概況
- 2020年10月1日午前7時04分（日本標準時）、arrowhead が、デュアルノード NAS 装置の一方のコントローラーのメモリーから大量のアクセスエラーメッセージを検知した。機器障害が引き金となった。構成部品は耐用年数の範囲内で故障し得るものであり、冗長化はまさにその事象を封じ込めるために存在していた。
- 技術的な根本原因は、NAS の
On PanicパラメーターがFalseに設定されていたことにある。これは、標準的なテイクオーバーが引き続き発生するという時代遅れの理解に基づいていた。実際の製品仕様では、ハートビート喪失よりも前にパニックメッセージが届いた場合、即時テイクオーバーも標準テイクオーバーも開始されなかった。古いマニュアル、不十分な仕様変更管理、そして実態を反映しない故障テストがその設定を生み出した。 - ストレージペアは、市場データ配信、監督画面、および通常または緊急の売買停止経路のすべてで使用される共有ファイルを保持していた。この共通依存性は寄与条件であり、複数の指名された制御手段が存在したものの、それぞれが利用不能になった同一の NAS を待機していた。
- TSE は症状を迅速に検知し、緊急対策本部を設置し、富士通と協力した。しかし、診断ツール自体も停止し、事前に準備された強制テイクオーバーコマンドは不十分で、複数回の試行が失敗した後、修正されたコマンドにより9時26分に NAS 2号機への切り替えが行われた。
- 注文受付は08:00に開始された。TSE は取引を正常に停止できなかったため、ネットワークロードバランサーで arrowhead と ToSTNeT を08:54と08:56に遮断した。受け付けられたオークション注文の内部約定処理は継続し、FLEX は09:00以降に約1分間の約定データを配信した。TSE はそのオークションデータを無効と宣言し、適格な ToSTNeT 約定は有効であることを別途確認した。したがって、市場データの整合性には、単にケーブルを再接続するだけでなく、法的および運用上の分類が必要だった。
- 再起動せずに再開すれば、TSE が既に無効と宣言していた滞留約定通知が解放される恐れがあった。再起動すれば取引所側の注文や約定はクリアできるが、参加者は通常の失効メッセージを受信せず、多くは顧客注文を再構築・再送信できなかった。TSE の照会によれば、海外証券会社に限ると取引金額の約38％しか準備できていなかった。独立社外取締役委員会は、その状況下での全日停止判断を合理的とした。
- 同委員会と金融庁は、対応の合理性と、事象発生前の不備とを区別した。TSE はテスト環境でさえ再起動・再開をテストしておらず、参加者との注文取扱合意や明確な同日再開プロセスも確立していなかった。再開しないという防衛的判断は、安全な再開を不可能にした継続性管理の失敗を消し去るものではない。
- 富士通は、OEM ストレージを自社ブランドで供給し、製品ドキュメントを作成・伝達し、詳細設計で設定を設計し、arrowhead を開発・保守し、インシデント対応を支援した。富士通は出荷品質責任とテスト不足を公に認めた。調査では、マニュアル誤りと設定チェーンについて富士通に大きな責任があるとしつつ、TSE も NAS の重要性に見合った故障テストを要求すべきだったと一定程度指摘した。
- 金融庁は、金融商品取引法の別個の条項に基づき、TSE と JPX の双方に業務改善命令を発出した。仕様変更管理、依存関係の見直し、NAS 非依存の売買停止、参加者ルールと訓練、グループ全体の検査、そして「Never Stop」偏重からレジリエンスへの転換を求めた。
- 経営上の帰結は明示的だが手続き的に限定されていた。TSE の宮原幸一郎社長が辞任、JPX および TSE の役員が報酬減額または厳重注意を受け、富士通は役員5名の報酬減額と3名の上級役員への警告を行った。これらは規制命令を受けた会社統治上の措置であり、損害賠償、過失、刑事責任の判決ではない。
- 修復の証拠は階層的に存在する。マザーボード交換と10月2日の監視付き取引、実機テスト後の10月4日の本番環境での
On Panic=True設定、包括的な NAS 設定レビュー、強制切替手順、NAS 非依存の緊急停止経路、参加者訓練、公表された再開・注文・情報ルール、そしてその後の arrowhead レジリエンス作業である。これらのアーティファクトは保証を実質的に改善するが、すべてのハードウェア状態、参加者システム、将来の障害に対して中断なく復旧できることを公的情報源が証明しているわけではない。
証拠の境界と手続き上の位置づけ
本分析では5つの証拠ラベルを使用する。確認済み事実は、同時期の取引所通知、技術報告書、会社開示、ルール記録、規制措置に直接記載されているもの。裏付けられた推論は、確認事実を結びつけて管理分析を行い、判決を主張するものではない。争いのある主張は、実質的に対立する立場があることを要し、単なる不完全性や後の精緻化は争いではない。不明は、公的記録が解決しない疑問。法的または規制上の認定は、それを行った機関にのみ帰属し、当該手続き内に限られる。
主要な調査記録は、JPX の独立社外取締役委員会報告書である。その英訳は、自らの限界について異例なほど明示的である。委員会は JPX の社外取締役で構成され、従来の第三者委員会ではなく、事実経緯については JPX および TSE から提供された資料と情報に依拠し、積極的な事実認定や法的責任の追及を主目的としなかった。両社の説明、調査方法、対応、富士通の調査を含む改善策を評価した。これは強力な正式なガバナンス記録だが、独立した司法判断ではない。
金融庁の日本語の行政処分は異なる立場にある。規制当局は10月2日に報告を求め、10月16日に受理し、11月30日に業務改善命令を発出する前に立入検査を実施した。したがって、その認定は規制上の権限を伴う。私的補償の判断、TSE・富士通・非開示の OEM サプライヤー間の契約上の損害配分、または犯罪行為の立証を行うものではない。
富士通の開示は、直接関与したベンダーによる自認と説明である。同社は10月19日、ETERNUS NR1000 が他社が開発・製造した OEM 製品として供給されたが、出荷品質の責任は富士通にあると述べた。また、マニュアルが OS 主導の仕様変更に追随しておらず、テストと確認が不十分だったことを認めた。これらの声明は重要な一次証拠であるが、富士通やサプライヤーの全ての技術記録を外部監査したものではない。
