Tokyo Stock Exchange a transformé un basculement matériel en test de responsabilité de continuité de marché

Résumé

• Le 1er octobre 2020 à 07h04 heure du Japon, arrowhead a détecté un grand nombre de messages d’erreur d’accès provenant de la mémoire d’un contrôleur d’un dispositif de stockage en réseau à deux nœuds. La défaillance de l’équipement a été ledéclencheur. Un composant peut tomber en panne pendant sa durée de vie; la redondance existait précisément pour contenir cet événement.
• Lacause technique profondeétait que le paramètre NASOn Panicavait été réglé surFalseselon une compréhension obsolète selon laquelle le basculement standard se produirait toujours. Dans les spécifications réelles du produit, un message de panique arrivant avant la perte du battement de cœur signifiait que ni le basculement immédiat ni le basculement standard ne démarraient. Un manuel obsolète, un contrôle insuffisant des modifications des spécifications et des tests de défaillance non représentatifs ont produit cette configuration.
• La paire de stockage contenait des fichiers partagés utilisés par la distribution des données de marché, les écrans de supervision et les trois voies de suspension de cotation ordinaires ou d’urgence. Cette dépendance commune était unecondition contributive: plusieurs contrôles nommés existaient, mais chacun attendait le même NAS indisponible.
• TSE a rapidement détecté les symptômes, a formé un quartier général d’urgence et a travaillé avec Fujitsu. Pourtant, son outil de diagnostic s’est également bloqué, les commandes de basculement forcé préétablies étaient inadéquates et plusieurs tentatives ont échoué avant qu’une commande modifiée ne transfère le contrôle au NAS No. 2 à 09h26.
• L’acceptation des ordres avait commencé à 08h00. Comme TSE ne pouvait pas arrêter l’exécution normalement, elle a isolé arrowhead et ToSTNeT au niveau des équilibreurs de charge réseau à 08h54 et 08h56. Le traitement interne des exécutions s’est poursuivi pour les ordres d’enchère acceptés, et FLEX a diffusé environ une minute de données d’exécution après 09h00. TSE a déclaré ces données d’enchère invalides; elle a confirmé séparément que les exécutions ToSTNeT admissibles étaient valides. L’intégrité des données de marché exigeait donc une classification juridique et opérationnelle, et non un simple rebranchement de câble.
• Redémarrer sans réinitialiser aurait libéré des avis d’exécution conservés que TSE avait déjà déclarés invalides. La réinitialisation pouvait effacer les ordres et les exécutions côté bourse, mais les entités ne recevraient pas de messages d’expiration ordinaires et beaucoup ne pourraient pas reconstituer ni renvoyer les ordres des clients. La consultation de TSE a indiqué qu’environ 38 % de la valeur des transactions seulement, limitée par type de entité aux sociétés de bourse étrangères, pouvaient être prêts. Le comité des administrateurs indépendants a jugé la décision de suspension pour toute la journée raisonnable dans ces circonstances.
• Ce même comité et la Financial Services Agency ont séparé le caractère raisonnable de laréponsede l’insuffisance avant l’événement. TSE n’avait pas testé la réinitialisation et la reprise, même dans un environnement de test, n’avait pas convenu du traitement des ordres avec les entités ni établi un processus clair de redémarrage le jour même. Une décision défendable de ne pas rouvrir n’efface pas l’échec du contrôle de continuité qui a rendu impraticable une réouverture sûre.
• Fujitsu a fourni le stockage OEM sous sa marque, a rédigé ou transmis la documentation du produit, a conçu le paramétrage dans des documents détaillés, a développé et maintenu arrowhead, et a soutenu l’incident. Fujitsu a publiquement accepté la responsabilité de la qualité de livraison et des tests insuffisants. L’enquête a attribué une responsabilité substantielle pour l’erreur du manuel et la chaîne de paramétrage à Fujitsu, tout en estimant que TSE aurait dû, dans une certaine mesure, exiger des tests de défaillance proportionnels à l’importance du NAS.
• La FSA a émis des ordres d’amélioration des activités à la fois à TSE et à JPX en vertu de dispositions distinctes de la Loi sur les instruments financiers et les changes. Elle a exigé des contrôles des modifications des spécifications, un examen des dépendances, une suspension indépendante du NAS, des règles et des exercices pour les entités, une inspection à l’échelle du groupe et un passage d’une approche principalement « Never Stop » à une approche axée sur la résilience.
• Les conséquences pour la direction ont été explicites mais procéduralement limitées: le président de TSE, Miyahara Koichiro, a démissionné; les dirigeants de JPX et de TSE ont subi des réductions de salaire ou des avertissements formels; Fujitsu a réduit la rémunération de cinq dirigeants et averti trois cadres supérieurs. Il s’agissait de mesures de gouvernance d’entreprise suite à des ordres réglementaires, et non de jugements de tribunaux sur les dommages, la négligence ou la responsabilité pénale.
• Des preuves de réparationexistent à plusieurs niveaux: remplacement de la carte mère et cotation surveillée le 2 octobre; un test sur équipement réel suivi deOn Panic=Trueen production le 4 octobre; une révision complète des paramètres du NAS; des procédures de commutation forcée; un chemin d’arrêt d’urgence indépendant du NAS; des exercices pour les entités; des règles de redémarrage, d’ordre et d’information publiées; et des travaux ultérieurs de résilience d’arrowhead. Ces artefacts améliorent matériellement l’assurance, mais aucune source publique ne prouve que tous les états matériels possibles, les systèmes des entités ou les défaillances futures peuvent être récupérés sans interruption.

Limites des preuves et posture procédurale

Cette analyse utilise cinq étiquettes de preuve. Unfait confirméest directement énoncé dans un avis contemporain de la bourse, un rapport technique, une divulgation d’entreprise, un enregistrement de règle ou une action réglementaire. Uneinférence étayéerelie des faits confirmés pour l’analyse des contrôles sans prétendre à un jugement. Uneaffirmation contestéeexige des positions matériellement contradictoires; une simple incomplétude ou un raffinement ultérieur ne constitue pas un différend. Uneinconnueest une question que le dossier public ne résout pas. Uneconclusion légale ou réglementairen’est attribuée qu’à l’organisme qui l’a rendue et uniquement dans le cadre de cette procédure.

Le principal dossier médico-légal est le rapport du comité d’administrateurs externes indépendants de JPX. Satraduction anglaiseest exceptionnellement explicite quant à ses propres limites: le comité était composé d’administrateurs externes de JPX, n’était pas un comité tiers conventionnel, s’est appuyé sur les documents et informations fournis par JPX et TSE pour la chronologie factuelle, et n’a pas fait de la recherche de faits proactive ou de la responsabilité juridique son principal objectif. Il a évalué le compte rendu des sociétés, les méthodes d’enquête, la réponse et les remèdes proposés, y compris l’enquête de Fujitsu. Il s’agit d’un dossier de gouvernance formel solide, mais pas d’une décision judiciaire indépendante.

La décision administrative japonaise de la FSA a une posture différente. Le régulateur a demandé des rapports le 2 octobre, les a reçus le 16 octobre et a effectué des inspections sur place avant d’émettre des ordres d’amélioration des activités le 30 novembre. Ses conclusions ont donc une autorité réglementaire. Elles ne décident pas d’une indemnisation privée, ne répartissent pas les dommages contractuels entre TSE, Fujitsu et le fournisseur OEM non nommé, et n’établissent pas de conduite criminelle.

