Tokyo Stock Exchange convirtió la conmutación por error de hardware en una prueba de responsabilidad sobre la continuidad del mercado

Resumen

• A las 07:04 hora estándar de Japón del 1 de octubre de 2020, arrowhead detectó un gran volumen de mensajes de error de acceso provenientes de la memoria de un controlador de un dispositivo de almacenamiento conectado a la red (NAS) de doble nodo. Eldesencadenantefue un fallo del equipo. Un componente puede fallar dentro de su vida útil; la redundancia existía precisamente para contener ese evento.
• Lacausa técnica raízfue que el parámetroOn Panicdel NAS estaba configurado comoFalsebajo el entendimiento obsoleto de que la toma de control estándar aún ocurriría. En la especificación real del producto, un mensaje de pánico que llegaba antes de la pérdida de latido implicaba que no se iniciara ni la toma de control inmediata ni la estándar. Un manual desactualizado, un control de cambios de especificación insuficiente y pruebas de fallo no representativas produjeron esa configuración.
• El par de almacenamiento contenía archivos compartidos utilizados por la distribución de datos de mercado, las pantallas de supervisión y las tres vías de suspensión de la negociación, tanto ordinarias como de emergencia. Esta dependencia común fue unacondición contribuyente: existían múltiples controles nominales, pero cada uno esperaba al mismo NAS indisponible.
• TSE detectó los síntomas rápidamente, formó un cuartel general de emergencia y trabajó con Fujitsu. Sin embargo, su herramienta de diagnóstico también se bloqueó, los comandos predefinidos de toma forzada resultaron insuficientes y varios intentos fallaron antes de que un comando modificado transfiriera el control al NAS No. 2 a las 09:26.
• La aceptación de órdenes había comenzado a las 08:00. Dado que TSE no pudo detener la ejecución normalmente, aisló arrowhead y ToSTNeT en los balanceadores de carga de la red a las 08:54 y 08:56. El procesamiento interno de ejecución continuó para las órdenes de subasta aceptadas, y FLEX difundió aproximadamente un minuto de datos de ejecución después de las 09:00. TSE declaró inválidos esos datos de subasta; por separado confirmó que las ejecuciones de ToSTNeT que cumplían los requisitos eran válidas. Por tanto, la integridad de los datos de mercado requirió una clasificación jurídica y operativa, no simplemente volver a conectar un cable.
• Reiniciar sin un reinicio completo habría liberado avisos de ejecución retenidos que TSE ya había declarado inválidos. Un reinicio completo podía borrar las órdenes y ejecuciones del lado de la bolsa, pero los participantes no recibirían mensajes ordinarios de expiración y muchos no podrían reconstruir ni reenviar las órdenes de los clientes. Las consultas de TSE indicaron que solo alrededor del 38% del valor de negociación, limitado por tipo de participante a las sociedades de valores extranjeras, podía estar preparado. El comité de consejeros independientes consideró razonable la decisión de suspender toda la jornada dadas las circunstancias.
• Ese mismo comité y la Agencia de Servicios Financieros separaron la razonabilidad de larespuestade las insuficiencias previas al incidente. TSE no había probado el reinicio y la reanudación ni siquiera en un entorno de pruebas, no había acordado el tratamiento de las órdenes con los participantes ni había establecido un proceso claro de reinicio en el mismo día. Una decisión defendible de no reabrir no borra el fallo de control de continuidad que hizo impracticable una reapertura segura.
• Fujitsu suministró el almacenamiento OEM bajo su marca, redactó o transmitió la documentación del producto, diseñó la configuración en los documentos detallados, desarrolló y mantuvo arrowhead, y prestó soporte durante el incidente. Fujitsu aceptó públicamente su responsabilidad por la calidad del envío y por pruebas insuficientes. La investigación atribuyó una responsabilidad sustancial a Fujitsu por el error del manual y la cadena de configuración, al tiempo que concluyó que TSE debería haber exigido, en cierta medida, pruebas de fallo acordes con la importancia del NAS.
• La FSA emitió órdenes de mejora empresarial tanto a TSE como a JPX en virtud de diferentes disposiciones de la Ley de Instrumentos Financieros y Bolsa. Exigió controles de cambios de especificación, revisión de dependencias, suspensión de la negociación independiente del NAS, reglas y simulacros para los participantes, inspección a nivel de grupo y un cambio desde un enfoque predominantemente de «Nunca detenerse» hacia la resiliencia.
• Las consecuencias para la dirección fueron explícitas pero procesalmente acotadas: el presidente de TSE, Miyahara Koichiro, dimitió; los directivos de JPX y TSE sufrieron reducciones salariales o advertencias formales; Fujitsu redujo la remuneración de cinco directivos y advirtió a tres altos cargos. Se trató de acciones de gobierno corporativo derivadas de órdenes regulatorias, no de sentencias judiciales sobre daños, negligencia o responsabilidad penal.
• Existenpruebas de reparaciónen varios niveles: sustitución de la placa base y negociación supervisada el 2 de octubre; una prueba con el equipo real seguida deOn Panic=Trueen producción el 4 de octubre; una revisión completa de la configuración del NAS; procedimientos de conmutación forzada; una vía de detención de emergencia independiente del NAS; simulacros con los participantes; reglas publicadas de reinicio, órdenes e información; y trabajos posteriores de resiliencia en arrowhead. Estos elementos mejoran materialmente la garantía, pero ninguna fuente pública demuestra que todos los estados posibles del hardware, los sistemas de los participantes o los fallos futuros puedan recuperarse sin interrupción.

Límite de la evidencia y postura procedimental

Este análisis utiliza cinco etiquetas de evidencia. Unhecho confirmadose expresa directamente en un aviso contemporáneo de la bolsa, un informe técnico, una comunicación empresarial, un registro normativo o una acción regulatoria. Unainferencia respaldadaconecta hechos confirmados para el análisis de control sin pretender una adjudicación. Unaalegación controvertidarequiere posiciones materialmente contrapuestas; la mera falta de exhaustividad o un refinamiento posterior no constituye controversia. Undesconocidoes una cuestión que el registro público no resuelve. Unhallazgo legal o regulatoriose atribuye únicamente al organismo que lo emitió y solo en el marco de ese procedimiento.

El principal registro forense es el informe del comité independiente de consejeros externos de JPX. Sutraducción al ingléses inusualmente explícita sobre su propia limitación: el comité estaba compuesto por consejeros externos de JPX, no era un comité de terceros convencional, se basó en materiales e información proporcionados por JPX y TSE para la cronología de los hechos, y no tuvo como objetivo principal la investigación proactiva de los hechos ni la determinación de responsabilidades legales. Evaluó la versión de las empresas, los métodos de investigación, la respuesta y las soluciones propuestas, incluida la investigación de Fujitsu. Se trata de un sólido registro formal de gobernanza, pero no de un pronunciamiento judicial independiente.

Laresolución administrativa japonesa de la FSAtiene una naturaleza diferente. El regulador solicitó informes el 2 de octubre, los recibió el 16 de octubre y realizó inspecciones in situ antes de emitir las órdenes de mejora empresarial el 30 de noviembre. Sus conclusiones poseen, por tanto, autoridad regulatoria. No deciden sobre compensaciones privadas, no asignan daños contractuales entre TSE, Fujitsu y el proveedor OEM no identificado, ni establecen conductas delictivas.