因果関係の説明は精緻化されたが、実質的な争いはなかった。TSE の10月1日および5日のコミュニケーションはメモリーモジュール障害と切替え失敗を説明した。その後の調査では、コンポーネント事象、設定メカニズム、影響を拡大した運用条件が区別された。引用された JPX、TSE、金融庁、富士通のいずれの情報源も、その連鎖を正式に争ってはいない。全日停止が「単なるランダムなハードウェア障害」だったとか、逆に「実際のハードウェア障害はなかった」という主張は、正式な記録と矛盾し、残存する制度的な争点ではない。
原因特定以前の経緯
10月1日以前: 継承された前提を持つ高速システム
arrowhead は2010年から稼働していた。第3世代は2019年11月5日にハードウェア更新と性能向上を経て稼働開始した。TSE と富士通の共同リリースは、機能性、安定したパフォーマンス、安全で安心な市場を強調した。その後の調査では、数百の同期サーバーが注文受付、マッチング、約定通知返信、相場情報配信、清算接続、監督・制御機能を提供するシステムとして説明された。公表された注文応答時間は約200マイクロ秒だった。
この速度のコンテキストは重要である。継続性とはサーバーの可用性を維持するだけではない。取引所は、注文、約定、公式通知、公的価格情報、監督、参加者帳簿、最終的な清算にわたって共通の状態を保持しなければならない。高速マッチングは、制御プレーンの一部が損なわれたときに秒単位で分岐し得る状態量を増大させる。
NAS ペアは、arrowhead のマッチングアーキテクチャの代替として中核の同期注文台帳を保持していたわけではない。複数のサーバーや運用機能が必要とする銘柄情報やユーザー情報などの共通ファイルを保持していた。これらのファイルを集中化することは一貫性と効率的な設計を支えたが、フェイルオーバーが失敗した場合、市場データと制御プロセスが同じストレージサービスを待つことになるという意味も持っていた。
問題の設定は第3世代に先立っていた。旧製品の挙動では、On Panic=Falseは即時テイクオーバーを無効にするが、標準テイクオーバーはハートビート喪失後も引き続き機能した。この設定は第1・第2世代で機能していた。その後の製品進化の過程で、NAS の仕様は変更された。パニック通知がハートビートメッセージの停止より前に届いた場合、Falseは標準テイクオーバーも防止するようになった。デフォルト値はFalseからTrueに変更されたが、関連する文書仕様はこの挙動変更を正確に記述しなかった。古いFalseの値が第3世代に持ち越された。
これは TSE が復旧目標を指定しなかったケースではない。第3世代の要件では、NAS 関連機能は機器障害から30秒以内に切り替わって継続することが求められていた。失敗は要件、製品挙動、詳細設定、レビュー、代表的なテストの間に存在した。書面上の継続要件は、配備されたスタンバイがそれを満たすことを証明しなかった。
過去のインシデントは、同じ欠陥の再発を証明せずとも警告のコンテキストを提供した。2012年、相場情報ゲートウェイの一部が故障し、241銘柄が午前中売買停止となった。調査はその事象を不完全なソフトウェア切替えと切替え確認不足に帰した。2018年、コロケーション利用者からの大量メッセージがルーティング機器に過負荷をかけ、複数の参加者ゲートウェイを切断した。TSE の2018年インシデント報告書はネットワーク制御、参加者コミュニケーション、拡張故障テストを文書化した。これらの修復はそれらのメカニズムに対処したが、2020年に発生した正確な「パニック先行・ハートビート後」状態のテストは行わなかった。
07:04-08:36: 検知、診断、停止決定
07:04、監視が NAS 1号機に関する多数のアクセス異常メッセージを生成した。07:10、一部の売買監視端末と運用管理端末がログイン不能となったが、他の端末は使用可能だった。この混在状態は初期評価を複雑にした。システム状態を報告すべき診断ツールは、結果を返さずに稼働し続けた。TSE は07:10に富士通へ連絡し、富士通のプラットフォームおよびアプリケーション担当者が07:11から共同で影響範囲の特定を開始した。
07:30以降、TSE は銘柄情報の遅延を検知し、予定されていたルーティング保守と通信開始メッセージが送信されていないことを発見した。横山隆介 CIO が07:37からシステム障害緊急対策本部の長を務めた。07:55、富士通は、メッセージが NAS 1号機の制御機構の故障を示し、NAS 2号機への期待された切替えが発生しなかったと報告した。
08:00、arrowhead は通常スケジュール通り注文受付を開始した。この決定は後から重要になるが、後知恵で書き換えるべきではない。委員会の認定によれば、08:00以前の TSE は事象の全体像や影響をまだ把握しておらず、一部の画面は使用可能であり、スタッフは必要があれば通常または緊急の売買停止制御が市場を保護できると考えていた。しかしその後、委員会は、08:00の注文受付と09:00の取引開始を、証拠に基づく条件ではなく絶対的なものと見なす深層の「Never Stop」前提を批判した。
08:01、TSE は通信開始メッセージが送信できないことを参加者に通知した。復旧と影響分析は並行して継続された。TSE は、相場情報配信が復旧しなければ全銘柄を停止する意思決定の閾値を08:30とし、09:00の取引開始前に参加者へ通知する時間を残した。配信は依然障害中だった。08:36、TSE は業務規程第29条第4号に基づく売買停止を参加者に通知した。公開された最初の英語版市場通知は、技術的障害が相場情報配信に影響し、全上場銘柄が売買停止となり、注文受付が停止されるとした。
停止決定の指示と実際の技術的停止は別の事象だった。通常の売買停止には売買監視画面が必要であり、市場停止には運用管理画面が必要だった。緊急ジョブはそれらの画面を迂回したが、なお NAS ファイルを読み込んだ。いずれも利用不能だった。そのため TSE は、特定のサーバーへの注文を制限するために設計されたネットワーク制御を使用した。arrowhead のロードバランサーを08:54に、ToSTNeT のロードバランサーを08:56に遮断した。これにより新たな参加者通信は防止されたが、マッチングを停止する通常の命令は出されなかった。
