Tokyo Stock Exchange transforma falha de hardware em teste de responsabilidade pela continuidade do mercado

Resumo

• Às 07:04, horário padrão do Japão, em 1º de outubro de 2020, o arrowhead detectou um grande volume de mensagens de erro de acesso da memória em um controlador de um dispositivo de armazenamento conectado à rede de dois nós. A falha do equipamento foi ogatilho. Um componente pode falhar dentro da vida útil; a redundância existia precisamente para conter esse evento.
• Acausa raiz técnicafoi que o parâmetroOn Panicdo NAS estava definido comoFalsesob um entendimento obsoleto de que a tomada padrão ainda ocorreria. Na especificação real do produto, uma mensagem de pânico chegando antes da perda do heartbeat significava que nem a tomada imediata nem a padrão iniciavam. Um manual desatualizado, controle insuficiente de mudanças na especificação e testes de falha não representativos produziram essa configuração.
• O par de armazenamento mantinha arquivos compartilhados usados pela distribuição de dados de mercado, telas de supervisão e todos os três caminhos comuns ou de emergência para suspensão de negociação. Essa dependência comum foi umacondição contribuinte: vários controles nomeados existiam, mas cada um esperava pelo mesmo NAS indisponível.
• A TSE detectou os sintomas rapidamente, formou um quartel-general de emergência e trabalhou com a Fujitsu. No entanto, sua ferramenta de diagnóstico também travou, os comandos pré-preparados de tomada forçada eram inadequados e várias tentativas falharam antes que um comando modificado transferisse o controle para o NAS No. 2 às 09:26.
• A aceitação de ordens havia começado às 08:00. Como a TSE não conseguia interromper a execução normalmente, isolou o arrowhead e o ToSTNeT nos balanceadores de carga de rede às 08:54 e 08:56. O processamento interno de execução continuou para ordens de leilão aceitas, e o FLEX disseminou aproximadamente um minuto de dados de execução após as 09:00. A TSE declarou esses dados de leilão inválidos; confirmou separadamente que as execuções qualificadas do ToSTNeT eram válidas. A integridade dos dados de mercado, portanto, exigiu classificação legal e operacional, não simplesmente reconectar um cabo.
• Reiniciar sem uma reinicialização liberaria avisos de execução retidos que a TSE já havia declarado inválidos. A reinicialização poderia limpar ordens e execuções do lado da bolsa, mas os participantes não receberiam mensagens comuns de expiração e muitos não poderiam reconstruir ou reenviar ordens de clientes. A consulta da TSE indicou que apenas cerca de 38% do valor de negociação, limitado por tipo de participante a empresas de valores mobiliários estrangeiras, poderia estar pronto. O comitê de diretores independentes considerou razoável a decisão de suspensão por todo o dia nas circunstâncias.
• Esse mesmo comitê e a Financial Services Agency separaram a razoabilidade darespostada inadequação antes do evento. A TSE não havia testado a reinicialização e retomada mesmo em um ambiente de teste, acordado o tratamento de ordens com os participantes ou estabelecido um processo claro de reinício no mesmo dia. Uma decisão defensável de não reabrir não apagou a falha de controle de continuidade que tornou a reabertura segura impraticável.
• A Fujitsu forneceu o armazenamento OEM sob sua marca, escreveu ou transmitiu a documentação do produto, projetou a configuração em documentos detalhados, desenvolveu e manteve o arrowhead e apoiou o incidente. A Fujitsu aceitou publicamente a responsabilidade pela qualidade do envio e testes insuficientes. A investigação atribuiu responsabilidade substancial pelo erro do manual e pela cadeia de configuração à Fujitsu, ao mesmo tempo que considerou que a TSE deveria, em certa medida, ter exigido testes de falha compatíveis com a importância do NAS.
• A FSA emitiu ordens de melhoria de negócios tanto para a TSE quanto para a JPX sob disposições separadas da Lei de Instrumentos Financeiros e Câmbio. Exigiu controles de mudança de especificação, revisão de dependências, suspensão independente de NAS, regras e exercícios com participantes, inspeção em todo o grupo e uma mudança de uma abordagem predominantemente de “Nunca Parar” para a resiliência.
• As consequências gerenciais foram explícitas, mas processualmente limitadas: o presidente da TSE, Miyahara Koichiro, renunciou; executivos da JPX e TSE receberam reduções salariais ou advertências formais; a Fujitsu reduziu a remuneração de cinco executivos e advertiu três diretores seniores. Essas foram ações de governança corporativa após ordens regulatórias, não decisões judiciais sobre danos, negligência ou responsabilidade criminal.
• Prova de reparoexiste em camadas: substituição da placa-mãe e negociação monitorada em 2 de outubro; um teste em equipamento real seguido pela configuraçãoOn Panic=Trueem produção em 4 de outubro; uma revisão completa das configurações do NAS; procedimentos de troca forçada; um caminho de parada de emergência independente do NAS; exercícios com participantes; regras publicadas de reinício, ordens e informações; e trabalho posterior de resiliência do arrowhead. Esses artefatos melhoram materialmente a garantia, mas nenhuma fonte pública prova que todo estado de hardware, sistema de participante ou falha futura pode se recuperar sem interrupção.