Las comunicaciones de Fujitsu son admisiones y descripciones realizadas por un proveedor directamente implicado. El 19 de octubre declaró que el ETERNUS NR1000 fue suministrado por otro desarrollador-fabricante como producto OEM, pero que Fujitsu asumía la responsabilidad por la calidad del envío. Reconoció que el manual no reflejaba un cambio de especificación derivado de una actualización del sistema operativo y que sus pruebas y confirmación fueron insuficientes. Estas declaraciones constituyen una prueba de primera parte importante; no son una auditoría externa de todos los registros de ingeniería de Fujitsu o del proveedor.

El relato causal se perfeccionó, no se cuestionó materialmente. Las comunicaciones de TSE del 1 y 5 de octubre describieron un fallo del módulo de memoria y una conmutación fallida. La investigación posterior distinguió el evento del componente, el mecanismo de configuración y las condiciones operativas que ampliaron el impacto. Ninguna fuente citada de JPX, TSE, FSA o Fujitsu cuestiona formalmente esa cadena.

Las afirmaciones de que la interrupción de todo el día fue «solo un fallo aleatorio del hardware», o por el contrario que no hubo un fallo real del hardware, son inconsistentes con el registro formal, en lugar de tratarse de disputas institucionales preservadas.

Cronología antes de la asignación

Antes del 1 de octubre: un sistema de alta velocidad con supuestos heredados

Arrowhead funcionaba desde 2010. La tercera generación entró en funcionamiento el 5 de noviembre de 2019 tras una renovación de hardware y una mejora de rendimiento. Elaviso conjunto de lanzamiento de TSE y Fujitsudestacaba la funcionalidad, el rendimiento estable y un mercado seguro y protegido. La investigación describió posteriormente un sistema compuesto por cientos de servidores sincronizados que aceptaban órdenes, las casaban, devolvían avisos de ejecución, distribuían información de mercado, interactuaban con la compensación y proporcionaban funciones de supervisión y control. Su tiempo de respuesta a las órdenes anunciado era de aproximadamente 200 microsegundos.

Ese contexto de velocidad es importante porque la continuidad no consiste solo en preservar la disponibilidad del servidor. Una bolsa debe preservar un estado común a través de las órdenes, las ejecuciones, las notificaciones oficiales, la información pública de precios, la supervisión, los libros de los participantes y la compensación final. Un emparejamiento rápido aumenta la cantidad de estado que puede divergir en segundos cuando un plano de control se ve afectado.

El par NAS no contenía el libro de órdenes sincronizado central como sustituto de la arquitectura de emparejamiento de arrowhead. Contenía archivos comunes, como información de emisores y usuarios, que necesitaban múltiples servidores y funciones operativas. Centralizar esos archivos favorecía la coherencia y un diseño eficiente. También implicaba que los procesos de datos de mercado y control podían esperar al mismo servicio de almacenamiento si la conmutación por error fallaba.

La configuración clave era anterior a la tercera generación. Según el comportamiento antiguo del producto,On Panic=Falsedesactivaba la toma de control inmediata, pero la toma de control estándar seguía produciéndose tras la pérdida de latido. Esa configuración funcionó en la primera y segunda generación. Durante una evolución posterior del producto, la especificación del NAS cambió: si una notificación de pánico llegaba antes de que cesaran los mensajes de latido,Falsetambién impedía la toma de control estándar. El valor predeterminado pasó deFalseaTrue, pero la especificación escrita correspondiente no describía con precisión el cambio de comportamiento. El antiguo valorFalsese trasladó a la tercera generación.

No se trató de un caso en el que TSE no hubiera especificado un objetivo de recuperación. Sus requisitos para la tercera generación exigían que las funciones relacionadas con el NAS conmutaran y continuaran en un plazo de 30 segundos tras un fallo del equipo. El fallo residió entre el requisito, el comportamiento del producto, la configuración detallada, la revisión y la prueba representativa. Un requisito documental de continuidad no demostraba que la unidad de reserva desplegada fuera a cumplirlo.

Incidentes anteriores proporcionaron un contexto de advertencia sin demostrar la repetición del mismo defecto. En 2012, parte de una puerta de enlace de información de mercado falló y se suspendieron 241 valores durante una mañana; la investigación atribuyó ese evento a una conmutación de software incompleta y a una confirmación de conmutación insuficiente. En 2018, una ráfaga de mensajes de un usuario de co-ubicación sobrecargó el equipo de enrutamiento y desconectó varias puertas de enlace de participantes. Elinforme de incidente de TSE de 2018documentó controles de red, comunicación con los participantes y pruebas de fallo ampliadas. Esas reparaciones abordaron esos mecanismos. No probaron el estado preciso de pánico antes del latido que ocurrió en 2020.

07:04-08:36: detección, diagnóstico y decisión de detener

A las 07:04, la monitorización generó numerosos mensajes de irregularidad de acceso para el NAS No. 1. A las 07:10, algunos terminales de supervisión de negociación y gestión de operaciones no pudieron iniciar sesión; otros terminales sí. El estado mixto complicó la evaluación inicial. La herramienta de diagnóstico que debería haber informado del estado del sistema permaneció en ejecución sin devolver un resultado. TSE informó a Fujitsu a las 07:10, y el personal de plataforma y aplicaciones de Fujitsu comenzó el aislamiento conjunto del impacto a las 07:11.

A partir de las 07:30, TSE detectó un retraso en la información de valores y comprobó que no se habían enviado los mensajes programados de mantenimiento de enrutamiento e inicio de comunicación. El CIO Yokoyama Ryusuke dirigió un cuartel general de emergencia por fallo del sistema desde las 07:37. A las 07:55, Fujitsu informó de que los mensajes indicaban que el mecanismo de control del NAS No. 1 había fallado y que la conmutación esperada al NAS No. 2 no se había producido.

A las 08:00, arrowhead comenzó a aceptar órdenes en el horario normal. Esta decisión fue importante más tarde, pero no debe reescribirse con conocimiento a posteriori. El comité determinó que antes de las 08:00 TSE aún no comprendía la totalidad del evento ni su impacto; algunas pantallas estaban disponibles; y el personal creía que los controles de suspensión normales o de emergencia aún podían proteger el mercado si era necesario.

No obstante, posteriormente criticó el supuesto más profundo de «Nunca detenerse», que hacía que la aceptación de órdenes a las 08:00 y la apertura a las 09:00 parecieran absolutas en lugar de condicionadas a la evidencia.

A las 08:01, TSE notificó a los participantes que no se podían enviar los mensajes de inicio de comunicación. La recuperación y el análisis del impacto continuaron en paralelo. TSE eligió las 08:30 como umbral de decisión para suspender todos los valores si la distribución de datos de mercado no se había recuperado, dejando tiempo para notificar a los participantes antes de la apertura de las 09:00. La distribución seguía afectada. A las 08:36, TSE notificó a los participantes la suspensión de conformidad con el Artículo 29, Apartado 4 de su Reglamento de Negociación. Elprimer aviso de mercado en inglésindicaba que un fallo técnico afectaba a la distribución de datos de mercado, que todos los valores listados se detendrían y que se cancelaría la aceptación de órdenes.