08:16-09:26: 失敗したテイクオーバー試行と状態の分岐
並行して、TSE と富士通は NAS 2号機に強制的に制御を握らせようと試みた。08:16の NAS 1号機電源切断命令と08:26の制御移行命令は失敗した。08:28のポートブロックは通信を遮断したが、NAS 1号機は既にダウンしておりテイクオーバーは発生しなかった。08:42の条件変更試行も失敗した。09:23に富士通の製品グループから供給されたコマンドが失敗した後、09:26にそのコマンドにオプションを追加して最終的に NAS 2号機への強制切替えに成功した。相場情報プロセスと監督・管理画面が使用可能になったことが確認された。
初期検知から強制テイクオーバー成功までの82分間は、単なる故障コンポーネントの修理時間ではなかった。復旧管理のギャップを露呈した。エンジニアは自動テイクオーバーが起こると想定していたため、検証済みのコマンドや状態依存の手動手順が準備されていなかった。調査は富士通の準備不足を認定し、TSE 自身の不十分な想定も認識した。
一方、受け付けられた注文は市場の完全性問題を生み出していた。08:00に注文受付が開始され、リアルタイムの注文データは当初流れていた。ロードバランサー操作がマッチングエンジンを停止させなかったため、arrowhead は08:54までに受け付けた注文を処理した。相場情報の遮断が09:00の取引開始をまたいだため、FLEX は約1分間の見かけ上の約定データを配信した。09:11、TSE はそれまでに配信されたデータは無効であると市場に伝えた。その3回目の英語報告は、ToSTNeT も停止し、これまで配信された FLEX データはすべて無効だが、大阪取引所のデリバティブ取引は正常に稼働していると述べた。
その後の分類はより正確だった。TSE の同日の取引状況に関する通知は、オークション市場の約定は法的に一切成立しておらず、FLEX が見かけの約定を伝えた場合でも同様であり、売買停止前に受け付けた注文は翌日に引き継がれないとした。一方、08:56までに受け付けた ToSTNeT 注文は約定しており、すべての約定通知は送信済みであると別記した。「全データ無効」は緊急の相場情報警告であり、全ての取引外契約が無効という声明ではない。
この区別は説明責任の核心である。ストレージフェイルオーバーはファイルアクセスを復旧できても、どのメッセージが有効な市場行為を構成するかの決定、参加者システムの整合、顧客残高の復元、公正な価格形成の再現を単独で行うことはできない。復旧には技術的状態と権威ある市場状態の両方が必要だった。
09:26-11:45: 健全なスタンバイが公正な市場を作らなかった理由
強制切替え後、TSE は2つの経路を検討した。再起動せずに再接続するか、arrowhead を再起動して再開するかである。再接続すると、ネットワーク遮断前に処理された注文について arrowhead 内部に保持された約定通知が解放される。TSE は既にこれらのオークション結果を無効と宣言していた。参加者は通知を有効と扱い、顧客残高を更新し、誤った前提で取引を継続するおそれがあった。当日の基準価格も内部処理により影響を受けていた。委員会はこの経路を公正かつ公平な市場と両立しないと見なした。
再起動すれば、取引所側の受注済み注文、約定データ、基準価格はリセットされる。しかし、参加者の通常プロセスは通知駆動である。TSE に送信された注文は、通常、参加者が受付、約定、失効のメッセージを受け取ることで状態が変わる。再起動は、通常の失効通知を送ることなく取引所状態をクリアする。ブローカーは例外的処理を用いて注文を「送信済み」状態から外し、顧客指示を照合し、再送信可能な注文を送り直さなければならない。一部のプリファンド型リテールシステムでは、無効な約定が購買力や保有数量を変更するのを防ぐ必要もあった。
TSE は、主要な国内ブローカー、オンライン証券、海外法人、共用システムベンダーに11:00前までに意見を求めた。オンライン証券は当該プロセスを処理できないと回答し、多数の中規模参加者にサービスを提供する大手ベンダーはテスト経験がなく、準備状況を確認できなかった。委員会は後に、準備が整っていると推定される母集団は取引金額シェアで約38％を超えず、属性としては海外証券会社に限定されると定量化した。そのようなサブセットが支配する再開市場は、国内・リテールの参加を大きく排除し、代表的な価格形成を脅かす恐れがあった。
11:00、JPX のグループ CEO と TSE 社長は臨時リスク管理委員会会合に参加した。宮原 TSE 社長が終日取引停止の決定を下し、11:45に公表された。同日の TSE 第5報は、切替え失敗が相場情報を妨げ、ハードウェア交換が計画されており、市場参加者との協議の結果、日中の再起動は投資家と参加者の混乱を引き起こし得ると説明した。
11:45-10月2日: 制御された翌日復旧
TSE は終日停止を市場状態の曖昧化の許容とは扱わなかった。同日の取扱いに関する日本語通知は、オークションと ToSTNeT の結果を分類した。別の翌営業日の取扱いに関する通知は、基準価格、継続する空売り価格規制、値幅制限の扱い、特別な ToSTNeT 価格アレンジメントを規定した。19:25、TSE の再開通知は、10月2日にオークション・ToSTNeT 取引が通常通り行われ得る見込みとした。
ハードウェア面では、TSE と富士通は故障した NAS 1号機のメモリーを搭載するマザーボード全体を交換した。調査報告によれば、システムはアクティブ-アクティブ構成に戻り、迅速な手動切替手順が利用可能になり、両組織は強化された監視を確立し、準備処理は正常に完了し、マザーボード交換は22:00に終了した。10月2日の取引は問題なく終了した。
保証の意味での修復はまだ完了していなかった。10月2日、当事者は設定エラーを特定した。実機上で関連する条件を再現し、正しい切替えを確認し、10月4日に本番環境でOn Panic=Trueに設定した。修正値での運用は10月5日に開始された。TSE の初期の英語技術通知は、メモリーモジュール障害、切替え失敗、10月4日の設定変更、および自動切替えが期待通り動作することの確認を文書化した。
