Reproduktion auf tatsächlicher Ausrüstung vor der Produktionsänderung stützt diese Schlussfolgerung für den bekannten Zustand.

Eine stärkere präventive Kontrafaktische ist governance-basiert. Wenn jede Produktverhaltensänderung auf Systemanforderungen abgebildet worden wäre, hätten der geänderte Standard und die Paniksemantik eine Überprüfung ausgelöst. Wenn der exakte eingesetzte Nicht-Standardwert der TSE unter Controllerverlust und nicht nur unter Herzschlagunterbrechung getestet worden wäre, hätte die Inkonsistenz vor dem Betrieb erkannt werden können. Wenn das Annahmegatter Evidenz für jeden Auslösezweig verlangt hätte, hätte ein generisches „Failover-Test bestanden“-Ergebnis die Anforderung nicht geschlossen.

Auswirkungsreduzierende Kontrollen sind getrennt. Ein validiertes Erzwungene-Übernahme-Runbook hätte die Speicherwiederherstellung verkürzen können. Ein NAS-unabhängiger Befehl, der das Matching und die Auftragsannahme stoppte, hätte zurückgehaltene Ausführungsmitteilungen verhindern können. Ein Markteröffnungs-Gatter hätte die Auftragsannahme um 08:00 stoppen können, sobald kritische Kontrollbildschirme und Kommunikationen beeinträchtigt waren. Vorab vereinbarte Reboot-Semantik und Teilnehmerübungen hätten eine breite, faire Neuaussendung und gleichtägige Wiederherstellung ermöglichen können.

Der Nachweis muss geschichtet sein.Konfigurationsnachweisumfasst signierte Inventare, Anforderungs-zu-Einstellungs-Zuordnungen und Tests auf tatsächlichen Geräten.Fehlerdomänen-Nachweisumfasst destruktive oder Fehlerinjektions-Übungen über Panik, Herzschlag, partielle I/O, Kontrollverlust und veraltete Eigentümerzustände hinweg.Marktkontrollnachweisdemonstriert, dass unabhängige Halt-Pfade die beabsichtigten Prozesse stoppen und autoritative Protokolle bewahren.Neustartnachweisgleicht Börsen-, Broker-, Kunden-, öffentliche Daten- und Clearing-Zustände ab.Partizipationsnachweismisst, welcher Anteil und welche Diversität des Marktes innerhalb jedes Wiederherstellungsfensters zurückkehren können.Governance-Nachweiszeichnet Ausnahmen, Eigentümer, Fristen, Board-Überprüfung und Regulierungs-Nachverfolgung auf.

Betriebszeit ist nur ein Ergebnis. Eine resiliente Börse muss in der Lage sein, sicher zu stoppen, zu erklären, was gültig ist, aus einem bekannten Zustand wiederherzustellen, einen repräsentativen Markt einzuschließen und Evidenz zu produzieren, dass jeder Schritt funktionierte. Der Ausfall von 2020 zeigte, warum ein Standby-Gerät, ein Notfallplan und mehrere Notfallfunktionen alle existieren können, während die Kontinuität unbewiesen bleibt.

Schlussfolgerung

Der Ausfall vom 1. Oktober 2020 wurde durch einen physischen Speicherfehler ausgelöst, aber seine Bedeutung kam vom versagten Eindämmung. Eine veraltete Produktbeschreibung, eine übernommene Einstellung, eine ungetestete Paniksequenz und unzureichende manuelle Umschaltvorbereitung besiegten die Speicherredundanz. Die gemeinsame Abhängigkeit deaktivierte dann Marktdaten- und Handelsstopp-Kontrollen. Die Auftragsannahme und die netzwerkebenen Kappung schufen einen Zustand, der unter keiner eingeübten Regel sicher mit den Teilnehmersystemen abgeglichen werden konnte.

TSEs Entscheidung, mitten am Tag nicht neu zu starten, war kein Beleg für Gleichgültigkeit gegenüber Kontinuität. Aus der offiziellen Aufzeichnung war es eine rationale Marktintegritätsentscheidung: Ein Wiederanschluss riskierte die Lieferung ungültiger Ausführungen, ein Reboot riskierte den Ausschluss des größten Teils der inländischen und privaten Teilnahme, und keiner der Wege war getestet worden. Das Rechenschaftsversagen trat früher ein, als das Börsenökosystem einen sicheren Neustart nicht zu einer gestalteten und nachgewiesenen Fähigkeit gemacht hatte.

Die Verantwortung folgte der Kontrolle. Fujitsu besaß die Markenproduktdokumentation, das Einstellungsdesign, die Produktvalidierung und wichtige Wartungsfunktionen und akzeptierte ein erhebliches Verschulden in dieser Kette. TSE besaß die Abnahmekriterien, die unabhängige Halt-Architektur, die Marktregeln und die Teilnehmerbereitschaft. JPX besaß die Gruppenaufsicht und die Resilienzprioritäten. Die Teilnehmer besaßen ihre Auftrags- und Kundenstatus-Wiederherstellung, sobald die Börse ein vereinbartes Protokoll lieferte. Die FSA besaß die aufsichtsrechtliche Durchsetzung und verlangte, dass diese Kontrollen explizit wurden.

Die Reparaturaufzeichnung ist glaubwürdig, weil sie mehr als Entschuldigungen enthält: eine ersetzte Platine, eine Failover-Reproduktion auf tatsächlicher Ausrüstung, eine korrigierte Produktionseinstellung, eine einstellungsweite Überprüfung, erzwungene Umschaltverfahren, eine unabhängige Halt-Entwicklung, Teilnehmerübungen, veröffentlichte Neustart-Semantik, Informationsrhythmus und Resilienzarbeit auf Gruppenebene. Ihre verbleibende Grenze ist ebenso wichtig. Kein endlicher Test beweist, dass ein Markt niemals stoppen wird.

Das rechenschaftspflichtige Ziel ist zu zeigen, dass, wenn eine unvorhergesehene Komponente oder ein Zustand ausfällt, der Markt autoritativ anhalten, die Wahrheit bewahren, breit erholen und demonstrieren kann, warum eine Wiedereröffnung fair ist.