Les divulgations de Fujitsu sont des aveux et des descriptions d’un fournisseur directement impliqué. Le 19 octobre, elle a indiqué que l’ETERNUS NR1000 était fourni par un autre développeur-fabricant en tant que produit OEM, mais que Fujitsu assumait la responsabilité de la qualité de livraison. Elle a reconnu que le manuel n’avait pas suivi une modification des spécifications due au système d’exploitation et que ses tests et sa confirmation étaient insuffisants. Ces déclarations constituent une preuve de première main importante; elles ne constituent pas un audit externe de tous les dossiers d’ingénierie de Fujitsu ou du fournisseur.

Le compte rendu causal a été affiné, et non substantiellement contesté. Les communications de TSE des 1er et 5 octobre ont décrit une défaillance de module de mémoire et un échec de basculement. L’enquête ultérieure a distingué l’événement du composant, le mécanisme de configuration et les conditions opérationnelles qui ont étendu l’impact. Aucune des sources citées de JPX, TSE, FSA ou Fujitsu ne conteste formellement cette chaîne.

Les affirmations selon lesquelles la panne d’une journée était « juste une panne matérielle aléatoire », ou inversement qu’il n’y a pas eu de véritable défaillance matérielle, sont incompatibles avec le dossier formel plutôt que des différends institutionnels préservés.

Chronologie avant l’allocation

Avant le 1er octobre: un système à haute vitesse avec des hypothèses héritées

Arrowhead fonctionnait depuis 2010. La troisième génération est entrée en service le 5 novembre 2019 après une mise à niveau matérielle et une amélioration des performances. L’avis de lancement conjoint de TSE et Fujitsumettait l’accent sur la fonctionnalité, la stabilité des performances et un marché sûr et sécurisé. L’enquête a ensuite décrit un système de centaines de serveurs synchronisés qui acceptaient les ordres, les appariaient, renvoyaient des avis d’exécution, distribuaient les informations de marché, s’interfaçaient avec la compensation et fournissaient des fonctions de supervision et de contrôle. Son temps de réponse aux ordres annoncé était d’environ 200 microsecondes.

Ce contexte de vitesse est important car la continuité ne consiste pas seulement à préserver la disponibilité des serveurs. Une bourse doit préserver un état commun entre les ordres, les exécutions, les notifications officielles, les informations publiques sur les prix, la supervision, les livres des entités et la compensation finale. Un appariement rapide augmente la quantité d’état qui peut diverger en quelques secondes lorsqu’un plan de contrôle est altéré.

La paire NAS ne contenait pas le carnet d’ordres synchronisé central en remplacement de l’architecture d’appariement d’arrowhead. Elle contenait des fichiers communs tels que des informations sur les émetteurs et les utilisateurs dont plusieurs serveurs et fonctions opérationnelles avaient besoin. La centralisation de ces fichiers favorisait la cohérence et une conception efficace. Cela signifiait également que les processus de données de marché et de contrôle pouvaient attendre le même service de stockage en cas d’échec du basculement.

Le paramétrage clé était antérieur à la troisième génération. Selon l’ancien comportement du produit,On Panic=Falsedésactivait le basculement immédiat, mais le basculement standard suivait toujours la perte du battement de cœur. Ce paramètre fonctionnait dans les première et deuxième générations. Au cours de l’évolution ultérieure du produit, la spécification du NAS a changé: si une notification de panique arrivait avant l’arrêt des messages de battement de cœur,Falseempêchait également le basculement standard. La valeur par défaut est passée deFalseàTrue, mais la spécification écrite pertinente ne décrivait pas avec précision le changement de comportement. L’ancienne valeurFalsea été reportée dans la troisième génération.

Il ne s’agissait pas d’un cas où TSE n’avait pas spécifié d’objectif de reprise. Ses exigences de troisième génération prévoyaient que les fonctions liées au NAS basculent et continuent dans les 30 secondes suivant une défaillance de l’équipement. La défaillance se situait entre l’exigence, le comportement du produit, la configuration détaillée, l’examen et les tests représentatifs. Une exigence de continuité sur papier ne prouvait pas que le dispositif de secours déployé la respecterait.

Des incidents antérieurs ont fourni un contexte d’avertissement sans prouver la répétition du même défaut. En 2012, une partie d’une passerelle d’information de marché est tombée en panne et 241 titres ont été suspendus pendant une matinée; l’enquête a attribué cet événement à une commutation logicielle incomplète et à une confirmation de commutation insuffisante. En 2018, une rafale de messages d’un utilisateur de colocation a surchargé les équipements de routage et déconnecté plusieurs passerelles de entités. Lerapport d’incident de TSE de 2018a documenté les contrôles réseau, la communication avec les entités et l’extension des tests de défaillance. Ces réparations ont traité ces mécanismes. Elles n’ont pas testé l’état précis de panique avant battement de cœur qui s’est produit en 2020.

07h04-08h36: détection, diagnostic et décision d’arrêter

À 07h04, la surveillance a généré de nombreux messages d’irrégularité d’accès pour le NAS No. 1. À 07h10, certains terminaux de supervision de la cotation et de gestion des opérations ne pouvaient pas se connecter; d’autres terminaux le pouvaient encore. L’état mixte a compliqué l’évaluation initiale. L’outil de diagnostic qui aurait dû signaler l’état du système est resté en cours d’exécution sans renvoyer de résultat. TSE a informé Fujitsu à 07h10, et le personnel de la plateforme et des applications de Fujitsu a commencé l’isolement conjoint de l’impact à 07h11.

À partir de 07h30, TSE a détecté des informations sur les émetteurs retardées et a constaté que les messages de maintenance de routage et de début de communication prévus n’avaient pas été envoyés. Le DSI Yokoyama Ryusuke a dirigé un quartier général d’urgence en cas de défaillance du système à partir de 07h37. À 07h55, Fujitsu a signalé que les messages indiquaient que le mécanisme de contrôle du NAS No. 1 avait échoué et que le basculement attendu vers le NAS No. 2 ne s’était pas produit.

À 08h00, arrowhead a commencé à accepter les ordres selon le calendrier normal. Cette décision est devenue importante plus tard, mais elle ne doit pas être réécrite avec le recul. Le comité a constaté qu’avant 08h00, TSE ne comprenait pas encore l’événement complet ou son impact; certains écrans étaient disponibles; et le personnel croyait que les contrôles de suspension normaux ou d’urgence pouvaient encore protéger le marché si nécessaire.

Il a néanmoins critiqué plus tard l’hypothèse plus profonde du « Never Stop » qui faisait paraître l’acceptation des ordres à 08h00 et l’ouverture à 09h00 comme absolues plutôt que conditionnelles à des preuves.

À 08h01, TSE a informé les entités que les messages de début de communication ne pouvaient pas être envoyés. La reprise et l’analyse d’impact se sont poursuivies en parallèle. TSE a choisi 08h30 comme seuil de décision pour suspendre tous les titres si la distribution des données de marché n’avait pas repris, laissant le temps d’informer les entités avant l’ouverture de 09h00. La distribution est restée altérée. À 08h36, TSE a informé les entités de la suspension en vertu de l’article 29, point 4 de son règlement intérieur. Lepremier avis de marché en anglaisindiquait qu’un problème technique affectait la distribution des données de marché, que tous les titres cotés seraient arrêtés et que l’acceptation des ordres serait interrompue.

L’instruction de décision et l’arrêt technique réel étaient des événements différents. La suspension normale de la cotation nécessitait l’écran de supervision de la cotation; la suspension du marché nécessitait l’écran de gestion des opérations; la tâche d’urgence évitait cet écran mais lisait toujours les fichiers du NAS. Tous étaient indisponibles. TSE a donc utilisé un contrôle réseau conçu pour restreindre les ordres à des serveurs spécifiques: elle a coupé l’équilibreur de charge d’arrowhead à 08h54 et celui de ToSTNeT à 08h56.