原因マップ: 引き金、根本原因、寄与条件
引き金
引き金は、NAS 1号機のメモリーカードを読み取り・書き込み不能にした偶発的な物理故障だった。富士通と非開示の OEM サプライヤーが部品を調査した。同一モデルの報告された故障履歴は富士通の内部閾値内であり、カードは耐用年数内で、欠陥生産ロットは特定されなかった。委員会はそのコンポーネント故障の発生について TSE を責めなかった。
メモリー故障を引き金と呼ぶことは意味論的な逃避ではない。スタンバイ設計はコンポーネントが故障するからこそ作られる。搭載された冗長性にもかかわらず、1つの稼働コンポーネントが市場を停止させ得るなら、説明責任分析は封じ込め制御がなぜ失敗したかを検証しなければならない。
技術的根本原因
技術的根本原因は、配備された NAS の実際の挙動に対する誤ったOn Panic=False設定だった。故障したコントローラーは0.5秒のハートビート監視が停止する前にパニック通知を送信した。実際の仕様では、Falseは即時テイクオーバーを抑制し、そのシーケンスでは標準テイクオーバーも抑制した。NAS 2号機は制御を握らず、ペアは依存機能に対して利用不能のままとなった。
設定連鎖には複数の確認事実があった。旧製品はFalseで標準テイクオーバーを許容していた。後の仕様とデフォルトは変更された。サプライヤーの文書はデフォルト変更を記録したが、挙動変更を記録しなかった。富士通のマニュアルは不正確なままだった。富士通は詳細設計でFalseを記述し、TSE は同じ不正確なマニュアルに照らしてその設計をレビューし、両組織の本番前テストはいずれもパニックシーケンス下での NAS 機能喪失を再現しなかった。TSE の1ページのNAS 設定補足資料は、パニックメッセージが期待された遅延テイクオーバーをいかに妨げたかを図解した。
富士通自身の原因と対策の開示は、動作連鎖を確認した。マニュアルは自動切替えが常に発生すると記述し、実際の製品はメモリー故障条件下で切り替わらないよう設定可能であり、マニュアルは OS バージョン更新を通じて導入された仕様変更に追随しておらず、富士通のテストと確認はその不一致を検出できなかった。
寄与条件1: 仕様ガバナンスが要求を保持しなかった
TSE は30秒以内の処理継続を要求した。富士通のシステムエンジニアは設定値を知っていたが、富士通は TSE の要求が一貫性レビュー時に製品グループに伝達されなかったと委員会に説明した。製品グループは機器設定が相互に矛盾していないかチェックしたが、そのデバイス挙動が取引所のシステムレベルの復旧目標を満たすかどうかはチェックしなかった。
これは裏付けられたガバナンスの推論である。要求、実装、製品検証のループは閉じていなかった。OEM の挙動変更後に「30秒継続」が引き続き真であることを保有文書で証明した単一のドキュメント所有者はいなかった。この推論は、誰かが意図的に変更を隠蔽したことを立証するものではない。
寄与条件2: テストはハートビート喪失を表したが、実際の故障状態を表さなかった
TSE と富士通はハートビート通信の遮断をテストし、サービスが継続することを確認した。彼らはそれを NAS コントローラーの喪失に対する十分な証拠と扱った。それは等価ではなかった。実際の事象では、コントローラーはハートビート喪失前にパニックメッセージを発し、テイクオーバーロジックの異なる分岐を選択させた。そのため、「切替え」という名前のテストはパスしたが、本番の故障モードは未テストのままだった。
管理上の教訓は正確である。テストカバレッジは、広いラベルではなく、トリガー状態と結果としての不変条件で表現されなければならない。無音のハートビート喪失後にスタンバイがテイクオーバーする証拠は、コントローラーパニック、部分 I/O 障害、陳腐化した所有権状態、不正な形式の通知後のテイクオーバーを証明しない。
寄与条件3: 複数の制御が1つのストレージ依存性を共有した
NAS は内部データの一貫性を保つために共有ファイルを集中化していた。相場情報配信、監督画面、運用画面、通常停止、市場停止、緊急停止ジョブはいずれもこれらのファイルに依存していた。緊急経路は手続き上区別されていたが、故障ドメインとして独立していなかった。NAS ペアが利用不能になったとき、設計されたすべての停止命令が失敗した。
この依存性はストレージインシデントを取引制御不能に拡大した。また、マッチングを停止させずに通信を止めるネットワーク隔離を余儀なくした。金融庁は後に TSE に対し、システム全体の依存関係を検査し、特定の場所の故障が継続性に不可欠な機能を無効にしないことを確保するよう命じた。
寄与条件4: 強制復旧は即席だった
自動切替えが期待されていたため、切替え失敗状態での制御奪取のための正確なコマンドは準備・検証されていなかった。09:26に富士通が成功するコマンドオプションを提供するまでに複数回失敗した。物理ケーブル切断も検討された。スタンバイはハードウェアが通電・同期しているからといって運用上利用可能なわけではない。オペレーターは、自動化が機能しないときに機能する、状態認識され、リハーサルされた権限移行パスを必要とする。
寄与条件5: 注文受付と再開ポリシーが1つの継続性システムとして設計されていなかった
TSE のポリシーは、過去の事象後に参加者がその挙動を要望したため、売買停止中の注文受付を許容した。10月1日、影響が完全に理解される前に注文を受け付けたことは、後の異常停止の調整をより困難にした。注文受付をいつ停止するか、再起動後に受け付けられた注文がどうなるか、どの通知が参加者状態を制御するか、十分な市場多様性が戻ったかを判断する方法について、合意されたルールは存在しなかった。
独立委員会は、スタッフが知っていたことに基づけば TSE のリアルタイムの判断は合理的だったが、事前の判断基準、手順、参加者コミュニケーション、テスト準備は不十分だったと認定した。これらの結論は共存する。インシデントコマンドは利用可能な中で最も害の少ない決定を行うことができても、ガバナンスは有害な復旧オプションしか許さなかったことに対して説明責任を負う。
寄与条件6: 信頼性文化が復旧可能性を上回った