La instrucción de decisión y la detención técnica real fueron eventos distintos. La suspensión normal de la negociación requería la pantalla de supervisión de negociación; la suspensión del mercado requería la pantalla de gestión de operaciones; el trabajo de emergencia evitaba esa pantalla pero aún leía archivos del NAS. Todas estaban indisponibles. Por lo tanto, TSE utilizó un control de red diseñado para restringir las órdenes a servidores específicos: cortó el balanceador de carga de arrowhead a las 08:54 y el de ToSTNeT a las 08:56.

Esto impidió nuevas comunicaciones con los participantes, pero no emitió una instrucción normal para detener el emparejamiento.

08:16-09:26: intentos fallidos de toma de control y divergencia de estados

Paralelamente, TSE y Fujitsu intentaron forzar al NAS No. 2 a tomar el control. Las órdenes para apagar el NAS No. 1 a las 08:16 y transferir el control a las 08:26 fallaron. Un bloqueo de puerto a las 08:28 interrumpió la comunicación, pero el NAS No. 1 ya había caído y no se produjo la toma de control. Un intento con condiciones modificadas a las 08:42 también falló. A las 09:23, un comando proporcionado por el grupo de productos de Fujitsu falló; a las 09:26, al añadir opciones a ese comando se logró finalmente la conmutación forzada al NAS No. 2.

A continuación se confirmó que los procesos de datos de mercado y las pantallas de supervisión y gestión funcionaban.

Los 82 minutos transcurridos entre la detección inicial y la toma de control forzada exitosa no fueron simplemente el tiempo de reparación de un componente muerto. Expusieron una brecha de control de recuperación. Dado que los ingenieros asumían que la toma de control automática se produciría, no se disponía de un comando validado ni de un procedimiento manual dependiente del estado. La investigación constató que la preparación en Fujitsu era insuficiente y reconoció que la anticipación del propio TSE era inadecuada.

Mientras tanto, las órdenes aceptadas habían creado un problema de integridad del mercado. La aceptación de órdenes comenzó a las 08:00 y los datos de órdenes en tiempo real fluyeron inicialmente. Dado que la acción sobre el balanceador de carga no detuvo el motor de emparejamiento, arrowhead procesó las órdenes aceptadas hasta las 08:54. El corte de datos de mercado se produjo después de la apertura de las 09:00, por lo que FLEX distribuyó aproximadamente un minuto de datos de ejecución aparentes. A las 09:11, TSE comunicó al mercado que los datos distribuidos hasta ese momento eran inválidos. Sutercer informe en ingléstambién afirmaba que ToSTNeT se había detenido y que todos los datos de FLEX distribuidos hasta entonces eran inválidos, mientras que los derivados de Osaka Exchange funcionaban con normalidad.

La clasificación posterior fue más precisa. Elaviso de estado de negociación del mismo díade TSE indicó que no se había establecido legalmente ninguna ejecución en el mercado de subasta, incluso donde FLEX había transmitido ejecuciones aparentes, y que las órdenes recibidas antes de la suspensión no se trasladarían al día siguiente. Por separado, señaló que las órdenes de ToSTNeT recibidas hasta las 08:56 se habían ejecutado y que todos los avisos de ejecución se habían enviado. «Todos los datos inválidos» fue una advertencia urgente de datos de mercado, no una declaración de que todos los contratos fuera de subasta fueran nulos.

Esta distinción es central para la rendición de cuentas. Una conmutación por error del almacenamiento podía restaurar el acceso a los archivos, pero no podía por sí misma decidir qué mensajes constituían actos de mercado válidos, alinear los sistemas de los participantes, restaurar los saldos de los clientes o recrear una formación de precios justa. La recuperación requería tanto un estado técnico como un estado de mercado autoritativo.

09:26-11:45: por qué una unidad de reserva en buen estado no generaba un mercado justo

Tras la conmutación forzada, TSE consideró dos vías: reconectar sin reiniciar, o reiniciar arrowhead y reabrir. La reconexión liberaría los avisos de ejecución retenidos dentro de arrowhead para las órdenes procesadas antes del corte de red. TSE ya había declarado inválidos esos resultados de subasta. Los participantes podrían tratar los avisos como válidos, actualizar los saldos de los clientes y continuar negociando sobre una premisa falsa. Los precios base del día también se habían visto afectados por el procesamiento interno. El comité consideró esta vía incompatible con un mercado justo e imparcial.

El reinicio restablecería del lado de la bolsa las órdenes aceptadas, los datos de ejecución y los precios base. Pero los procesos ordinarios de los participantes estaban dirigidos por notificaciones. Una orden enviada a TSE normalmente cambiaba de estado cuando el participante recibía un mensaje de aceptación, ejecución o expiración. Un reinicio borraría el estado de la bolsa sin enviar las notificaciones ordinarias de expiración. Los intermediarios tendrían que sacar las órdenes del estado «enviado» mediante un procesamiento excepcional, conciliar las instrucciones de los clientes y reenviar las órdenes válidas.

Algunos sistemas minoristas prefinanciados también necesitarían evitar que las ejecuciones inválidas cambiaran el poder de compra o las posiciones.

TSE solicitó la opinión de los principales intermediarios nacionales, intermediarios en línea, firmas extranjeras y proveedores de sistemas compartidos antes de las 11:00. Los intermediarios en línea dijeron que no podían gestionar el proceso; un importante proveedor que presta servicio a numerosos participantes medianos nunca lo había probado y no podía confirmar su preparación. El comité cuantificó posteriormente la población estimada preparada en no más de aproximadamente el 38% por cuota de valor de negociación y la describió, por atributo del participante, como las sociedades de valores extranjeras.

Un mercado reabierto dominado por ese subconjunto excluiría gran parte de la participación nacional y minorista y amenazaría la formación de precios representativa.

A las 11:00, el CEO del Grupo JPX y el presidente de TSE se unieron a una reunión extraordinaria del Comité de Gestión de Riesgos. El presidente de TSE, Miyahara, tomó la decisión de permanecer cerrado el resto del día, anunciada a las 11:45. Elquinto informe del mismo día de TSEexplicaba que la conmutación fallida impedía la información de mercado, que se planeaba la sustitución del hardware y que un reinicio diurno podría causar confusión entre inversores y participantes tras consultar con los participantes del mercado.

11:45-2 de octubre: recuperación controlada para el día siguiente

TSE no trató la detención de toda la jornada como un permiso para dejar ambiguo el estado del mercado. Su aviso japonés sobre el tratamiento del día clasificó los resultados de la subasta y de ToSTNeT. Unaviso separado sobre el tratamiento del día siguienteespecificaba los precios de referencia, las restricciones continuas de precios de venta en corto, el tratamiento de los límites de precios y disposiciones especiales de precios para ToSTNeT. A las 19:25, elaviso de reanudación de TSEcomunicó que se esperaba que la negociación de subasta y ToSTNeT procediera con normalidad el 2 de octubre.

En cuanto al hardware, TSE y Fujitsu sustituyeron toda la placa base que contenía la memoria fallida del NAS No. 1. La investigación señala que el sistema volvió a su configuración activo-activo, se dispuso de procedimientos rápidos de conmutación manual, ambas organizaciones establecieron una monitorización reforzada, el procesamiento preparatorio se completó con normalidad y la sustitución de la placa base finalizó a las 22:00. La negociación del 2 de octubre se completó sin problemas.