Cela a empêché toute nouvelle communication avec les entités, mais n’a pas émis d’instruction normale pour arrêter l’appariement.

08h16-09h26: tentatives de basculement échouées et divergence d’état

En parallèle, TSE et Fujitsu ont essayé de forcer le NAS No. 2 à prendre le contrôle. Les ordres de mise hors tension du NAS No. 1 à 08h16 et de transfert de contrôle à 08h26 ont échoué. Un blocage de port à 08h28 a interrompu la communication, mais le NAS No. 1 était déjà en panne et le basculement n’a pas eu lieu. Une tentative avec des conditions modifiées à 08h42 a également échoué. À 09h23, une commande fournie par le groupe produit de Fujitsu a échoué; à 09h26, l’ajout d’options à cette commande a finalement forcé le basculement vers le NAS No. 2.

Les processus de données de marché et les écrans de supervision et de gestion ont alors été confirmés comme utilisables.

Les 82 minutes entre la détection initiale et le basculement forcé réussi n’étaient pas simplement un temps de réparation pour un composant défaillant. Elles ont exposé une lacune dans le contrôle de la reprise. Parce que les ingénieurs supposaient que le basculement automatique se produirait, une commande validée et une procédure manuelle dépendante de l’état n’étaient pas prêtes. L’enquête a estimé que la préparation était insuffisante chez Fujitsu et a reconnu l’anticipation inadéquate de TSE.

Pendant ce temps, les ordres acceptés avaient créé un problème d’intégrité du marché. L’acceptation des ordres a commencé à 08h00, et les données d’ordres en temps réel ont d’abord circulé. Puisque l’action sur l’équilibreur de charge n’a pas arrêté le moteur d’appariement, arrowhead a traité les ordres acceptés jusqu’à 08h54. La coupure des données de marché a franchi l’ouverture de 09h00, de sorte que FLEX a diffusé environ une minute de données d’exécution apparentes. À 09h11, TSE a informé le marché que les données diffusées jusqu’à ce point étaient invalides. Sontroisième rapport en anglaisindiquait également que ToSTNeT avait été arrêté et que toutes les données FLEX diffusées jusqu’alors étaient invalides, alors que les dérivés de l’Osaka Exchange fonctionnaient normalement.

La classification ultérieure a été plus précise. L’avis de statut de cotation du jour mêmede TSE indiquait qu’aucune exécution du marché d’enchères n’était légalement établie, même lorsque FLEX avait diffusé des exécutions apparentes, et que les ordres reçus avant la suspension ne seraient pas reportés au jour suivant. Il indiquait séparément que les ordres ToSTNeT reçus jusqu’à 08h56 avaient été exécutés et que tous les avis d’exécution avaient été envoyés. « Toutes les données invalides » était un avertissement urgent sur les données de marché, et non une déclaration selon laquelle tous les contrats hors enchère étaient nuls.

Cette distinction est au cœur de la responsabilité. Un basculement de stockage pouvait restaurer l’accès aux fichiers, mais il ne pouvait pas à lui seul décider quels messages constituaient des actes de marché valides, aligner les systèmes des entités, restaurer les soldes des clients ou recréer une formation équitable des prix. La reprise nécessitait à la fois un état technique et un état de marché faisant autorité.

09h26-11h45: pourquoi un dispositif de secours en bon état n’a pas créé un marché équitable

Après le basculement forcé, TSE a envisagé deux voies: se reconnecter sans réinitialiser, ou réinitialiser arrowhead et rouvrir. La reconnexion aurait libéré les avis d’exécution conservés dans arrowhead pour les ordres traités avant la coupure réseau. TSE avait déjà déclaré ces résultats d’enchères invalides. Les entités pourraient considérer les avis comme valides, mettre à jour les soldes des clients et continuer à négocier sur une fausse prémisse. Les prix de base du jour avaient également été affectés par le traitement interne. Le comité a considéré cette voie comme incompatible avec un marché équitable et impartial.

La réinitialisation aurait réinitialisé les ordres acceptés côté bourse, les données d’exécution et les prix de base. Mais les processus ordinaires des entités étaient pilotés par les notifications. Un ordre envoyé à TSE changeait normalement de statut lorsque le entité recevait un message d’acceptation, d’exécution ou d’expiration. Une réinitialisation effacerait l’état de la bourse sans envoyer les notifications d’expiration ordinaires. Les courtiers devraient sortir les ordres d’un état « envoyé » en utilisant un traitement exceptionnel, rapprocher les instructions des clients et renvoyer les ordres admissibles.

Certains systèmes de détail préfinancés devraient également empêcher que les exécutions invalides ne modifient le pouvoir d’achat ou les avoirs.

TSE a sollicité l’avis des principaux courtiers nationaux, des courtiers en ligne, des sociétés étrangères et des fournisseurs de systèmes partagés avant 11h00. Les courtiers en ligne ont déclaré qu’ils ne pouvaient pas gérer le processus; un fournisseur majeur desservant de nombreux entités de taille moyenne ne l’avait jamais testé et ne pouvait pas confirmer qu’il était prêt. Le comité a ensuite quantifié la population estimée prête à pas plus d’environ 38 % en part de valeur de transaction et l’a décrite, par attribut de entité, comme étant les sociétés de bourse étrangères.

Un marché rouvert dominé par ce sous-ensemble exclurait une grande partie de la participation nationale et de détail et menacerait la formation de prix représentative.

À 11h00, le PDG du groupe JPX et le président de TSE ont rejoint une réunion extraordinaire du Comité de gestion des risques. Le président de TSE, M. Miyahara, a pris la décision de rester fermé pour la journée, annoncée à 11h45. Lecinquième rapport de TSE du jour mêmeexpliquait que l’échec du basculement empêchait l’accès aux informations de marché, qu’un remplacement matériel était prévu et qu’une réinitialisation en cours de journée pourrait semer la confusion chez les investisseurs et les entités après consultation des acteurs du marché.

11h45-2 octobre: reprise contrôlée le lendemain

TSE n’a pas considéré l’arrêt de toute la journée comme une permission de laisser l’état du marché ambigu. Son avis en japonais sur le traitement du jour a classé les résultats des enchères et de ToSTNeT. Unavis de traitement du jour suivantdistinct a spécifié les prix de référence, le maintien des restrictions de prix pour les ventes à découvert, le traitement des limites de prix et les dispositions spéciales pour les prix ToSTNeT. À 19h25, l’avis de reprisede TSE indiquait que la négociation aux enchères et sur ToSTNeT devrait se dérouler normalement le 2 octobre.

Du côté matériel, TSE et Fujitsu ont remplacé la carte mère entière contenant la mémoire défaillante du NAS No. 1. L’enquête indique que le système est revenu à sa configuration actif-actif, que des procédures de commutation manuelle rapide étaient disponibles, que les deux organisations ont mis en place une surveillance renforcée, que les traitements préparatoires se sont terminés normalement et que le remplacement de la carte mère s’est achevé à 22h00. La négociation du 2 octobre s’est déroulée sans problème.

La réparation n’était pas encore complète sur le plan de l’assurance. Le 2 octobre, les parties ont localisé l’erreur de configuration. Elles ont reproduit la condition pertinente sur l’équipement réel, ont confirmé le basculement correct et ont régléOn Panic=Trueen production le 4 octobre. Le fonctionnement avec la valeur corrigée a commencé le 5 octobre. L’avis technique initial en anglaisde TSE a documenté la défaillance du module mémoire, l’échec du basculement, le changement de paramètre du 4 octobre et la confirmation que le basculement automatique se comportait comme prévu.