委員会は「Never Stop」について異例に直接的な言葉を用いた。08:00の注文受付開始と09:00の取引開始を過度に重視したことが、復旧後の円滑な再開を不可能にする一因となったと述べた。金融庁も同様に、JPX のレジリエンス作業が信頼性重視に遅れをとっていると認定した。裏付けられた推論は、高可用性が誤りだったということではない。中断の防止が、制御されたデグラデーション、権威ある停止、状態リセット、テスト済み再開よりも強い設計前提になっていたということである。
検知、対応、復旧、市場データの完全性
検知
検知は欠如もしておらず、完全に効果的でもなかった。監視は07:04に直ちに NAS アクセス異常を表面化させ、運用症状は数分以内に現れた。TSE は注文受付時間前に富士通と緊急対策本部にエスカレーションした。これらは肯定的な制御である。
同時に、診断ツール自体が無期限に待機し、端末の可用性は一貫せず、初期の相場情報欠落は別々の兆候から組み立てなければならなかった。検知は異常を明らかにしたが、即時に障害ドメインを説明したり安全な停止を保証したりはしなかった。残る教訓は、観測可能性を観測対象コンポーネントから分離し、市場開始の証拠を事前定義することである。必要な制御画面、データフィード、停止パス、参加者メッセージがすべて、注文受付前にパスしなければならない。
対応
対応は3つの同時目標を持った。ストレージの復旧、不公正な市場の開始防止、権威あるステータスの伝達である。TSE はこれら3つすべてを追求した。強制テイクオーバーを試み、08:30の決定閾値を設定し、08:36に参加者に通知し、予定開始前に注文接続を隔離し、誤解を招くオークションデータを無効化し、参加者種別に協議し、正式な全日停止決定を行った。
対応は実装上の弱点も露呈した。ネットワーク遮断は09:00に十分近く完了し、約1分間の約定データが漏洩した。最初の公開通知は必然的に発展したが、そのシーケンスはユーザーを復旧スケジュールの待ち状態にした。後の再発防止協議会の2020年12月の情報ポリシー草案は、専用のシステム状況ページ、進展がなくても通常30分ごとの更新、事象・影響・再開ステージ、プッシュ配信を提案した。この改善策は、コミュニケーションのリズムと構造が継続性ギャップの一部だったことの証拠である。
再開しなかったことが完全性制御である理由
失われた取引機会は重大だった。それゆえ、どんな再開も閉鎖したままより良かったということにはならない。狭い参加者クラスしか注文を再構築できず、無効な約定通知がブローカーの帳簿に入り込み得るならば、あるいは公的価格メッセージが法的な取引状況と矛盾するならば、関連する意味での市場は継続的ではない。
全日停止判断は3つの完全性を保持した。取引の完全性は、どの注文と取引が存在したかについて共通の回答を要求した。データの完全性は、FLEX メッセージと翌日基準値の権威ある取扱いを要求した。参加の完全性は、公正な価格形成のために十分に幅広い国内・リテール・機関投資家・海外参加者の集合を要求した。公式の証拠は、同日再開についてこれらの条件が証明できなかったという TSE の結論を支持する。
委員会は経営陣に単に従ったのではない。38％準備状況の推定、参加者構成、テスト環境での再開試行の欠如、メッセージ状態問題を評価し、決定と情報収集プロセスを合理的と判断した。これは、経営陣が運用上の不便を避けるためだけに閉鎖を選択したという単純化された主張に対する最も強力な反証である。
復旧
復旧は段階的に行われた。09:26、強制テイクオーバーがアクセスと運用画面を復旧させた。夕方までに、TSE はその日の取引状態を分類し、翌日の市場取扱いを特定し、故障したマザーボードを交換し、共同監視をアレンジし、準備処理を完了した。10月2日の通常取引は重要なサービスレベルの結果をもたらした。
10月4日、実機で条件を再現した後、TSE はOn PanicをTrueに変更した。10月23日までに、富士通のシステムおよび製品チームは全 NAS 設定を要件と実際の製品挙動に対してレビューした。10月末までに、出荷時デフォルトと異なる値は実機で確認を受けた。調査はまた、強制切替手順の確認と、機器状態別コマンドリストの計画も報告した。
これらの段階を「一晩で修正」とひとまとめにしてはならない。コンポーネント交換は能力を回復し、強化された監視は短期の不確実性を管理し、設定変更は既知の自動切替え欠陥を除去し、包括的レビューは類似の設定エラーを探索し、手順は自動化失敗に対処した。それぞれが異なる保証の問いに答える。
経過後の説明責任の配分
東京証券取引所: 市場運営者かつシステム所有者
TSE は、現物市場が開始するかどうか、どの注文が受け付けられるか、メッセージが有効な取引を示すかどうか、いつ取引が停止するか、いつ再開できるかについて、主要な公的対面の制御を保持していた。30秒の NAS 継続要件を指定し、詳細設計をレビューし、arrowhead を運用し、コンティンジェンシープランを維持し、接続参加者を調整した。
したがって、その説明責任は悪い設定の著作よりも広い。TSE は専門ベンダーの正確なマニュアルに合理的に依拠することができ、委員会はその誤りについての主要な責任は富士通に置いた。しかし、TSE は、その障害が国家市場を停止させ得るシステムの受け入れ基準を制御していた。委員会は、NAS の重要性を考慮すれば、TSE はある程度、実際の機能喪失テストを要求すべきであり、設定欠陥を認識しなかったことについて部分的に責任があると認定した。
TSE はまた、技術的障害を取り巻く市場継続性の設計を所有していた。複数の停止メカニズムが故障した NAS を共有し、再起動・再開はテスト環境でもテストされておらず、参加者は合意された注文取扱いがなく、再開基準は明示されていなかった。これらは、参加者とベンダーの協力が必要な場合でも、取引所の制御である。
全日停止判断は、別個の過失認定に変換されるべきではない。委員会は、閉鎖を継続したことに決定誤りを認めなかった。TSE の説明責任は、公正な同日再開を証明不可能にした事前のアーキテクチャとルール、およびそれらを修正する義務にある。
日本取引所グループ: 親会社のガバナンスとグループレジリエンス