La reparación aún no estaba completa en el sentido de la garantía. El 2 de octubre, las partes localizaron el error de configuración. Reprodujeron la condición relevante en el equipo real, confirmaron la conmutación correcta y establecieronOn Panic=Trueen producción el 4 de octubre. La operación con el valor corregido comenzó el 5 de octubre. Elaviso técnico inicial en inglés de TSEdocumentó el fallo del módulo de memoria, la conmutación fallida, el cambio de configuración del 4 de octubre y la confirmación de que la conmutación automática se comportaba como se esperaba.

Mapa de causas: desencadenante, causa raíz y condiciones contribuyentes

Desencadenante

Eldesencadenantefue un fallo físico accidental que hizo que una tarjeta de memoria del NAS No. 1 quedara ilegible y no escribible. Fujitsu y el proveedor OEM no identificado examinaron la pieza. El historial de fallos notificado para el mismo modelo se mantuvo dentro del umbral interno de Fujitsu, la tarjeta estaba dentro de su vida útil y no se identificó un lote de producción defectuoso. El comité no culpó a TSE por la ocurrencia de ese fallo del componente.

Calificar el fallo de memoria como desencadenante no es una evasión semántica. Un diseño con reserva se crea porque los componentes fallan. Si un solo componente en servicio puede detener un mercado a pesar de tener redundancia instalada, el análisis de responsabilidad debe examinar por qué falló el control de contención.

Causa técnica raíz

Lacausa técnica raízfue la configuración incorrecta deOn Panic=Falsepara el comportamiento del NAS desplegado. El controlador fallido envió una notificación de pánico antes de que cesara la monitorización de latido de 0,5 segundos. Según la especificación real,Falsesuprimía la toma de control inmediata y, en esa secuencia, también la toma de control estándar. El NAS No. 2 no tomó el control, dejando el par indisponible para las funciones dependientes.

La cadena de configuración tenía varios hechos conectados. El producto antiguo permitía la toma de control estándar conFalse. La especificación posterior y el valor predeterminado cambiaron. El documento del proveedor registró el cambio de valor predeterminado pero no el cambio de comportamiento; el manual de Fujitsu permaneció inexacto. Fujitsu escribióFalseen el diseño detallado, TSE revisó ese diseño contrastándolo con el mismo manual incorrecto, y las pruebas previas a la producción de ninguna de las organizaciones reprodujeron la pérdida de función del NAS bajo la secuencia de pánico. Elsuplemento de configuración del NAS de TSE (una página)diagramó por qué el mensaje de pánico impedía la toma de control retardada esperada.

La propiacomunicación de causas y medidas de Fujitsuconfirmó la cadena operativa: el manual decía que la conmutación automática siempre ocurría, el producto real podía configurarse para no conmutar bajo la condición de fallo de memoria, el manual no había seguido un cambio de especificación introducido mediante una actualización de versión del sistema operativo, y las pruebas y confirmación de Fujitsu no detectaron la discrepancia.

Condición contribuyente 1: la gobernanza de la especificación no preservó el requisito

TSE exigía la continuidad del procesamiento en 30 segundos. Los ingenieros de sistemas de Fujitsu conocían los valores configurados, pero Fujitsu comunicó al comité que los requisitos de TSE no se transmitieron al grupo de productos durante su revisión de coherencia. El grupo de productos verificaba si las configuraciones del equipo entraban en conflicto entre sí, no si el comportamiento del dispositivo cumplía el objetivo de recuperación a nivel de sistema de la bolsa.

Esta es una inferencia de gobernanza respaldada: los bucles de requisito, implementación y validación del producto no estaban cerrados. Ningún titular de un único documento había demostrado que la «continuación en 30 segundos» siguiera siendo cierta después del cambio de comportamiento del OEM. La inferencia no establece que ninguna persona ocultara un cambio conscientemente.

Condición contribuyente 2: la prueba representó la pérdida de latido, no el estado de fallo real

TSE y Fujitsu probaron la interrupción de la comunicación de latido y observaron que el servicio continuaba. Consideraron eso como evidencia suficiente para la pérdida del controlador NAS. No era equivalente. En el evento real, el controlador emitió un mensaje de pánico antes de la pérdida de latido, seleccionando una rama diferente en la lógica de toma de control. Por tanto, una prueba denominada «conmutación» se superó mientras que el modo de fallo en producción permanecía sin probar.

La lección de control es precisa: la cobertura de las pruebas debe expresarse en estados desencadenantes e invariantes resultantes, no solo en etiquetas amplias. La evidencia de que una reserva toma el control tras una pérdida silenciosa de latido no demuestra la toma de control tras un pánico del controlador, un fallo parcial de E/S, un estado de propiedad obsoleto o una notificación malformada.

Condición contribuyente 3: múltiples controles compartían una misma dependencia de almacenamiento

El NAS centralizaba archivos compartidos para preservar la coherencia interna de los datos. La distribución de información de mercado, las pantallas de supervisión, las pantallas de operaciones, la detención normal, la detención del mercado y el trabajo de detención de emergencia dependían de esos archivos. La vía de emergencia era procesalmente distinta pero no independiente del dominio de fallo. Cuando el par NAS quedó indisponible, todas las instrucciones de suspensión diseñadas fallaron.

Esta dependencia convirtió un incidente de almacenamiento en una incapacidad para controlar la negociación. También forzó el aislamiento de la red, lo que detuvo la comunicación sin detener el emparejamiento. Posteriormente, la FSA ordenó a TSE inspeccionar las dependencias en todo el sistema y asegurarse de que el fallo de una ubicación específica no pudiera inutilizar funciones esenciales para la continuidad.

Condición contribuyente 4: la recuperación forzada fue improvisada

Se esperaba la conmutación automática, por lo que no se prepararon ni validaron comandos exactos para tomar el control en un estado de conmutación fallida. Varios intentos fallaron antes de que Fujitsu proporcionara las opciones de comando exitosas a las 09:26. Se consideró la desconexión física del cable. Una unidad de reserva no está operativamente disponible solo porque su hardware esté encendido y sincronizado; el operador necesita una vía de transferencia de autoridad ensayada y consciente del estado que funcione cuando la automatización no lo hace.

Condición contribuyente 5: la política de aceptación de órdenes y reinicio no se diseñó como un único sistema de continuidad

La política de TSE favorecía la aceptación de órdenes durante las suspensiones porque los participantes habían solicitado ese comportamiento tras eventos anteriores. El 1 de octubre, aceptar órdenes antes de comprender plenamente el impacto dificultó la posterior conciliación de la detención anómala. No existía una regla acordada sobre cuándo dejar de recibir órdenes, qué ocurriría con las órdenes aceptadas tras un reinicio, qué notificaciones controlaban el estado de los participantes o cómo determinar que una diversidad de mercado suficiente podía regresar.

El comité independiente consideró razonables las decisiones en tiempo real de TSE dado lo que el personal sabía. Sin embargo, consideró insuficientes los criterios de decisión previos, los procedimientos, la comunicación con los participantes y la preparación de las pruebas. Estas conclusiones coexisten. El mando del incidente puede tomar la decisión menos perjudicial disponible mientras la gobernanza sigue siendo responsable de permitir que solo existieran opciones de recuperación perjudiciales.