Limite da evidência e postura processual

Esta análise usa cinco rótulos de evidência. Umfato confirmadoé declarado diretamente em um aviso contemporâneo da bolsa, relatório técnico, divulgação da empresa, registro de regra ou ação regulatória. Umainferência suportadaconecta fatos confirmados para análise de controle sem reivindicar adjudicação. Umaalegação contestadarequer posições materialmente conflitantes; mera incompletude ou refinamento posterior não é uma disputa. Umdesconhecidoé uma pergunta que o registro público não resolve. Umachado legal ou regulatórioé atribuído apenas ao órgão que o fez e apenas dentro desse processo.

O registro forense principal é o relatório do comitê de diretores independentes externos da JPX. Suatradução em inglêsé excepcionalmente explícita sobre seu próprio limite: o comitê era composto por diretores externos da JPX, não era um comitê terceirizado convencional, baseou-se em materiais e informações fornecidos pela JPX e TSE para a cronologia factual e não teve como objetivo principal a apuração proativa de fatos ou responsabilidade legal. Ele avaliou o relato das empresas, métodos de investigação, resposta e soluções propostas, incluindo a investigação da Fujitsu. Isso é um forte registro formal de governança, mas não um achado judicial independente.

Adisposição administrativa japonesada FSA tem uma postura diferente. O regulador solicitou relatórios em 2 de outubro, recebeu-os em 16 de outubro e realizou inspeções no local antes de emitir ordens de melhoria de negócios em 30 de novembro. Seus achados, portanto, carregam autoridade regulatória. Eles não decidem compensação privada, alocam danos contratuais entre TSE, Fujitsu e o fornecedor OEM não identificado, ou estabelecem conduta criminal.

As divulgações da Fujitsu são admissões e descrições de um fornecedor diretamente envolvido. Em 19 de outubro, afirmou que o ETERNUS NR1000 foi fornecido por outro desenvolvedor-fabricante como um produto OEM, mas que a Fujitsu assumiu a responsabilidade pela qualidade do envio. Reconheceu que o manual não acompanhou uma alteração de especificação orientada pelo sistema operacional e que seus testes e confirmação foram insuficientes. Essas declarações são evidências importantes de primeira parte; não são uma auditoria externa de cada registro de engenharia da Fujitsu ou do fornecedor.