JPX はグループリスクガバナンス、資源配分、TSE の監督を所有していた。本事象は arrowhead を使用する他の現物取引所に影響し、大阪取引所のデリバティブは取引を継続したが、大阪取引所や他のグループ市場機能に共通する問題を提起した。したがって、親会社の説明責任は単一のインシデントチームの監督以上のものを含んだ。
金融庁は JPX に対して、グループ各社にシステムの検査と早期復旧訓練を行わせ、参加者を含む再開ルールを作成し、開発と保守をレジリエンスに向けて再均衡させるよう命じた。独立報告書も同様に、グループ全体の信頼性と「全方位」コミュニケーションを求めた。JPX の役割は、1つの子会社の失敗を市場ビジネス全体の標準に転換し、欠陥構成が孤立したものと想定しないことであった。
富士通: ブランド製品サプライヤー、システムインテグレーター、保守ベンダー
富士通は複数の制御を持っていた。ETERNUS NR1000 を自社ブランドで供給し、その製品グループが OEM 製品とドキュメントを検証し、arrowhead エンジニアが詳細な NAS 設定を記述し、取引所システムを開発・保守・サービスし、インシデントコマンドを供給した。これらの役割は、仕様変更チェーンと製品挙動からシステム要件への翻訳に対する実質的な制御を富士通に与えた。
調査は、富士通が誤ったマニュアルに責任があり、欠陥設定について実質的な責任を負うと結論づけた。また、不十分な製品グループの検証、OEM サプライヤーとのコミュニケーション、故障状態テスト、内部調整、手動切替えの準備も認定した。富士通自身は、OEM 関係が出荷品質責任を移転しないことを認めた。
富士通は TSE が法的に市場を開くか閉じるか、どの注文が有効か、価格形成に十分な参加者の幅を制御しなかった。また、引用された記録は被害の私的契約配分を確立していない。ベンダー責任と取引所責任は重なり合う制御であり、ゼロサム選択ではない。
非開示の OEM サプライヤー
報告書は基盤となる NAS ソースを「会社 A」と呼ぶ。そのサプライヤーは製品挙動と初期デフォルトを変更し、その仕様は挙動変更を適切に捉えなかった。また、コンポーネント調査にも参加した。これらの事実は、製品仕様とテスト証拠における運用上の役割を裏付ける。
公的記録はサプライヤーの身元と契約を開示せず、その独立した回答を公表していない。法的責任の割合を割り当てたり隠蔽を推測したりすることは不健全である。ブランド出荷品質の富士通による明示的な受諾は、OEM 関係が富士通の顧客向けの制御を除去しなかったことを意味する。
取引参加者と共有システムベンダー
ブローカーは、注文状態機械、顧客指示、プリファンディング、例外処理、照合と再送信の準備を制御した。共有プラットフォームベンダーは、多数の参加者が例外的な復旧を実行できるかどうかを制御した。彼らが再起動をサポートできなかったことは一つの継続性事実だったが、調査はそれを不正行為とは扱わなかった。TSE が彼らと手順を合意もテストもしていなかったからである。
事象後、参加は相互の義務を生み出した。TSE は明確なルールとテスト設備を公表する義務があり、参加者は合意された取扱いを実装しリハーサルする義務があった。取引所のドキュメント内にのみ存在する再開ルールは市場継続性ではない。逆に、参加者は公正にするためのメッセージと顧客状態の制御を構築することを辞退しながら、同日再開を要求することはできない。
規制当局
金融庁は arrowhead を設計せず、インシデントコマンドを運用しなかった。その制御は監督、報告要求、検査、執行だった。11月30日命令は、システム、手続き、ガバナンスの欠陥を文書化し、定期的な報告を要求した。規制当局の役割は、会社の改善計画を監督下の義務に変換し、責任を明示化させることであった。
本事象は、可用性指標によるコンプライアンスの限界もテストした。取引所は、異常停止からの信頼できる復旧を欠きながら、高い過去の可用性を報告し得る。したがって、規制の説明責任は、テスト済みの状態調整、独立した停止経路、参加者カバレッジ、破壊的訓練からの証拠を検査すべきであり、名目上の冗長性と停止時間だけではない。
金融庁の認定と経営責任
金融庁は、製品欠陥が事象を直接引き起こし、自動切替え設定が不十分であり、TSE の再開ルールが不十分だったと認定した。TSE に対しては、4つの関連プログラムを要求した。設定の再確認と変更管理プロセス（外部委託ベンダーに課す要件を含む）、故障したデバイスに依存する重要な売買停止依存の除去と全システム依存の検査、参加者テストを伴う効果的な注文受付・再開ルールの作成、「Never Stop」の信頼性と並ぶレジリエンスの拡大である。
JPX に対しては、グループ会社にシステムを検査させ早期復旧の訓練を行わせ、参加者と事前合意した再開決定を確立し、開発と保守全体でレジリエンスを向上させるよう要求した。公式の処分の英語参考訳は非日本語読者のためにこれらの要件を保持する。翻訳に相違がある場合は日本語原文が優先される。
JPX の11月30日の責任開示はその後の経営上の帰結を特定した。TSE の宮原幸一郎社長は TSE および JPX グループ共同 COO を辞任した。JPX の清田瞭 CEO の月額報酬は4か月50％削減、横山隆介 CIO は4か月20％削減、TSE 役員1名は4か月10％削減、2名の部門長が厳重注意を受けた。
富士通は12月3日の役員処分通知で追随した。社長の月額報酬を4か月50％、副社長を30％、執行役員3名を20％または10％削減し、3名のコーポレート執行役員に厳重警告を行った。同社はこれらの措置を自動切替え失敗に結びつけ、より広範なシステム再検査と品質保証強化を開始した。
これらの措置は経営責任を可視化するが、比例性や有効性を証明するものではない。辞任と報酬削減は取締役会が制度的な帰結を割り当てたことを示す。それらは設定証拠、独立テスト、参加者準備状況、規制当局のフォローアップに代わるものではない。また、指名された役員が個人的にデバイスを設定したか、法的過誤を犯したかの認定でもない。
修復の証明: 設定修正から再開可能な市場へ
即時の技術的証明
最も強力な即時証明はポリシー声明ではなかった。TSE と富士通は実機上で故障条件を再現し、変更された設定で正しいテイクオーバーを観測し、本番環境でOn Panic=Trueを投入した。要件と製品挙動に照らして全 NAS 設定をレビューし、非デフォルト値については実機チェックを行った。また、自動化が依然失敗する場合の強制切替手順も確認した。