Condición contribuyente 6: la cultura de fiabilidad prevaleció sobre la capacidad de recuperación

El comité utilizó un lenguaje inusualmente directo sobre «Nunca detenerse». Dijo que el énfasis excesivo en comenzar la aceptación de órdenes a las 08:00 y la negociación a las 09:00 contribuyó a hacer imposible un reinicio fluido tras la recuperación. La FSA también constató que el trabajo de resiliencia de JPX iba a la zaga de su enfoque en la fiabilidad. La inferencia respaldada no es que la alta disponibilidad fuera errónea. Es que la prevención de la interrupción se había convertido en una premisa de diseño más fuerte que la degradación controlada, la detención autoritativa, el restablecimiento del estado y la reapertura probada.

Detección, respuesta, recuperación e integridad de los datos de mercado

Detección

La detección no fue ni ausente ni plenamente efectiva. La monitorización detectó anomalías de acceso al NAS inmediatamente a las 07:04, y los síntomas operativos aparecieron en minutos. TSE escaló a Fujitsu y formó un cuartel general de emergencia antes de la ventana de aceptación de órdenes. Estos son controles positivos.

Al mismo tiempo, la propia herramienta de diagnóstico permaneció bloqueada indefinidamente, la disponibilidad de los terminales era inconsistente y las primeras omisiones de datos de mercado tuvieron que deducirse a partir de señales separadas. La detección reveló la anomalía pero no explicó rápidamente el dominio del fallo ni garantizó una detención segura. La lección residual es separar la observabilidad del componente observado y predefinir la evidencia de apertura del mercado: las pantallas de control requeridas, las fuentes de datos, las vías de detención y los mensajes a los participantes deben superarse antes de aceptar órdenes.

Respuesta

La respuesta tuvo tres objetivos simultáneos: restaurar el almacenamiento, impedir la apertura de un mercado injusto y comunicar el estado autoritativo. TSE persiguió los tres. Intentó la toma de control forzada, estableció un umbral de decisión a las 08:30, notificó a los participantes a las 08:36, aisló las conexiones de órdenes antes de la apertura programada, invalidó los datos de subasta engañosos, consultó a los tipos de participantes y tomó una decisión formal para toda la jornada.

La respuesta también expuso debilidades de implementación. El corte de red se completó lo suficientemente cerca de las 09:00 como para que escapara un minuto de datos de ejecución. Los primeros avisos públicos evolucionaron necesariamente, pero la secuencia dejó a los usuarios esperando un calendario de recuperación. Elborrador de política de información de diciembre de 2020del consejo de recurrencia propuso una página dedicada al estado del sistema, actualizaciones ordinarias cada 30 minutos incluso sin progreso, etapas de impacto-reanudación del evento y distribución push. Ese remedio evidencia que la cadencia y estructura de la comunicación formaban parte de la brecha de continuidad.

Por qué no reiniciar fue un control de integridad

La oportunidad de negociación perdida fue grave. De ello no se sigue que cualquier reapertura fuera mejor que permanecer cerrado. Un mercado no es continuo en el sentido relevante si solo una clase limitada de participantes puede reconstruir órdenes, si avisos de ejecución inválidos pueden entrar en los libros de los intermediarios, o si los mensajes públicos de precios entran en conflicto con el estado legal de las operaciones.

La decisión de cierre total preservó tres formas de integridad. Laintegridad de las transaccionesexigía una respuesta común sobre qué órdenes y operaciones existían. Laintegridad de los datosexigía un tratamiento autoritativo de los mensajes FLEX y de los valores de referencia del día siguiente. Laintegridad de la participaciónexigía un conjunto suficientemente amplio de participantes nacionales, minoristas, institucionales y extranjeros para una formación de precios justa. La evidencia oficial respalda la conclusión de TSE de que esas condiciones no podían demostrarse para un reinicio en el mismo día.

El comité no se limitó a deferir a la dirección. Evaluó la estimación del 38% de preparación, la composición de los participantes, la ausencia de un reinicio en entorno de pruebas y el problema del estado de los mensajes, y luego consideró razonables la decisión y el proceso de recopilación de información. Esta es la evidencia más sólida contra la afirmación simplista de que la dirección eligió el cierre solo para evitar inconvenientes operativos.

Recuperación

La recuperación se produjo por etapas. A las 09:26, la toma de control forzada restauró el acceso y las pantallas operativas. Por la tarde, TSE había clasificado el estado de negociación del día, especificado el tratamiento para el día siguiente, sustituido la placa base fallida, acordado una monitorización conjunta y completado el procesamiento preparatorio. La negociación normal del 2 de octubre proporcionó un importante resultado a nivel de servicio.

El 4 de octubre, tras reproducir la condición en el equipo real, TSE cambióOn PanicaTrue. Para el 23 de octubre, los equipos de sistema y producto de Fujitsu habían revisado todas las configuraciones del NAS en contraste con los requisitos y el comportamiento real del producto; para finales de octubre, los valores que diferían de los predeterminados de fábrica habían recibido confirmación en el equipo real. La investigación también informó de la confirmación de los procedimientos de conmutación forzada y de planes para listas de comandos específicos según el estado del equipo.

Estas etapas no deben reducirse a «arreglado en una noche». La sustitución del componente restauró la capacidad; la monitorización reforzada gestionó la incertidumbre a corto plazo; el cambio de configuración eliminó el defecto conocido de conmutación automática; la revisión exhaustiva buscó errores de configuración similares; y los procedimientos abordaron el fallo de la automatización. Cada una responde a una pregunta de garantía diferente.

Asignación de responsabilidades tras la cronología

Tokyo Stock Exchange: operador del mercado y propietario del sistema

TSE tenía el control principal de cara al público sobre si su mercado al contado abría, qué órdenes se aceptaban, si los mensajes representaban operaciones válidas, cuándo se detenía la negociación y cuándo podía reanudarse. Especificó el requisito de continuidad del NAS en 30 segundos, revisó los diseños detallados, operó arrowhead, mantuvo el plan de contingencia y coordinó a los participantes conectados.

Por tanto, su responsabilidad es más amplia que la autoría de la configuración defectuosa. TSE podía confiar razonablemente en un manual preciso de un proveedor especializado, y el comité atribuyó la responsabilidad principal de ese error a Fujitsu. Pero TSE controlaba los criterios de aceptación de un sistema cuyo fallo podía detener un mercado nacional. El comité consideró que, dada la importancia del NAS, TSE debería haber exigido, en cierta medida, pruebas reales de pérdida de función y fue parcialmente responsable de no reconocer el defecto de configuración.

TSE también era responsable del diseño de la continuidad del mercado ante un fallo técnico. Múltiples mecanismos de detención compartían el NAS fallido; el reinicio y la reanudación no se habían probado ni siquiera en un entorno de pruebas; los participantes no tenían un tratamiento de órdenes acordado; y los criterios de reanudación no eran explícitos. Se trata de controles de la bolsa incluso cuando la cooperación de participantes y proveedores es necesaria.

La decisión de cierre total no debe convertirse en un reproche separado. El comité no encontró error de decisión al permanecer cerrado. La responsabilidad de TSE reside en la arquitectura y las reglas previas al evento que hicieron imposible demostrar una reapertura justa en el mismo día, además del deber de corregirlas.

Japan Exchange Group: gobernanza de la matriz y resiliencia del grupo

JPX era responsable de la gobernanza de riesgos del grupo, la asignación de recursos y la supervisión de TSE. El evento afectó a otras bolsas al contado que utilizaban arrowhead y planteó cuestiones comunes para Osaka Exchange y otras funciones del mercado del grupo, a pesar de que los derivados de OSE permanecieron abiertos. Por tanto, la responsabilidad de la matriz implicaba más que supervisar un equipo de incidentes.