O relato causal foi refinado, não materialmente contestado. As comunicações da TSE de 1 e 5 de outubro descreveram uma falha no módulo de memória e falha na troca. A investigação posterior distinguiu o evento do componente, o mecanismo de configuração e as condições operacionais que ampliaram o impacto. Nenhuma fonte citada da JPX, TSE, FSA ou Fujitsu contesta formalmente essa cadeia. Alegações de que a interrupção de um dia foi “apenas uma falha aleatória de hardware”, ou inversamente de que não houve falha real de hardware, são inconsistentes com o registro formal, em vez de disputas institucionais preservadas.

Cronologia antes da alocação

Antes de 1º de outubro: um sistema de alta velocidade com suposições herdadas

O Arrowhead operava desde 2010. A terceira geração entrou em operação em 5 de novembro de 2019, após uma atualização de hardware e melhoria de desempenho. Oaviso de lançamento conjuntoda TSE e Fujitsu enfatizou funcionalidade, desempenho estável e um mercado seguro e protegido. A investigação posterior descreveu um sistema de centenas de servidores sincronizados que aceitavam ordens, as combinavam, retornavam avisos de execução, distribuíam informações de mercado, faziam interface com a compensação e forneciam funções de supervisão e controle. Seu tempo de resposta de ordem anunciado era de cerca de 200 microssegundos.

Esse contexto de velocidade é importante porque a continuidade não se trata apenas de preservar a disponibilidade do servidor. Uma bolsa deve preservar um estado comum entre ordens, execuções, notificações oficiais, informações públicas de preços, supervisão, livros dos participantes e eventual compensação. A correspondência rápida aumenta a quantidade de estado que pode divergir em segundos quando um plano de controle está prejudicado.

O par NAS não mantinha o livro de ordens sincronizado central como substituto da arquitetura de correspondência do arrowhead. Ele mantinha arquivos comuns, como informações de emissão e usuário, que vários servidores e funções operacionais precisavam. Centralizar esses arquivos apoiava a consistência e o design eficiente. Também significava que os processos de dados de mercado e controle podiam esperar pelo mesmo serviço de armazenamento se o failover falhasse.

A configuração chave era anterior à terceira geração. Sob o comportamento mais antigo do produto,On Panic=Falsedesabilitava a tomada imediata, mas a tomada padrão ainda seguia a perda de heartbeat. Essa configuração funcionou na primeira e segunda gerações. Durante a evolução posterior do produto, a especificação do NAS mudou: se uma notificação de pânico chegasse antes que as mensagens de heartbeat parassem,Falsetambém impedia a tomada padrão. O padrão mudou deFalseparaTrue, mas a especificação escrita relevante não descreveu com precisão a mudança comportamental. O valor mais antigoFalsefoi transportado para a terceira geração.

Este não foi um caso em que a TSE não especificou nenhum objetivo de recuperação. Seus requisitos de terceira geração exigiam que as funções relacionadas ao NAS trocassem e continuassem dentro de 30 segundos após a falha do equipamento. A falha estava entre requisito, comportamento do produto, configuração detalhada, revisão e teste representativo. Um requisito de papel para continuidade não provava que o standby implantado o atenderia.

Incidentes anteriores forneceram contexto de alerta sem provar a repetição do mesmo defeito. Em 2012, parte de um gateway de informações de mercado falhou e 241 emissões foram suspensas por uma manhã; a investigação atribuiu esse evento à troca de software incompleta e confirmação de troca insuficiente. Em 2018, uma explosão de mensagens de um usuário de colocation sobrecarregou o equipamento de roteamento e desconectou vários gateways de participantes. Orelatório de incidente de 2018da TSE documentou controles de rede, comunicação com participantes e testes de falha expandidos. Esses reparos abordaram esses mecanismos. Eles não testaram o estado preciso de pânico antes do heartbeat que ocorreu em 2020.

07:04-08:36: detecção, diagnóstico e a decisão de parar

Às 07:04, o monitoramento gerou muitas mensagens de irregularidade de acesso para o NAS No. 1. Às 07:10, alguns terminais de supervisão de negociação e gerenciamento de operações não puderam fazer login; outros terminais ainda podiam. O estado misto complicou a avaliação inicial. A ferramenta de diagnóstico que deveria relatar o status do sistema permaneceu em execução sem retornar um resultado. A TSE informou a Fujitsu às 07:10, e o pessoal de plataforma e aplicação da Fujitsu começou o isolamento conjunto do impacto às 07:11.