この証拠は既知の因果経路に直接対処する。その限界はスコープである。テストされたシナリオと構成を証明するものであり、考えられるすべてのコントローラー、ネットワーク、ストレージ、破損状態を証明するものではない。委員会は、「予期しない」障害が依然として起こり得ると明示的に警告し、ベンダーが包括的なシナリオテストを実施すべきと述べた。
独立した市場停止の証明
TSE は、1つのデバイスや機能が売買停止命令を妨げ得るかどうかを調査し、NAS を経由しない緊急停止経路を開発した。これは、ロードバランサー隔離を余儀なくさせた隠れた共通依存性に対処した。この制御は、単に別のボタンやジョブが存在するかどうかではなく、監査可能な記録を保持しながらマッチングと注文受付を停止することを証明する定期的な実行証拠によって判断されるべきである。
合意された再開および注文状態の証明
TSE は、証券会社、投資家、システムベンダー、金融庁オブザーバーと共に再発防止策に関する協議会を設置した。公式の協議会記録は3回の協議会会合と9回の専門作業部会セッションを保存している。このフォーラムは、再開を取引所内部の決定から市場プロトコルに転換した。
2021年3月の最終協議会報告書は、障害のタイミングと種類別のルール、注文受付、再開決定の時間枠、参加者協議、情報のリズム、訓練を定義した。2021年1月23日のユーザー訓練が新しい情報プロセスをテストし、ライブの arrowhead 情報運用が2月に開始されたことが述べられている。これは意図だけでなく実装の証拠である。
TSE の恒久的なシステム再起動再開ページは、運用上の結果を記載している。再起動は取引所側の注文をキャンセルし、参加者は一般的に、別途合意がない限り委託顧客注文を再送信する。一部約定注文はリンク付けが必要であり、障害前の有効約定は原則として有効であり続ける。再開後の FLEX データは再開後の期間を反映し、統合された日次情報は後で公表される。価格、コーポレート情報による売買停止、空売りルールは明示的な取り扱いがある。これらはまさに、10月1日に合意された回答を欠いていた状態の問いである。
TSE はまた、システム障害によって引き起こされる取引詳細通知の欠陥について2021年公開意見募集プロセスを開始した。提案された取扱いとコメントへの回答を公表することで、法的・運用上の境界がインシデントルームの外でもレビュー可能になる。
グループレベルの証明と残存作業
JPX の2020年度経営計画レビューは、修正設定と包括的チェック、強制切替手順、キーシステムチェック、NAS 非依存の売買停止機能の完了を報告した。テストと訓練は継続中であり、協議会ルールが継続的な有効性レビューの基礎であると述べた。この開示は有用な経営証拠だが、第一次者のステータス報告であり、外部技術認証ではないことに変わりはない。
依存性は TSE 自身の上場だけにとどまらなかった。名古屋証券取引所の10月1日通知は、その全日停止が使用していた TSE 売買システムに起因すると述べた。福岡証券取引所も全日停止後、同様に翌営業日の取扱い指示を発出した。したがって修復は、JPX 子会社だけでなく、arrowhead を使用する地域取引所を調整せねばならなかった。
その後のシステム進化は追加の、しかし決定的ではない継続性証拠を提供する。JPX の現在のarrowhead サービス履歴は、第4世代が2024年11月にレジリエンスを明示的な目的として稼働開始し、同期化された3ノード取引データ処理と現在の復旧指向機能を備えたことを記録している。成功した新世代は投資と設計優先順位の変化を示すが、2020年のすべての弱点がインシデント後のあらゆる時点で不在だったことを遡及的に証明することはできない。
確認事実、裏付けられた推論、争いのある主張、不明点
確認事実
メモリーカードが故障したこと、NAS ペアが自動的に切り替わらなかったこと、On Panic=Falseがマニュアルベースの理解とは異なる実際の挙動を持っていたこと、代表的なパニック状態テストがなかったこと、すべての通常および緊急停止経路が NAS ファイルに依存していたこと、強制テイクオーバーは09:26に成功したこと、09:00前後に配信されたオークション約定データは無効だったこと、一部の ToSTNeT 取引は有効だったこと、同日再起動はテストされていなかったこと、推定再送信準備状況は取引金額ベースで約38％かつ海外企業に限定されていたこと、TSE は閉鎖を継続したこと、10月2日に通常取引が完了したこと、金融庁が2つの業務改善命令を発出したこと、JPX/TSE と富士通の双方が経営上の帰結を課したこと、技術的・手続き的な改善が続いたこと。
裏付けられた推論
名目上のハードウェア冗長性は、配備された状態、マニュアル、テスト、手動オーバーライド経路が共同でテイクオーバーを証明しなかったため、運用上の冗長性ではなかった。共有 NAS は、マッチングデータが他の同期保護を持っていたにもかかわらず、制御プレーンの共通モードを生み出した。「Never Stop」は、不完全な準備状況証拠にもかかわらず開始ルーチンがデフォルトとして扱われたときに、寄与するガバナンス条件となった。閉鎖を継続する決定は市場の完全性を保護し、再開不能は回避可能な継続性ギャップを露呈した。これらは記録によって裏付けられた管理上の結論であり、法的判断ではない。
争いのある主張
TSE、JPX、金融庁、富士通の間で、引用された公式記録には実質的な因果関係の争いは見られない。インシデントをハードウェアに帰した初期の略式説明は、文書化された設定とガバナンスの連鎖によって置き換えられ、それなしでは不完全である。TSE が単純に市場を再びオンにできたはずだという公的主張は、滞留通知、参加者状態、準備状況の証拠によって反駁されている。テスト済みの同日代替案を提示した正式な当事者はいなかったため、本記事は人為的な二面的争いを作り出さない。
不明点
公的記録は、会社 A を特定せず、OEM 契約を公開せず、ソースコードや完全な設定ファイル、故障カードの完全なラボレポート、すべての内部レビューコメントを公開していない。投資家の経済的損失を定量化せず、TSE または富士通が私的補償を行ったかどうか、契約責任を裁定していない。参加者ごとの準備状況回答を公表せず、38％の推定が正確であったことを証明しない。その後のすべての訓練の完全な独立結果を提供せず、すべての地域および参加者システムが同時にすべてのルールを実装したことを証明しない。