La FSA ordenó a JPX que hiciera que las empresas del grupo inspeccionaran los sistemas y ensayaran la recuperación temprana, crearan reglas de reinicio con inclusión de los participantes y reequilibraran el desarrollo y el mantenimiento hacia la resiliencia. El informe independiente también pidió una fiabilidad a nivel de grupo y una comunicación «omnidireccional». El papel de JPX era convertir el fallo de una filial en un estándar para todos los negocios de mercado, no asumir que la configuración defectuosa era un caso aislado.

Fujitsu: proveedor del producto de marca, integrador de sistemas y proveedor de mantenimiento

Fujitsu tenía varios controles. Suministró el ETERNUS NR1000 bajo su marca; su grupo de productos validó el producto OEM y la documentación; sus ingenieros de arrowhead escribieron la configuración detallada del NAS; desarrolló, mantuvo y dio servicio al sistema de la bolsa; y proporcionó los comandos para el incidente. Estas funciones otorgaron a Fujitsu un control práctico sobre la cadena de cambios de especificación y la traducción del comportamiento del producto al requisito del sistema.

La investigación concluyó que Fujitsu era responsable del manual erróneo y tenía una responsabilidad sustancial en la configuración defectuosa. También constató una validación insuficiente por parte del grupo de productos, una comunicación deficiente con el proveedor OEM, pruebas de estados de fallo insuficientes, falta de coordinación interna y falta de preparación para la conmutación manual. El propio Fujitsu aceptó que una relación OEM no transfería la responsabilidad por la calidad del envío.

Fujitsu no controlaba si TSE abría o cerraba legalmente el mercado, qué órdenes eran válidas o qué amplitud de participantes era suficiente para la formación de precios. El registro citado tampoco establece la asignación contractual privada de daños. La responsabilidad del proveedor y la de la bolsa son controles superpuestos, no una elección de suma cero.

El proveedor OEM no identificado

El informe denomina «Empresa A» al fabricante original del NAS. Ese proveedor cambió el comportamiento del producto y el valor predeterminado inicial, mientras que su especificación no capturó adecuadamente el cambio de comportamiento. También participó en el examen del componente. Estos hechos respaldan un papel operativo en la especificación del producto y en la evidencia de pruebas.

El registro público no revela la identidad del proveedor ni el contrato, y no publica su respuesta independiente. No sería sólido asignar un porcentaje de responsabilidad legal ni inferir ocultación. La aceptación explícita de Fujitsu de la responsabilidad de calidad de marca significa que la relación OEM no eliminó el control de cara al cliente de Fujitsu.

Participantes de la negociación y proveedores de sistemas compartidos

Los intermediarios controlaban sus máquinas de estado de órdenes, las instrucciones de los clientes, la prefinanciación, la gestión de excepciones y la preparación para conciliar y reenviar. Los proveedores de plataformas compartidas controlaban si muchos participantes podían ejecutar una recuperación excepcional. Su incapacidad para soportar un reinicio fue un hecho de continuidad contribuyente, pero la investigación no lo calificó de mala conducta: TSE no había acordado ni probado el procedimiento con ellos.

Después del evento, la participación creó deberes recíprocos. TSE debía publicar reglas claras e instalaciones de prueba; los participantes debían implementar y ensayar el tratamiento acordado. Una regla de reinicio que solo existe en la documentación de la bolsa no es continuidad del mercado. A la inversa, un participante no puede exigir la reapertura en el mismo día mientras se niega a construir los controles de mensajes y estado del cliente que la hacen justa.

Reguladores

La FSA no diseñó arrowhead ni operó el mando del incidente. Sus controles eran la supervisión, las solicitudes de informes, la inspección y la ejecución. La orden del 30 de noviembre documentó deficiencias en el sistema, los procedimientos y la gobernanza, y exigió informes periódicos. El papel del regulador era convertir un plan de remediación de la empresa en obligaciones supervisadas y exigir que la responsabilidad se hiciera explícita.

El evento también puso a prueba los límites del cumplimiento mediante métricas de disponibilidad. Una bolsa puede reportar una alta disponibilidad histórica mientras carece de una recuperación creíble ante una parada anómala. La responsabilidad regulatoria debería, por tanto, examinar la conciliación de estados probada, las vías de detención independientes, la cobertura de los participantes y la evidencia de ejercicios disruptivos, no solo la redundancia nominal y la duración de la interrupción.

Conclusiones de la FSA y responsabilidad de la dirección

La FSA concluyó que un defecto del producto causó directamente el evento, que la configuración de conmutación automática era inadecuada y que las reglas de reinicio de TSE eran insuficientes.

Para TSE, la orden exigía cuatro programas conectados: reconfirmar las configuraciones y los procesos de control de cambios, incluidos los requisitos impuestos a los proveedores subcontratados; eliminar las dependencias críticas de suspensión de la negociación del dispositivo fallido e inspeccionar todas las dependencias del sistema; crear reglas efectivas de aceptación de órdenes y reinicio con pruebas para los participantes; y ampliar la resiliencia junto a la fiabilidad de «Nunca detenerse».

Para JPX, la FSA exigió que las empresas del grupo inspeccionaran los sistemas y se entrenaran para la restauración temprana, establecieran decisiones de reinicio preacordadas con los participantes y mejoraran la resiliencia en todo el desarrollo y mantenimiento. Unatraducción de referencia al inglés de la resoluciónoficial preserva estos requisitos para los lectores no japoneses. El original japonés prevalece en caso de discrepancia.

Lacomunicación de responsabilidades del 30 de noviembre de JPXidentificó a continuación las consecuencias para la dirección. El presidente de TSE, Miyahara Koichiro, dimitió de TSE y como Co-COO del grupo JPX. La remuneración mensual del CEO de JPX, Kiyota Akira, se redujo un 50% durante cuatro meses, la del CIO Yokoyama Ryusuke un 20% durante cuatro meses y la de un ejecutivo de TSE un 10% durante cuatro meses; dos jefes de departamento recibieron advertencias graves.

Fujitsu siguió con unaviso de medidas ejecutivas del 3 de diciembre. La remuneración mensual de su presidente se redujo un 50% durante cuatro meses, la de su vicepresidente un 30% y la de tres consejeros ejecutivos un 20% o 10%; tres consejeros ejecutivos recibieron advertencias graves. La empresa vinculó esas medidas al fallo de la conmutación automática y comenzó una reinspección más amplia del sistema y un refuerzo de la garantía de calidad.

Estas medidas hacen visible la responsabilidad de la dirección, pero no demuestran proporcionalidad ni eficacia. Una dimisión y un recorte salarial muestran que los consejos asignaron consecuencias institucionales. No sustituyen la evidencia de configuración, las pruebas independientes, la preparación de los participantes o el seguimiento de un regulador. Tampoco son conclusiones de que los ejecutivos nombrados configuraran personalmente el dispositivo o cometieran una infracción legal.

Pruebas de reparación: desde la corrección de la configuración hasta un mercado reiniciable

Prueba técnica inmediata

La prueba inmediata más sólida no fue una declaración de política. TSE y Fujitsu reprodujeron la condición de fallo en el equipo real, observaron una toma de control correcta con la configuración modificada y luego pusieronOn Panic=Trueen producción. Revisaron todas las configuraciones del NAS en contraste con los requisitos y el comportamiento del producto, con verificaciones en el equipo real para los valores no predeterminados. También confirmaron un procedimiento de conmutación forzada para los casos en que la automatización siguiera fallando.