A partir das 07:30, a TSE detectou atraso nas informações de emissão e descobriu que as mensagens programadas de manutenção de roteamento e início de comunicação não haviam sido enviadas. O CIO Yokoyama Ryusuke chefiou um quartel-general de emergência de falha do sistema a partir das 07:37. Às 07:55, a Fujitsu relatou que as mensagens indicavam que o mecanismo de controle do NAS No. 1 havia falhado e que a troca esperada para o NAS No. 2 não havia ocorrido.

Às 08:00, o arrowhead começou a aceitar ordens no horário normal. Essa decisão se tornou importante depois, mas não deve ser reescrita com retrospectiva. O comitê considerou que antes das 08:00 a TSE ainda não entendia o evento completo ou impacto; algumas telas estavam disponíveis; e a equipe acreditava que os controles normais ou de emergência de suspensão ainda poderiam proteger o mercado, se necessário. No entanto, criticou posteriormente a suposição mais profunda de “Nunca Parar” que fazia a aceitação de ordens às 08:00 e a abertura às 09:00 parecerem absolutas em vez de condicionais à evidência.

Às 08:01, a TSE notificou os participantes de que as mensagens de início de comunicação não podiam ser enviadas. A recuperação e a análise de impacto continuaram em paralelo. A TSE escolheu as 08:30 como o limite de decisão para suspender todas as emissões se a distribuição de dados de mercado não tivesse se recuperado, deixando tempo para notificar os participantes antes da abertura às 09:00. A distribuição permaneceu prejudicada. Às 08:36, a TSE notificou os participantes da suspensão sob a Regra 29, Item 4 de seu Regulamento de Negócios. Oprimeiro aviso de mercado em inglêspúblico disse que uma falha técnica afetou a distribuição de dados de mercado, todas as emissões listadas seriam interrompidas e a aceitação de ordens seria desligada.

A instrução de decisão e a parada técnica real foram eventos diferentes. A suspensão normal de negociação exigia a tela de supervisão de negociação; a suspensão de mercado exigia a tela de gerenciamento de operações; o trabalho de emergência evitava essa tela, mas ainda lia arquivos NAS. Todos estavam indisponíveis. A TSE, portanto, usou um controle de rede projetado para restringir ordens a servidores específicos: cortou o balanceador de carga do arrowhead às 08:54 e o do ToSTNeT às 08:56. Isso impediu nova comunicação com participantes, mas não emitiu uma instrução normal para parar a correspondência.

08:16-09:26: tentativas de tomada falhas e divergência de estado

Em paralelo, a TSE e a Fujitsu tentaram forçar o NAS No. 2 a assumir o controle. Ordens para desligar o NAS No. 1 às 08:16 e transferir o controle às 08:26 falharam. Um bloqueio de porta às 08:28 interrompeu a comunicação, mas o NAS No. 1 já havia caído e a tomada não ocorreu. Uma tentativa com condição alterada às 08:42 também falhou. Às 09:23, um comando fornecido pelo grupo de produtos da Fujitsu falhou; às 09:26, adicionar opções a esse comando finalmente forçou a troca para o NAS No. 2. Os processos de dados de mercado e as telas de supervisão e gerenciamento foram então confirmados como utilizáveis.

Os 82 minutos entre a detecção inicial e a tomada forçada bem-sucedida não foram simplesmente tempo de reparo para um componente morto. Eles expuseram uma lacuna de controle de recuperação. Como os engenheiros assumiram que a tomada automática ocorreria, um comando validado e um procedimento manual dependente de estado não estavam prontos. A investigação considerou a preparação insuficiente na Fujitsu e reconheceu a antecipação inadequada da própria TSE.