Cartographie des causes: déclencheur, cause profonde et conditions contributives

Déclencheur

Ledéclencheurétait une défaillance physique accidentelle qui a rendu une carte mémoire du NAS No. 1 illisible et inscriptible. Fujitsu et le fournisseur OEM non nommé ont examiné la pièce. L’historique des défaillances déclaré pour le même modèle restait dans le seuil interne de Fujitsu, la carte était dans sa durée de vie et ils n’ont pas identifié de lot de production défectueux. Le comité n’a pas reproché à TSE la survenance de cette défaillance de composant.

Qualifier la défaillance de mémoire de déclencheur n’est pas une échappatoire sémantique. Une conception de secours est créée parce que les composants tombent en panne. Si un composant en service peut arrêter un marché malgré une redondance installée, l’analyse de la responsabilité doit examiner pourquoi le contrôle de confinement a échoué.

Cause technique profonde

Lacause technique profondeétait le paramètre incorrectOn Panic=Falsepour le comportement déployé du NAS. Le contrôleur défaillant a envoyé une notification de panique avant la fin de la surveillance du battement de cœur de 0,5 seconde. Selon la spécification réelle,Falsesupprimait le basculement immédiat et, dans cette séquence, supprimait également le basculement standard. Le NAS No. 2 n’a pas pris le contrôle, laissant la paire indisponible pour les fonctions dépendantes.

La chaîne de paramétrage avait plusieurs faits liés. L’ancien produit permettait le basculement standard avecFalse. Les spécifications ultérieures et la valeur par défaut ont changé. Le document du fournisseur a enregistré le changement de valeur par défaut mais pas le changement de comportement; le manuel de Fujitsu est resté inexact. Fujitsu a écritFalsedans la conception détaillée, TSE a examiné cette conception par rapport au même manuel incorrect, et aucun des deux tests de pré-production des organisations n’a reproduit la perte de fonction du NAS dans la séquence de panique. Lesupplément de paramétrage du NASd’une page de TSE a schématisé pourquoi le message de panique empêchait le basculement retardé attendu.

La propredivulgation des causes et mesuresde Fujitsu a confirmé la chaîne opérationnelle: le manuel disait que le basculement automatique se produisait toujours, le produit réel pouvait être configuré pour ne pas basculer dans la condition de défaillance de la mémoire, le manuel n’avait pas suivi un changement de spécification introduit par une mise à jour de version du système d’exploitation, et les tests et la confirmation de Fujitsu n’avaient pas détecté l’inadéquation.

Condition contributive 1: la gouvernance des spécifications n’a pas préservé l’exigence

TSE exigeait la poursuite du traitement dans les 30 secondes. Les ingénieurs système de Fujitsu connaissaient les valeurs configurées, mais Fujitsu a déclaré au comité que les exigences de TSE n’avaient pas été transmises au groupe produit lors de son examen de cohérence. Le groupe produit a vérifié si les paramètres de l’équipement étaient en conflit les uns avec les autres, et non si le comportement du dispositif répondait à l’objectif de reprise au niveau du système de la bourse.

Il s’agit d’une inférence de gouvernance étayée: les boucles d’exigence, de mise en œuvre et de validation du produit n’étaient pas fermées. Aucun détenteur de document unique n’avait prouvé que la « poursuite pendant 30 secondes » restait vraie après le changement de comportement OEM. L’inférence n’établit pas qu’une personne ait sciemment dissimulé un changement.

Condition contributive 2: le test représentait la perte de battement de cœur, pas l’état de défaillance réel

TSE et Fujitsu ont testé l’interruption de la communication du battement de cœur et ont vu le service continuer. Ils ont traité cela comme une preuve suffisante de la perte du contrôleur NAS. Ce n’était pas équivalent. Dans l’événement réel, le contrôleur a émis un message de panique avant la perte du battement de cœur, sélectionnant une branche différente dans la logique de basculement. Un test appelé « basculement » a donc réussi tandis que le mode de défaillance en production est resté non testé.

La leçon de contrôle est précise: la couverture des tests doit être exprimée en états déclencheurs et en invariants résultants, et non seulement en étiquettes générales. La preuve qu’un dispositif de secours prend le relais après une perte silencieuse du battement de cœur ne prouve pas le basculement après une panique du contrôleur, une défaillance partielle d’E/S, un état de propriété obsolète ou une notification mal formée.

Condition contributive 3: plusieurs contrôles partageaient une dépendance de stockage unique

Le NAS centralisait les fichiers partagés pour préserver la cohérence des données internes. La distribution des informations de marché, les écrans de supervision, les écrans d’exploitation, l’arrêt normal, l’arrêt du marché et la tâche d’arrêt d’urgence dépendaient tous de ces fichiers. La voie d’urgence était distincte sur le plan procédural, mais pas indépendante du domaine de défaillance. Lorsque la paire NAS est devenue indisponible, chaque instruction de suspension conçue a échoué.

Cette dépendance a transformé un incident de stockage en une incapacité à contrôler la négociation. Elle a également forcé l’isolement du réseau, ce qui a arrêté la communication sans arrêter l’appariement. La FSA a par la suite ordonné à TSE d’inspecter les dépendances dans l’ensemble du système et de s’assurer que la défaillance d’un emplacement spécifique ne pouvait pas désactiver les fonctions essentielles à la continuité.

Condition contributive 4: la reprise forcée a été improvisée

Le basculement automatique était attendu, donc les commandes exactes pour prendre le contrôle dans un état de basculement échoué n’avaient pas été préparées et validées. Plusieurs tentatives ont échoué avant que Fujitsu ne fournisse les options de commande réussies à 09h26. La déconnexion physique des câbles a été envisagée. Un dispositif de secours n’est pas opérationnellement disponible simplement parce que son matériel est sous tension et synchronisé; l’opérateur a besoin d’un chemin de transfert d’autorité conscient de l’état, répété, qui fonctionne lorsque l’automatisation ne le fait pas.

Condition contributive 5: la politique d’acceptation des ordres et de redémarrage n’était pas conçue comme un système de continuité unique

La politique de TSE favorisait l’acceptation des ordres pendant les suspensions parce que les entités avaient demandé ce comportement après des événements antérieurs. Le 1er octobre, accepter les ordres avant que l’impact ne soit pleinement compris a rendu l’arrêt anormal ultérieur plus difficile à concilier. Il n’y avait pas de règle convenue pour savoir quand cesser d’accepter les ordres, ce qu’il adviendrait des ordres acceptés après une réinitialisation, quelles notifications contrôlaient l’état des entités, ou comment déterminer qu’une diversité de marché suffisante pouvait revenir.

Le comité indépendant a jugé les décisions en temps réel de TSE raisonnables compte tenu de ce que le personnel savait. Il a néanmoins estimé que les critères de décision préalables, les procédures, la communication avec les entités et la préparation aux tests étaient insuffisants. Ces conclusions coexistent. Le commandement d’incident peut prendre la décision la moins nuisible disponible tandis que la gouvernance reste responsable de n’avoir permis que des options de reprise nuisibles.

Condition contributive 6: la culture de la fiabilité l’emportait sur la capacité de reprise

Le comité a utilisé un langage inhabituellement direct à propos du « Never Stop ». Il a déclaré que l’accent excessif mis sur le début de l’acceptation des ordres à 08h00 et de la négociation à 09h00 avait contribué à rendre impossible un redémarrage en douceur après la reprise. La FSA a également constaté que les travaux de résilience de JPX étaient en retard par rapport à son accent sur la fiabilité. L’inférence étayée n’est pas que la haute disponibilité était malavisée.