Esta evidencia aborda directamente la vía causal conocida. Su límite es el alcance: demuestra un escenario y una configuración probados, no todos los estados concebibles del controlador, la red, el almacenamiento o la corrupción. El comité advirtió explícitamente de que siguen siendo posibles fallos «inesperados» y que los proveedores deberían realizar pruebas de escenarios exhaustivas.

Prueba de detención del mercado independiente

TSE examinó si un solo dispositivo o función podía impedir una instrucción de suspensión de la negociación y desarrolló una ruta de detención de emergencia que no pasaba por el NAS. Esto abordó la dependencia común oculta que forzó el aislamiento del balanceador de carga. El control debe juzgarse por la evidencia de ejecución periódica, incluida la prueba de que detiene el emparejamiento y la aceptación de órdenes preservando un registro auditable, no solo por la existencia de un botón o trabajo separado.

Prueba de reinicio acordado y estado de las órdenes

TSE estableció un Consejo para Medidas de Prevención de Recurrencia con sociedades de valores, inversores, proveedores de sistemas y observadores de la FSA. Elregistro oficial del consejorecoge tres reuniones del consejo y nueve sesiones de grupos de trabajo especializados. Este foro convirtió el reinicio de una decisión interna de la bolsa en un protocolo de mercado.

Elinforme final del consejo de marzo de 2021definió reglas según el momento y el tipo de fallo, la aceptación de órdenes, las ventanas de decisión de reinicio, la consulta a los participantes, la cadencia de información y los ejercicios. Señala que un simulacro con usuarios el 23 de enero de 2021 probó el nuevo proceso de información y que las operaciones de información en vivo de arrowhead comenzaron en febrero. Esto es evidencia de implementación, no solo de intención.

Lapágina de reanudación por reinicio del sistemade TSE, de carácter permanente, expone las consecuencias operativas. Un reinicio cancela las órdenes del lado de la bolsa; los participantes generalmente reenvían las órdenes de clientes encomendadas a menos que se acuerde lo contrario; las órdenes ejecutadas parcialmente necesitan vinculación; las ejecuciones válidas anteriores al fallo siguen siendo válidas en principio; los datos de FLEX reiniciados reflejan el período posterior al reinicio, publicándose más tarde la información diaria consolidada; y las reglas de precios, suspensiones por información corporativa y ventas en corto reciben un tratamiento explícito. Estas son exactamente las cuestiones de estado que carecían de una respuesta acordada el 1 de octubre.

TSE también abrió unproceso de comentarios públicos en 2021para subsanar las deficiencias en los avisos de detalles de transacciones causadas por fallos del sistema. Publicar el tratamiento propuesto y las respuestas a los comentarios hace que el límite jurídico-operativo sea revisable más allá de la sala de incidentes.

Prueba a nivel de grupo y trabajo residual

Larevisión del plan de gestión del ejercicio 2020 de JPXinformó de la finalización de las configuraciones corregidas y las comprobaciones exhaustivas, los procedimientos de conmutación forzada, las verificaciones de sistemas clave y una función de detención de la negociación independiente del NAS. Describió las pruebas y simulacros como continuos y las reglas del consejo como la base para una revisión continua de la eficacia. Esta comunicación es una evidencia de gestión útil, aunque sigue siendo un informe de estado de primera parte en lugar de una certificación técnica externa.

La dependencia se extendía más allá de los valores propios de TSE. Elaviso del 1 de octubre de la Bolsa de Nagoyaindicó que su cierre total se debió al sistema de negociación de TSE que utilizaba. La Bolsa de Fukuoka emitió igualmenteinstrucciones para el día siguientetras su suspensión total. Por tanto, la reparación debía coordinarse con las bolsas regionales que utilizaban arrowhead, no solo con las filiales de JPX.

La evolución posterior del sistema proporciona evidencia de continuidad adicional, pero no concluyente. Elhistorial de servicio de arrowheadactual de JPX registra que la cuarta generación entró en funcionamiento en noviembre de 2024 con la resiliencia como objetivo explícito, junto con el procesamiento sincronizado de datos de negociación en tres nodos y funciones actuales orientadas a la recuperación. Una nueva generación exitosa muestra inversión y prioridades de diseño cambiadas. No puede probar retroactivamente que todas las debilidades de 2020 estuvieran ausentes en cada momento posterior al incidente.

Hechos confirmados, inferencias respaldadas, alegaciones controvertidas y desconocidos

Hechos confirmados

La tarjeta de memoria falló; el par NAS no conmutó automáticamente;On Panic=Falsetenía un comportamiento real diferente al entendimiento basado en el manual; no hubo pruebas representativas del estado de pánico; todas las vías de detención ordinarias y de emergencia dependían de los archivos del NAS; la toma de control forzada tuvo éxito a las 09:26; los datos de ejecución de subasta difundidos alrededor de las 09:00 eran inválidos; algunas transacciones de ToSTNeT siguieron siendo válidas; el reinicio en el mismo día no se había probado; la preparación estimada para el reenvío era de aproximadamente el 38% por valor de negociación y se limitaba a firmas extranjeras; TSE permaneció cerrado; la negociación normal se completó el 2 de octubre; la FSA emitió dos órdenes de mejora empresarial; tanto JPX/TSE como Fujitsu impusieron consecuencias a la dirección; y se aplicaron medidas técnicas y procedimentales.

Inferencias respaldadas

La redundancia nominal del hardware no era redundancia operativa porque el estado desplegado, el manual, las pruebas y la vía de anulación manual no demostraban conjuntamente la toma de control. El NAS compartido creó un modo común en el plano de control aunque los datos de emparejamiento tuvieran otras protecciones de sincronización. «Nunca detenerse» se convirtió en una condición de gobernanza contribuyente cuando las rutinas de apertura se trataban como predeterminadas a pesar de la evidencia incompleta de preparación.

La decisión de permanecer cerrado protegió la integridad del mercado, mientras que la incapacidad de reabrir expuso una brecha de continuidad evitable. Estas son conclusiones de control respaldadas por el registro, no juicios legales.

Alegaciones controvertidas

No aparece ninguna disputa causal material entre TSE, JPX, FSA y Fujitsu en el registro formal citado. Las primeras simplificaciones que atribuían el incidente al hardware fueron superadas por la cadena documentada de configuración y gobernanza, y son incompletas sin ella. Las afirmaciones públicas de que TSE podría haber simplemente reactivado los mercados son contradichas por la evidencia de avisos retenidos, estado de los participantes y preparación. Dado que ninguna parte formal presentó una alternativa probada para el mismo día, este artículo no fabrica una disputa bilateral.

Desconocidos

El registro público no identifica a la Empresa A, no publica el contrato OEM, no revela el código fuente ni los archivos de configuración completos, no proporciona el informe completo de laboratorio de la tarjeta fallida, ni muestra cada comentario de revisión interna. No cuantifica la pérdida económica de cada inversor, no establece si TSE o Fujitsu pagaron compensaciones privadas, ni adjudica responsabilidad contractual. No publica las respuestas de preparación participante por participante ni demuestra que la estimación del 38% fuera exacta.