反事実的な管理と証明の基準
影響記録が証明することと証明しないこと
本インシデントの重大な影響は、円貨の損失推計を創作することなく確認される。TSE は全日を通じてオークション取引機会を提供せず、ToSTNeT はプレオープン間隔後に停止し、名古屋と福岡も TSE システムを使用していたため取引を停止した。公開市場データは無効化と修正を必要とし、ブローカー、発行体、投資家はオープンな投資判断を次のセッションに持ち越さねばならなかった。大阪取引所のデリバティブは継続したにもかかわらず、取引所の中心的な価格発見機能は利用不能だった。
公的情報源は、停止がなければ各投資家が何をどの価格で売買したかを示す完全な反事実的な取引台帳を提供しない。ブローカーの修復コスト、他市場でのヘッジスリッページ、遅延した発行活動、インデックス効果、私的請求を集計しない。取引不能の1日は機会費用とリスクエクスポージャーを生み得るが、それらの結果は投資家の意図と後の価格に依存する。したがって本記事は、時価総額、平均的な1日の売買代金、未執行の注文価値を損害に変換しない。
制度的影響は独立して重要である。金融庁は全日停止が金融商品取引所に対する投資家の信頼を著しく損なったと認定し、定期的な改善報告を要求し、明示的な責任を求めた。地域的な依存性は、1つの管理失敗が法的に異なる市場に影響し得ることを示した。JPX/TSE と富士通における経営措置は、両取締役会が本事象を日常的なコンポーネント保守ではなくガバナンスの失敗として扱ったことを示した。これらの事実は、国家的な価格形成サービスの喪失、測定可能な対応コスト、未証拠の私的金銭的損失の区別を保持しながら、CRITICALの影響評価を裏付ける。
最も狭い予防的反事実は直接的である。On Panic=Trueであれば、受信側コントローラーはパニック通知後に即時テイクオーバーを開始したであろう。本番変更前の実機再現は、既知の状態についてこの結論を支持する。
より強力な予防的反事実はガバナンスに基づく。すべての製品挙動変更がシステム要件にマッピングされていれば、変更されたデフォルトとパニックの意味論がレビューをトリガーしていただろう。TSE の正確に配備された非デフォルト値が、ハートビート遮断のみでなくコントローラー喪失下でテストされていれば、不整合はサービス前に検出できた。受け入れゲートが各トリガーブランチの証拠を要求すれば、ジェネリックな「フェイルオーバーテスト合格」という結果は要件を閉じなかっただろう。
影響軽減の管理は別個である。検証済みの強制テイクオーバーランブックはストレージ復旧を短縮できた。マッチングと注文受付を停止する NAS 非依存のコマンドは、滞留約定通知を防止できた。クリティカルな制御画面と通信が損なわれた時点で、市場開始ゲートが08:00の注文受付を停止できた。事前合意された再起動の意味論と参加者訓練は、広範で公正な再送信と同日復旧を可能にできた。
証明は層状でなければならない。構成証明は署名されたインベントリ、要件対設定マッピング、実機テストを含む。故障ドメイン証明は、パニック、ハートビート、部分 I/O、制御喪失、陳腐化した所有権状態にわたる破壊的または故障注入の演習を含む。市場管理証明は、独立した停止経路が意図されたプロセスを停止し、権威あるログを保持することを実証する。再開証明は、取引所、ブローカー、顧客、公開データ、清算の状態を調整する。参加証明は、各復旧時間枠内で市場のどの割合と多様性が戻ることができるかを測定する。ガバナンス証明は、例外、所有者、期限、取締役会レビュー、規制当局のフォローアップを記録する。
稼働時間は1つの結果にすぎない。レジリエントな取引所は、安全に停止し、何が有効かを説明し、既知の状態から復旧し、代表的な市場を含め、各ステップが機能した証拠を生成できなければならない。2020年の停止は、スタンバイデバイス、コンティンジェンシープラン、いくつかの緊急機能がすべて存在していても、継続性が証明されないままであり得る理由を示した。
結論
2020年10月1日の停止は物理的なメモリー故障によって引き起こされたが、その重要性は封じ込めの失敗に由来した。陳腐化した製品記述、継承された設定、テストされていないパニックシーケンス、不十分な手動切替え準備がストレージ冗長性を無効にした。共有依存性が相場情報と取引停止の制御を無効にした。注文受付とネットワークレベルでの遮断は、リハーサルされたいかなるルールの下でも参加者システムと安全に調整できない状態を生み出した。
TSE が日中に再開しないことを選択したのは、継続性への無関心の証拠ではない。公式記録上、それは合理的な市場完全性の決定だった。再接続は無効な約定の配信リスクを伴い、再起動は大多数の国内・リテール参加を排除するリスクを伴い、いずれの経路もテストされていなかった。説明責任の失敗は、取引所エコシステムが安全な再開を設計され証明された能力としていなかったときに、より早期に発生した。
責任は制御に従った。富士通はブランド製品ドキュメント、設定設計、製品検証、重要な保守機能を所有し、その連鎖において実質的な過失を認めた。TSE は受け入れ基準、独立した停止アーキテクチャ、市場ルール、参加者準備状況を所有した。JPX はグループ監督とレジリエンスの優先順位を所有した。参加者は、取引所が合意されたプロトコルを提供した後、自らの注文と顧客状態の復旧を所有した。金融庁は監督執行を所有し、これらの制御を明示化するよう要求した。
修復記録は、謝罪以上のものを含むため信頼できる。交換された基盤、実機フェイルオーバー再現、修正された本番設定、設定全体のレビュー、強制切替手順、独立した停止機能の開発、参加者演習、公開された再開の意味論、情報リズム、グループレベルのレジリエンス作業が含まれる。その残存限界も同様に重要である。有限のテストは市場が決して停止しないことを証明しない。説明責任の目標は、予期しないコンポーネントや状態が故障したときに、市場が権威を持って停止し、真実を維持し、広範に復旧し、再開が公正である理由を実証できることを示すことである。