C’est que la prévention de l’interruption était devenue une prémisse de conception plus forte que la dégradation contrôlée, l’arrêt autoritaire, la réinitialisation de l’état et la réouverture testée.

Détection, réponse, reprise et intégrité des données de marché

Détection

La détection n’a été ni absente ni pleinement efficace. La surveillance a fait apparaître des anomalies d’accès NAS immédiatement à 07h04, et des symptômes opérationnels sont apparus en quelques minutes. TSE a escaladé à Fujitsu et à un quartier général d’urgence avant la fenêtre d’acceptation des ordres. Ce sont des contrôles positifs.

Dans le même temps, l’outil de diagnostic lui-même est resté en attente indéfiniment, la disponibilité des terminaux était incohérente et les premières omissions de données de marché ont dû être reconstituées à partir de signes distincts. La détection a révélé la détresse mais n’a pas expliqué rapidement le domaine de défaillance ni garanti un arrêt sûr. La leçon résiduelle est de séparer l’observabilité du composant observé et de prédéfinir les preuves d’ouverture du marché: les écrans de contrôle requis, les flux de données, les chemins d’arrêt et les messages aux entités doivent tous passer avant d’accepter les ordres.

Réponse

La réponse avait trois objectifs simultanés: restaurer le stockage, empêcher un marché inéquitable de s’ouvrir et communiquer un statut faisant autorité. TSE a poursuivi les trois. Elle a tenté le basculement forcé, fixé un seuil de décision à 08h30, informé les entités à 08h36, isolé les connexions d’ordres avant l’ouverture prévue, invalidé les données d’enchères trompeuses, consulté les types de entités et pris une décision formelle pour toute la journée.

La réponse a également exposé des faiblesses de mise en œuvre. La coupure du réseau s’est terminée suffisamment près de 09h00 pour qu’une minute de données d’exécution s’échappe. Les premiers avis publics ont nécessairement évolué, mais la séquence a laissé les utilisateurs dans l’attente d’un calendrier de reprise. Leprojet de politique d’information de décembre 2020du futur conseil de récurrence a proposé une page dédiée au statut du système, des mises à jour ordinairement toutes les 30 minutes même sans progrès, des étapes d’impact-événement-reprise et une diffusion en mode push. Ce remède est la preuve que la cadence et la structure de la communication faisaient partie de la lacune de continuité.

Pourquoi ne pas redémarrer était un contrôle d’intégrité

La perte d’opportunité de négociation était grave. Il ne s’ensuit pas que toute réouverture était préférable à rester fermé. Un marché n’est pas continu dans le sens pertinent si seule une classe étroite de entités peut reconstituer les ordres, si des avis d’exécution invalides peuvent entrer dans les livres des courtiers, ou si les messages publics sur les prix entrent en conflit avec le statut juridique des transactions.

La décision de toute la journée a préservé trois formes d’intégrité. L’intégrité transactionnelleexigeait une réponse commune sur les ordres et les transactions qui existaient. L’intégrité des donnéesexigeait un traitement faisant autorité des messages FLEX et des valeurs de référence du lendemain. L’intégrité de la participationexigeait un ensemble suffisamment large de entités nationaux, de détail, institutionnels et étrangers pour une formation équitable des prix. Les preuves officielles étayent la conclusion de TSE selon laquelle ces conditions ne pouvaient pas être prouvées pour un redémarrage le jour même.

Le comité ne s’est pas contenté de s’en remettre à la direction. Il a évalué l’estimation de 38 % de préparation, la composition des entités, l’absence de redémarrage en environnement de test et le problème d’état des messages, puis a jugé le processus de décision et de collecte d’informations raisonnable. C’est la preuve la plus solide contre l’affirmation simpliste selon laquelle la direction a choisi la fermeture uniquement pour éviter les inconvénients opérationnels.

Reprise

La reprise s’est produite par étapes. À 09h26, le basculement forcé a rétabli l’accès et les écrans opérationnels. Dans la soirée, TSE avait classé l’état de la négociation du jour, spécifié le traitement du marché pour le lendemain, remplacé la carte mère défaillante, organisé une surveillance conjointe et terminé les traitements préparatoires. La négociation normale du 2 octobre a fourni un résultat important au niveau du service.

Le 4 octobre, après avoir reproduit la condition sur l’équipement réel, TSE a changéOn PanicenTrue. Au 23 octobre, les équipes système et produit de Fujitsu avaient examiné tous les paramètres NAS par rapport aux exigences et au comportement réel du produit; à la fin octobre, les valeurs qui différaient des valeurs par défaut à l’expédition avaient reçu une confirmation sur l’équipement réel. L’enquête a également signalé la confirmation des procédures de commutation forcée et des plans pour des listes de commandes spécifiques à l’état de l’équipement.

Ces étapes ne doivent pas être réduites à un « réglé du jour au lendemain ». Le remplacement du composant a restauré la capacité; la surveillance renforcée a géré l’incertitude à court terme; le changement de paramètre a supprimé le défaut connu de commutation automatique; l’examen complet a recherché des erreurs de configuration homologue; et les procédures ont traité la défaillance de l’automatisation. Chacune répond à une question d’assurance différente.

Répartition de la responsabilité après la chronologie

Tokyo Stock Exchange: opérateur de marché et propriétaire du système

TSE détenait le principal contrôle public sur l’ouverture de son marché au comptant, les ordres acceptés, la question de savoir si les messages représentaient des transactions valides, le moment de l’arrêt de la négociation et le moment de la reprise. Elle a spécifié l’exigence de poursuite du NAS pendant 30 secondes, examiné les conceptions détaillées, exploité arrowhead, maintenu le plan d’urgence et coordonné les entités connectés.

Sa responsabilité est donc plus large que la paternité du mauvais paramètre. TSE pouvait raisonnablement s’appuyer sur le manuel précis d’un fournisseur spécialisé, et le comité a attribué la responsabilité principale de cette erreur à Fujitsu. Mais TSE contrôlait les critères d’acceptation d’un système dont la défaillance pouvait arrêter un marché national. Le comité a estimé que, compte tenu de l’importance du NAS, TSE aurait dû, dans une certaine mesure, exiger des tests réels de perte de fonction et était en partie responsable de ne pas avoir reconnu le défaut de paramétrage.

TSE était également propriétaire de la conception de la continuité du marché face à une défaillance technique. Plusieurs mécanismes d’arrêt partageaient le NAS défaillant; la réinitialisation et la reprise n’avaient pas été testées, même dans un environnement de test; les entités n’avaient pas de traitement des ordres convenu; et les critères de reprise n’étaient pas explicites. Ce sont des contrôles de la bourse même lorsque la coopération des entités et des fournisseurs est nécessaire.

La décision de toute la journée ne doit pas être convertie en une conclusion de faute distincte. Le comité n’a trouvé aucune erreur de décision dans le fait de rester fermé. La responsabilité de TSE réside dans l’architecture et les règles préalables à l’événement qui ont rendu impossible la preuve d’une réouverture équitable le jour même, ainsi que dans le devoir de les corriger.

Japan Exchange Group: gouvernance de la société mère et résilience du groupe

JPX détenait la gouvernance des risques du groupe, l’allocation des ressources et la supervision de TSE. L’événement a touché d’autres bourses au comptant qui utilisaient arrowhead et a soulevé des questions communes pour l’Osaka Exchange et d’autres fonctions de marché du groupe, même si les dérivés d’OSE restaient ouverts. La responsabilité de la société mère impliquait donc plus que la supervision d’une équipe d’incident.