Enquanto isso, as ordens aceitas haviam criado um problema de integridade do mercado. A aceitação de ordens começou às 08:00 e os dados das ordens em tempo real fluíram inicialmente. Como a ação no balanceador de carga não parou o mecanismo de correspondência, o arrowhead processou ordens aceitas até as 08:54. O corte dos dados de mercado cruzou a abertura das 09:00, então o FLEX distribuiu aproximadamente um minuto de dados aparentes de execução. Às 09:11, a TSE informou ao mercado que os dados distribuídos até aquele ponto eram inválidos. Seuterceiro relatório em inglêstambém afirmou que o ToSTNeT havia parado e todos os dados FLEX distribuídos até então eram inválidos, enquanto os derivativos da Osaka Exchange estavam operando normalmente.

A classificação posterior foi mais precisa. Oaviso de status de negociação do mesmo diada TSE disse que nenhuma execução de mercado de leilão foi legalmente estabelecida, mesmo onde o FLEX havia transmitido execuções aparentes, e as ordens recebidas antes da suspensão não seriam transportadas para o dia seguinte. Separadamente, disse que as ordens ToSTNeT recebidas até 08:56 haviam executado e todos os avisos de execução haviam sido enviados. “Todos os dados inválidos” foi um aviso urgente de dados de mercado, não uma declaração de que cada contrato fora do leilão era nulo.

Essa distinção é central para a responsabilização. Um failover de armazenamento poderia restaurar o acesso a arquivos, mas não poderia, por si só, decidir quais mensagens constituíam atos de mercado válidos, alinhar os sistemas dos participantes, restaurar saldos de clientes ou recriar formação justa de preços. A recuperação exigia tanto o estado técnico quanto o estado de mercado autoritativo.

09:26-11:45: por que um standby saudável não fez um mercado justo

Após a troca forçada, a TSE considerou duas rotas: reconectar sem reinicializar ou reinicializar o arrowhead e reabrir. A reconexão liberaria avisos de execução retidos dentro do arrowhead para ordens processadas antes do corte de rede. A TSE já havia declarado esses resultados de leilão inválidos. Os participantes poderiam tratar os avisos como válidos, atualizar saldos de clientes e continuar negociando com uma premissa falsa. Os preços-base do dia também haviam sido afetados pelo processamento interno. O comitê considerou essa rota incompatível com um mercado justo e imparcial.

A reinicialização redefiniria as ordens aceitas do lado da bolsa, dados de execução e preços-base. Mas os processos comuns dos participantes eram orientados por notificações. Uma ordem enviada à TSE normalmente mudava de status quando o participante recebia uma mensagem de aceitação, execução ou expiração. Uma reinicialização limparia o estado da bolsa sem enviar as notificações comuns de expiração. As corretoras teriam que mover ordens de um estado “enviado” usando processamento excepcional, reconciliar instruções de clientes e reenviar ordens elegíveis.

Alguns sistemas de varejo pré-financiados também precisariam evitar que execuções inválidas mudassem o poder de compra ou posições.

A TSE buscou opiniões das principais corretoras domésticas, corretoras online, empresas estrangeiras e fornecedores de sistemas compartilhados antes das 11:00. As corretoras online disseram que não poderiam lidar com o processo; um grande fornecedor que atende a numerosos participantes de médio porte nunca o havia testado e não pôde confirmar a prontidão. O comitê posteriormente quantificou a população estimada pronta em não mais do que cerca de 38% por participação no valor de negociação e a descreveu, por atributo de participante, como empresas de valores mobiliários estrangeiras.

Um mercado reaberto dominado por esse subconjunto excluiria grande parte da participação doméstica e de varejo e ameaçaria a formação representativa de preços.