No proporciona resultados independientes completos de cada simulacro posterior ni demuestra que todos los sistemas regionales y de participantes implementaran todas las reglas al mismo tiempo.

Controles contrafactuales y el estándar de prueba

Lo que el registro de impacto prueba y no prueba

El impacto crítico del incidente está confirmado sin necesidad de inventar una estimación de pérdidas en yenes. TSE no proporcionó oportunidad de negociación de subasta durante toda la jornada programada; ToSTNeT se detuvo tras el intervalo previo a la apertura; Nagoya y Fukuoka también suspendieron la negociación porque utilizaban el sistema de TSE; los datos públicos de mercado requirieron invalidación y corrección; y los intermediarios, emisores e inversores tuvieron que trasladar decisiones de inversión abiertas a la sesión siguiente.

La función central de descubrimiento de precios de la bolsa no estuvo disponible a pesar de que los derivados de Osaka Exchange continuaron.

Las fuentes públicas no proporcionan un libro de transacciones contrafactual completo que muestre lo que cada inversor habría comprado o vendido, a qué precio, en ausencia de la interrupción. Tampoco agregan los costes de remediación de los intermediarios, el deslizamiento de coberturas en otros mercados, la actividad de emisión retrasada, los efectos sobre los índices o las reclamaciones privadas. Un día sin negociación disponible puede crear costes de oportunidad y exposición al riesgo, pero esos resultados dependen de la intención del inversor y de los precios posteriores.

Por lo tanto, este artículo no convierte la capitalización bursátil, el volumen de negociación de un día medio o el valor de una orden no ejecutada en daños.

El impacto institucional es significativo de forma independiente. La FSA consideró que la paralización de toda la jornada dañó gravemente la confianza de los inversores en una bolsa de instrumentos financieros, exigió informes periódicos de remediación y requirió que la responsabilidad se hiciera explícita. La dependencia regional mostró que un fallo de control podía afectar a mercados jurídicamente distintos. Las acciones de la dirección en JPX/TSE y Fujitsu demostraron que ambos consejos trataron el evento como un fallo de gobernanza, no como un mantenimiento rutinario de componentes. Estos hechos respaldan la calificación de impactoCRÍTICOal tiempo que preservan la diferencia entre la pérdida de un servicio nacional de formación de precios, los costes de respuesta medibles y las pérdidas monetarias privadas no probadas.

El contrafactual preventivo más limitado es directo: conOn Panic=True, el controlador receptor habría iniciado la toma de control inmediata tras la notificación de pánico. La reproducción en el equipo real antes del cambio en producción respalda esa conclusión para el estado conocido.

Un contrafactual preventivo más sólido se basa en la gobernanza. Si cada cambio de comportamiento del producto se hubiera mapeado a los requisitos del sistema, el cambio de valor predeterminado y la semántica de pánico habrían desencadenado una revisión. Si el valor exacto no predeterminado desplegado por TSE se hubiera probado bajo pérdida del controlador en lugar de solo bajo interrupción del latido, la inconsistencia podría haberse detectado antes del servicio. Si la puerta de aceptación hubiera exigido evidencia para cada rama de activación, un resultado genérico de «prueba de conmutación superada» no habría cerrado el requisito.

Los controles de reducción del impacto son distintos. Un manual de toma de control forzada validado podría haber acortado la recuperación del almacenamiento. Un comando independiente del NAS que detuviera el emparejamiento y la aceptación de órdenes podría haber evitado los avisos de ejecución retenidos. Una puerta de apertura del mercado podría haber detenido la aceptación de órdenes a las 08:00 una vez que las pantallas de control críticas y las comunicaciones estaban afectadas. Unas semánticas de reinicio preacordadas y simulacros con los participantes podrían haber permitido un reenvío amplio y justo y una recuperación en el mismo día.

La prueba debe estratificarse. Laprueba de configuraciónincluye inventarios firmados, mapeos de requisitos a configuraciones y pruebas en el dispositivo real. Laprueba de dominio de falloincluye ejercicios destructivos o de inyección de fallos en estados de pánico, latido, E/S parcial, pérdida de control y propiedad obsoleta. Laprueba de control de mercadodemuestra que las vías de detención independientes detienen los procesos previstos y preservan registros autoritativos. Laprueba de reinicioconcilia el estado de la bolsa, el intermediario, el cliente, los datos públicos y la compensación. Laprueba de participaciónmide qué proporción y diversidad del mercado puede regresar dentro de cada ventana de recuperación. Laprueba de gobernanzaregistra las excepciones, los responsables, los plazos, la revisión del consejo y el seguimiento del regulador.

El tiempo de actividad es solo un resultado. Una bolsa resiliente debe ser capaz de detenerse de forma segura, explicar qué es válido, restaurar desde un estado conocido, incluir un mercado representativo y producir evidencia de que cada paso funcionó. La interrupción de 2020 mostró por qué un dispositivo de reserva, un plan de contingencia y varias funciones de emergencia pueden existir sin que la continuidad esté probada.

Conclusión

La interrupción del 1 de octubre de 2020 fue desencadenada por un fallo físico de memoria, pero su importancia provino de una contención fallida. Una descripción de producto obsoleta, una configuración heredada, una secuencia de pánico no probada y una preparación inadecuada para la conmutación manual anularon la redundancia del almacenamiento. La dependencia compartida inutilizó entonces los controles de datos de mercado y detención de la negociación. La aceptación de órdenes y un corte a nivel de red crearon un estado que no podía conciliarse de forma segura con los sistemas de los participantes bajo ninguna regla ensayada.

La decisión de TSE de no reiniciar a mitad del día no fue evidencia de indiferencia hacia la continuidad. Según el registro oficial, fue una decisión racional de integridad del mercado: la reconexión corría el riesgo de entregar ejecuciones inválidas, el reinicio corría el riesgo de excluir a la mayoría de la participación nacional y minorista, y ninguna de las dos vías se había probado. El fallo de responsabilidad ocurrió antes, cuando el ecosistema de la bolsa no había hecho del reinicio seguro una capacidad diseñada y probada.

La responsabilidad siguió al control. Fujitsu era responsable de la documentación del producto de marca, del diseño de la configuración, de la validación del producto y de importantes funciones de mantenimiento, y aceptó una culpa sustancial en esa cadena. TSE era responsable de los criterios de aceptación, de la arquitectura de detención independiente, de las reglas del mercado y de la preparación de los participantes. JPX era responsable de la supervisión del grupo y de las prioridades de resiliencia.

Los participantes eran responsables de la recuperación de sus órdenes y del estado de los clientes una vez que la bolsa proporcionara un protocolo acordado. La FSA era responsable de la ejecución supervisora y exigió que esos controles se hicieran explícitos.

El registro de reparación es creíble porque contiene más que disculpas: una placa reemplazada, una reproducción de la conmutación en el equipo real, una configuración de producción corregida, una revisión completa de la configuración, procedimientos de conmutación forzada, desarrollo de una detención independiente, ejercicios con participantes, semánticas de reinicio publicadas, cadencia de información y trabajo de resiliencia a nivel de grupo. Su límite residual es igualmente importante. Ninguna prueba finita demuestra que un mercado nunca se detendrá.

El objetivo responsable es demostrar que cuando un componente o estado imprevisto falla, el mercado puede detenerse con autoridad, preservar la verdad, recuperarse de forma amplia y demostrar por qué la reapertura es justa.