La FSA a ordonné à JPX de faire inspecter les systèmes par les sociétés du groupe et de répéter les exercices de reprise rapide, de créer des règles de redémarrage incluant les entités et de rééquilibrer le développement et la maintenance vers la résilience. Le rapport indépendant a également appelé à une fiabilité à l’échelle du groupe et à une communication « omnidirectionnelle ». Le rôle de JPX était de transformer la défaillance d’une filiale en une norme pour l’ensemble des activités de marché, et non de supposer que la configuration défectueuse était isolée.

Fujitsu: fournisseur de produit de marque, intégrateur système et fournisseur de maintenance

Fujitsu avait plusieurs contrôles. Elle a fourni l’ETERNUS NR1000 sous sa marque; son groupe produit a validé le produit OEM et la documentation; ses ingénieurs arrowhead ont écrit le paramétrage détaillé du NAS; elle a développé, maintenu et assuré le service du système de bourse; et elle a fourni les commandes d’incident. Ces rôles ont donné à Fujitsu un contrôle pratique sur la chaîne de modification des spécifications et la traduction du comportement du produit en exigence du système.

L’enquête a conclu que Fujitsu était responsable du manuel erroné et portait une responsabilité substantielle pour le paramétrage défectueux. Elle a également constaté une validation insuffisante par le groupe produit, une communication avec le fournisseur OEM, des tests d’état de défaillance, une coordination interne et une préparation à la commutation manuelle. Fujitsu a elle-même accepté qu’une relation OEM ne transférait pas la responsabilité de la qualité de livraison.

Fujitsu ne contrôlait pas si TSE ouvrait ou fermait légalement le marché, quels ordres étaient valides, ni quelle largeur de entités était suffisante pour la formation des prix. Le dossier cité n’établit pas non plus la répartition contractuelle privée des dommages. La responsabilité du fournisseur et la responsabilité de la bourse sont des contrôles qui se chevauchent, et non un choix à somme nulle.

Le fournisseur OEM non nommé

Le rapport appelle la source sous-jacente du NAS « Société A ». Ce fournisseur a modifié le comportement du produit et la valeur par défaut initiale, tandis que sa spécification ne rendait pas compte de manière adéquate du changement de comportement. Il a également participé à l’examen des composants. Ces faits soutiennent un rôle opérationnel dans la spécification du produit et les preuves de test.

Le dossier public ne révèle pas l’identité du fournisseur ni le contrat et ne publie pas sa réponse indépendante. Il serait imprudent d’attribuer un pourcentage de responsabilité juridique ou d’inférer une dissimulation. L’acceptation explicite par Fujitsu de la responsabilité de la qualité de la marque signifie que la relation OEM n’a pas supprimé le contrôle de Fujitsu face au client.

Entités à la négociation et fournisseurs de systèmes partagés

Les courtiers contrôlaient leurs machines d’état des ordres, les instructions des clients, le préfinancement, la gestion des exceptions et la capacité de rapprocher et de renvoyer. Les fournisseurs de plateformes partagées contrôlaient si de nombreux entités pouvaient exécuter une reprise exceptionnelle. Leur incapacité à prendre en charge une réinitialisation était un fait de continuité contributif, mais l’enquête ne l’a pas présenté comme une faute: TSE n’avait pas convenu ni testé la procédure avec eux.

Après l’événement, la participation a créé des devoirs réciproques. TSE devait publier des règles claires et des installations de test; les entités devaient mettre en œuvre et répéter la manipulation convenue. Une règle de redémarrage qui n’existe que dans la documentation de la bourse n’est pas la continuité du marché. Inversement, un entité ne peut pas exiger une réouverture le jour même tout en refusant de construire les contrôles de messages et d’état des clients qui la rendent équitable.

Régulateurs

La FSA n’a pas conçu arrowhead ni dirigé le commandement d’incident. Ses contrôles étaient la supervision, les demandes de rapports, les inspections et l’application de la loi. L’ordonnance du 30 novembre a documenté les défaillances du système, des procédures et de la gouvernance et a exigé des rapports réguliers. Le rôle du régulateur était de convertir un plan de remédiation de l’entreprise en obligations supervisées et d’exiger que les responsabilités soient explicitées.

L’événement a également testé les limites de la conformité par la mesure de la disponibilité. Une bourse peut signaler une disponibilité historique élevée tout en manquant d’une reprise crédible après un arrêt anormal. La responsabilité réglementaire devrait donc examiner la réconciliation des états testée, les chemins d’arrêt indépendants, la couverture des entités et les preuves issues d’exercices perturbateurs, et pas seulement la redondance nominale et la durée de la panne.

Conclusions de la FSA et responsabilité de la direction

La FSA a estimé qu’un défaut du produit avait directement causé l’événement, que les paramètres de commutation automatique étaient inadéquats et que les règles de redémarrage de TSE étaient insuffisantes.

Pour TSE, l’ordonnance exigeait quatre programmes liés: reconfirmer les paramètres et les processus de contrôle des modifications, y compris les exigences imposées aux fournisseurs externalisés; supprimer les dépendances critiques de suspension de la négociation vis-à-vis du dispositif défaillant et inspecter toutes les dépendances du système; créer des règles efficaces d’acceptation des ordres et de redémarrage avec des tests pour les entités; et étendre la résilience parallèlement à la fiabilité « Never Stop ».

Pour JPX, la FSA a exigé que les sociétés du groupe inspectent les systèmes et s’entraînent à une restauration rapide, établissent des décisions de redémarrage préalablement convenues avec les entités et améliorent la résilience dans le développement et la maintenance. Unetraduction de référence en anglais de la décisionconserve ces exigences pour les lecteurs non japonais. L’original japonais prévaut en cas de différence de traduction.

Ladivulgation de responsabilité du 30 novembrede JPX a ensuite identifié les conséquences pour la direction. Le président de TSE, Miyahara Koichiro, a démissionné de TSE et de son poste de co-COO du groupe JPX. La rémunération mensuelle du PDG de JPX, Kiyota Akira, a été réduite de 50 % pendant quatre mois, celle du DSI Yokoyama Ryusuke de 20 % pendant quatre mois et celle d’un dirigeant de TSE de 10 % pendant quatre mois; deux chefs de département ont reçu des avertissements sévères.

Fujitsu a suivi avec unavis de mesures disciplinaires du 3 décembre. La rémunération mensuelle de son président a été réduite de 50 % pendant quatre mois, celle de son vice-président de 30 % et celle de trois directeurs généraux de 20 % ou 10 %; trois cadres dirigeants ont reçu des avertissements sévères. L’entreprise a lié ces mesures à l’échec du basculement automatique et a entamé une réinspection plus large des systèmes et un renforcement de l’assurance qualité.

Ces mesures rendent visible la responsabilité de la direction, mais elles ne prouvent pas la proportionnalité ni l’efficacité. Une démission et une réduction de salaire montrent que les conseils d’administration ont attribué des conséquences institutionnelles. Elles ne remplacent pas les preuves de configuration, les tests indépendants, la préparation des entités ou le suivi du régulateur. Elles ne constituent pas non plus des constatations selon lesquelles les dirigeants nommés ont personnellement configuré le dispositif ou commis une infraction légale.

Preuves de réparation: de la correction de la configuration à un marché redémarrable

Preuve technique immédiate

La preuve immédiate la plus solide n’était pas une déclaration de politique. TSE et Fujitsu ont reproduit la condition de défaillance sur l’équipement réel, ont observé le basculement correct avec le paramètre modifié et ont ensuite misOn Panic=Trueen production. Ils ont examiné tous les paramètres NAS par rapport aux exigences et au comportement du produit, avec des vérifications sur l’équipement réel pour les valeurs non par défaut. Ils ont également confirmé une procédure de commutation forcée pour les cas où l’automatisation échouerait encore.

Ces preuves traitent directement du chemin causal connu. Leur limite est leur portée: elles prouvent un scénario et une configuration testés, pas tous les états imaginables du contrôleur, du réseau, du stockage ou de la corruption. Le comité a explicitement averti que des défaillances « inattendues » restent possibles et que les fournisseurs devraient effectuer des tests de scénarios complets.

Preuve d’arrêt du marché indépendant

TSE a examiné si un dispositif ou une fonction pouvait empêcher une instruction de suspension de la négociation et a développé un chemin d’arrêt d’urgence qui ne passait pas par le NAS. Cela a corrigé la dépendance commune cachée qui avait forcé l’isolement par l’équilibreur de charge. Le contrôle doit être jugé par des preuves d’exécution périodiques, y compris la preuve qu’il arrête l’appariement et l’acceptation des ordres tout en préservant un enregistrement vérifiable, et pas simplement par l’existence d’un bouton ou d’une tâche distincts.

Preuve de redémarrage et d’état des ordres convenus

TSE a créé un Conseil pour les mesures de prévention de la récurrence avec des sociétés de bourse, des investisseurs, des fournisseurs de systèmes et des observateurs de la FSA. Leregistre du conseilofficiel conserve trois réunions du conseil et neuf sessions de groupes de travail spécialisés. Ce forum a transformé le redémarrage d’une décision interne à la bourse en un protocole de marché.

Lerapport final du conseil de mars 2021a défini les règles en fonction du moment et du type de défaillance, de l’acceptation des ordres, des fenêtres de décision de redémarrage, de la consultation des entités, de la cadence des informations et des exercices. Il indique qu’un exercice utilisateur du 23 janvier 2021 a testé le nouveau processus d’information et que les opérations d’information en direct d’arrowhead ont commencé en février. C’est une preuve de mise en œuvre, et pas seulement d’intention.

Lapage durable de reprise après réinitialisation du systèmede TSE indique les conséquences opérationnelles. Une réinitialisation annule les ordres côté bourse; les entités renvoient généralement les ordres des clients confiés, sauf convention contraire distincte; les ordres partiellement exécutés nécessitent un chaînage; les exécutions valides antérieures à la défaillance restent valides en principe; les données FLEX redémarrées reflètent la période postérieure au redémarrage, les informations quotidiennes consolidées étant publiées ultérieurement; et les règles relatives aux prix, aux arrêts pour informations d’entreprise et aux ventes à découvert font l’objet d’un traitement explicite. Ce sont exactement les questions d’état qui n’avaient pas de réponse convenue le 1er octobre.

TSE a également ouvert unprocessus de consultation publique en 2021pour les lacunes dans les avis de détail des transactions causées par une défaillance du système. La publication des propositions de traitement et des réponses aux commentaires rend la frontière juridique et opérationnelle révisable au-delà de la salle d’incident.

Preuve au niveau du groupe et travaux résiduels

L’examen du plan de gestion de l’exercice 2020de JPX a fait état de l’achèvement des paramètres corrigés et des vérifications complètes, des procédures de commutation forcée, des vérifications des systèmes clés et d’une fonction d’arrêt de la négociation indépendante du NAS. Il décrit les tests et les exercices comme étant en cours et les règles du conseil comme la base d’un examen continu de l’efficacité. Cette divulgation est une preuve de gestion utile, bien qu’il s’agisse d’un rapport de première partie plutôt que d’une certification technique externe.

La dépendance s’étendait au-delà des propres cotations de TSE. L’avis du 1er octobrede la Bourse de Nagoya a déclaré que son arrêt de toute la journée provenait du système de négociation de TSE qu’elle utilisait. La Bourse de Fukuoka a également publié desinstructions de traitement pour le lendemainaprès sa suspension de toute la journée. La réparation devait donc coordonner les bourses régionales utilisant arrowhead, et pas seulement les filiales de JPX.

L’évolution ultérieure du système fournit des preuves de continuité supplémentaires, mais non concluantes. L’historique de service d’arrowheadactuel de JPX indique que la quatrième génération est entrée en service en novembre 2024 avec la résilience comme objectif explicite, parallèlement au traitement synchronisé des données de négociation à trois nœuds et aux fonctions actuelles axées sur la reprise. Une nouvelle génération réussie montre un investissement et des priorités de conception modifiées. Elle ne peut pas prouver rétroactivement que toutes les faiblesses de 2020 étaient absentes à chaque instant après l’incident.

Faits confirmés, inférences étayées, affirmations contestées et inconnues

Faits confirmés

La carte mémoire est tombée en panne; la paire NAS n’a pas basculé automatiquement;On Panic=Falseavait un comportement réel différent de la compréhension basée sur le manuel; les tests représentatifs de l’état de panique étaient absents; tous les chemins d’arrêt ordinaires et d’urgence dépendaient des fichiers NAS; le basculement forcé a réussi à 09h26; les données d’exécution des enchères diffusées vers 09h00 étaient invalides; certaines transactions ToSTNeT sont restées valides; le redémarrage le jour même n’avait pas été testé; la préparation estimée au renvoi était d’environ 38 % en valeur de transaction et limitée aux sociétés étrangères; TSE est restée fermée; la négociation normale s’est terminée le 2 octobre; la FSA a émis deux ordres d’amélioration des activités; JPX/TSE et Fujitsu ont imposé des conséquences de gestion; et une remédiation technique et procédurale a suivi.

Inférences étayées

La redondance matérielle nominale n’était pas une redondance opérationnelle parce que l’état déployé, le manuel, les tests et le chemin de reprise manuelle ne prouvaient pas conjointement le basculement. Le NAS partagé a créé un mode commun de plan de contrôle même si les données d’appariement avaient d’autres protections de synchronisation. Le « Never Stop » est devenu une condition de gouvernance contributive lorsque les routines d’ouverture ont été traitées comme des valeurs par défaut malgré des preuves de préparation incomplètes.

La décision de rester fermé a protégé l’intégrité du marché, tandis que l’incapacité de rouvrir a exposé une lacune de continuité évitable. Ce sont des conclusions de contrôle étayées par le dossier, et non des jugements juridiques.

Affirmations contestées

Aucun différend causal matériel entre TSE, JPX, FSA et Fujitsu n’apparaît dans le dossier formel cité. Les premières formulations abrégées qui attribuaient l’incident au matériel ont été remplacées par la chaîne documentée de paramétrage et de gouvernance, et sont incomplètes sans celle-ci. Les affirmations publiques selon lesquelles TSE aurait pu simplement rallumer les marchés sont contredites par les avis conservés, l’état des entités et les preuves de préparation. Comme aucune partie formelle n’a présenté d’alternative testée pour le jour même, cet article ne fabrique pas un différend bilatéral.

Inconnues

Le dossier public n’identifie pas la Société A, ne publie pas le contrat OEM, ne divulgue pas le code source ni les fichiers de configuration complets, ne fournit pas le rapport complet de laboratoire de la carte défaillante et ne montre pas tous les commentaires d’examen interne. Il ne quantifie pas les pertes économiques de chaque investisseur, n’établit pas si TSE ou Fujitsu a versé des indemnités privées et ne tranche pas sur la responsabilité contractuelle. Il ne publie pas les réponses de préparation entité par entité et ne prouve pas que l’estimation de 38 % était exacte.

Il ne fournit pas de résultats indépendants complets pour chaque exercice ultérieur et ne prouve pas que tous les systèmes régionaux et des entités ont mis en œuvre chaque règle en même temps.

Contrôles contrefactuels et norme de preuve

Ce que le dossier d’impact prouve et ne prouve pas

L’impact critique de l’incident est confirmé sans inventer une estimation des pertes en yens. TSE n’a offert aucune opportunité de négociation aux enchères pour toute la journée prévue; ToSTNeT s’est arrêté après l’intervalle de pré-ouverture; Nagoya et Fukuoka ont également suspendu la négociation parce qu’elles utilisaient le système de TSE; les données de marché publiques ont nécessité une invalidation et une correction; et les courtiers, les émetteurs et les investisseurs ont dû reporter leurs décisions d’investissement ouvertes à la séance suivante.

La fonction centrale de découverte des prix de la bourse était indisponible même si les dérivés de l’Osaka Exchange se poursuivaient.

Les sources publiques ne fournissent pas un grand livre transactionnel contrefactuel complet montrant ce que chaque investisseur aurait acheté ou vendu, à quel prix, en l’absence de la panne. Elles n’agrègent pas non plus le coût de remédiation des courtiers, le glissement de couverture sur d’autres marchés, l’activité d’émission retardée, les effets sur les indices ou les réclamations privées. Une journée de négociation indisponible peut créer des coûts d’opportunité et une exposition au risque, mais ces résultats dépendent de l’intention des investisseurs et des prix ultérieurs.

Cet article ne convertit donc pas la capitalisation boursière, le chiffre d’affaires d’une journée moyenne ou la valeur d’un ordre non exécuté en dommages.

L’impact institutionnel est indépendamment significatif. La FSA a estimé que l’arrêt de toute la journée avait gravement nui à la confiance des investisseurs dans une bourse d’instruments financiers, a exigé des rapports de remédiation réguliers et a exigé des responsabilités explicites. La dépendance régionale a montré qu’une seule défaillance de contrôle pouvait affecter des marchés juridiquement distincts. Les mesures de gestion prises chez JPX/TSE et Fujitsu ont démontré que les deux conseils d’administration traitaient l’événement comme une défaillance de gouvernance, et non comme une maintenance de routine des composants. Ces faits justifient le classement d’impactCRITIQUEtout en préservant la différence entre la perte d’un service national de formation des prix, les coûts de réponse mesurables et les pertes monétaires privées non prouvées.

Le contrefactuel préventif le plus étroit est direct: avecOn Panic=True, le contrôleur récepteur aurait initié le basculement immédiat après l’avis de panique. La reproduction sur l’équipement réel avant le changement de production étaye cette conclusion pour l’état connu.

Un contrefactuel préventif plus solide est basé sur la gouvernance. Si chaque changement de comportement du produit avait été mis en correspondance avec les exigences du système, le changement de valeur par défaut et la sémantique de panique auraient déclenché un examen. Si la valeur non par défaut exacte déployée par TSE avait été testée en cas de perte du contrôleur plutôt que seulement en cas d’interruption du battement de cœur, l’incohérence aurait pu être détectée avant la mise en service.

Si la porte d’acceptation exigeait des preuves pour chaque branche de déclenchement, un résultat générique « test de basculement réussi » n’aurait pas clôturé l’exigence.

Les contrôles de réduction de l’impact sont distincts. Un manuel de basculement forcé validé aurait pu raccourcir la récupération du stockage. Une commande indépendante du NAS qui arrêtait l’appariement et la réception des ordres aurait pu empêcher les avis d’exécution conservés. Une porte d’ouverture du marché aurait pu arrêter l’acceptation des ordres à 08h00 une fois que les écrans de contrôle critiques et les communications étaient altérés. Des sémantiques de redémarrage convenues à l’avance et des exercices pour les entités auraient pu permettre un renvoi large et équitable et une reprise le jour même.

La preuve doit être stratifiée. Lapreuve de configurationcomprend des inventaires signés, des mises en correspondance entre les exigences et les paramètres et des tests sur les dispositifs réels. Lapreuve de domaine de défaillancecomprend des exercices destructifs ou d’injection de défauts couvrant les états de panique, de battement de cœur, d’E/S partielle, de perte de contrôle et de propriété obsolète. Lapreuve de contrôle du marchédémontre que les chemins d’arrêt indépendants arrêtent les processus prévus et préservent les journaux faisant autorité. Lapreuve de redémarragerapproche l’état de la bourse, des courtiers, des clients, des données publiques et de la compensation. Lapreuve de participationmesure quelle part et quelle diversité du marché peuvent revenir dans chaque fenêtre de reprise. Lapreuve de gouvernanceenregistre les exceptions, les propriétaires, les délais, l’examen par le conseil et le suivi du régulateur.

La disponibilité n’est qu’un seul résultat. Une bourse résiliente doit pouvoir s’arrêter en toute sécurité, expliquer ce qui est valide, se restaurer à partir d’un état connu, inclure un marché représentatif et produire des preuves que chaque étape a fonctionné. La panne de 2020 a montré pourquoi un dispositif de secours, un plan d’urgence et plusieurs fonctions d’urgence peuvent tous exister alors que la continuité reste non prouvée.

Conclusion

La panne du 1er octobre 2020 a été déclenchée par une défaillance physique de la mémoire, mais son importance est venue de l’échec du confinement. Une description de produit obsolète, un paramètre hérité, une séquence de panique non testée et une préparation insuffisante à la commutation manuelle ont vaincu la redondance du stockage. La dépendance partagée a ensuite désactivé les contrôles des données de marché et de l’arrêt de la négociation. L’acceptation des ordres et une coupure au niveau du réseau ont créé un état qui ne pouvait pas être rapproché en toute sécurité avec les systèmes des entités selon une règle répétée.

Le choix de TSE de ne pas redémarrer au milieu de la journée n’était pas une preuve d’indifférence à la continuité. Selon le dossier officiel, c’était une décision rationnelle d’intégrité du marché: la reconnexion risquait de fournir des exécutions invalides, la réinitialisation risquait d’exclure la majeure partie de la participation nationale et de détail, et aucune des deux voies n’avait été testée. La défaillance de responsabilité s’est produite plus tôt, lorsque l’écosystème de la bourse n’avait pas fait du redémarrage sûr une capacité conçue et prouvée.

La responsabilité a suivi le contrôle. Fujitsu détenait la documentation du produit de marque, la conception des paramètres, la validation du produit et des fonctions de maintenance importantes, et a accepté une faute substantielle dans cette chaîne. TSE détenait les critères d’acceptation, l’architecture d’arrêt indépendante, les règles du marché et la préparation des entités. JPX détenait la supervision du groupe et les priorités de résilience. Les entités détenaient leur état des ordres et la récupération de l’état des clients une fois que la bourse avait fourni un protocole convenu.

La FSA détenait l’application de la surveillance et a exigé que ces contrôles deviennent explicites.

Le dossier de réparation est crédible parce qu’il contient plus que des excuses: une carte mère remplacée, une reproduction du basculement sur l’équipement réel, un paramètre de production corrigé, un examen complet des paramètres, des procédures de commutation forcée, le développement d’un arrêt indépendant, des exercices pour les entités, des sémantiques de redémarrage publiées, une cadence d’information et des travaux de résilience au niveau du groupe. Sa limite résiduelle est tout aussi importante. Aucun test fini ne prouve qu’un marché ne s’arrêtera jamais.

L’objectif responsable est de montrer que lorsqu’un composant ou un état imprévu tombe en panne, le marché peut s’arrêter avec autorité, préserver la vérité, se rétablir largement et démontrer pourquoi la réouverture est équitable.