Às 11:00, o CEO do Grupo JPX e o presidente da TSE participaram de uma reunião extraordinária do Comitê de Gestão de Riscos. O presidente da TSE, Miyahara, tomou a decisão de permanecer fechado pelo dia, anunciada às 11:45. Oquinto relatório do mesmo dia da TSEexplicou que a falha na troca impediu as informações de mercado, a substituição de hardware foi planejada e uma reinicialização diurna poderia causar confusão entre investidores e participantes após consulta aos participantes do mercado.

11:45-2 de outubro: recuperação controlada para o dia seguinte

A TSE não tratou a parada de dia inteiro como permissão para deixar o estado do mercado ambíguo. Seu aviso em japonês sobre o tratamento do dia classificou os resultados do leilão e do ToSTNeT. Umaviso de tratamento para o dia seguinteseparado especificou preços de referência, restrições contínuas de preço de venda a descoberto, tratamento de limites de preço e arranjos especiais de preços ToSTNeT. Às 19:25, oaviso de retomadada TSE disse que se esperava que as negociações de leilão e ToSTNeT prosseguissem normalmente em 2 de outubro.

No lado do hardware, a TSE e a Fujitsu substituíram toda a placa-mãe que continha a memória falha do NAS No. 1. A investigação diz que o sistema retornou à sua configuração ativo-ativo, procedimentos de troca manual rápida estavam disponíveis, ambas as organizações estabeleceram monitoramento aprimorado, o processamento preparatório foi concluído normalmente e a substituição da placa-mãe terminou às 22:00. As negociações em 2 de outubro foram concluídas sem problemas.

O reparo ainda não estava completo no sentido de garantia. Em 2 de outubro, as partes localizaram o erro de configuração. Reproduziram a condição relevante em equipamento real, confirmaram a troca correta e definiramOn Panic=Trueem produção em 4 de outubro. A operação com o valor corrigido começou em 5 de outubro. Oaviso técnico inicial em inglêsda TSE documentou a falha do módulo de memória, a troca falha, a mudança de configuração em 4 de outubro e a confirmação de que a troca automática se comportou como esperado.

Mapa causal: gatilho, causa raiz e condições contribuintes

Gatilho

Ogatilhofoi uma falha física acidental que tornou um cartão de memória no NAS No. 1 ilegível e não gravável. A Fujitsu e o fornecedor OEM não identificado examinaram a peça. O histórico de falhas relatado para o mesmo modelo permaneceu dentro do limite interno da Fujitsu, o cartão estava dentro da vida útil e eles não identificaram um lote de produção defeituoso. O comitê não culpou a TSE pela ocorrência dessa falha de componente.

Chamar a falha de memória de gatilho não é evasão semântica. Um design de standby é criado porque componentes falham. Se um componente em serviço pode parar um mercado apesar da redundância instalada, a análise de responsabilidade deve examinar por que o controle de contenção falhou.

Causa raiz técnica

Acausa raiz técnicafoi a configuração incorretaOn Panic=Falsepara o comportamento implantado do NAS. O controlador com falha enviou uma notificação de pânico antes que o monitoramento de heartbeat de 0,5 segundos cessasse. Sob a especificação real,Falsesuprimia a tomada imediata e, nessa sequência, também suprimia a tomada padrão. O NAS No. 2 não assumiu o controle, deixando o par indisponível para as funções dependentes.

A cadeia de configuração teve vários fatos conectados. O produto antigo permitia a tomada padrão comFalse. A especificação posterior e o padrão mudaram. O documento do fornecedor registrou a mudança de padrão, mas não a mudança comportamental; o manual da Fujitsu permaneceu impreciso. A Fujitsu escreveuFalseno design detalhado, a TSE revisou esse design contra o mesmo manual incorreto, e o teste de pré-produção de nenhuma das organizações reproduziu a perda de função do NAS sob a sequência de pânico. Osuplemento de configuração do NASde uma página da TSE diagramou por que a mensagem de pânico impedia a tomada atrasada esperada.

A própriadivulgação de causa e medidasda Fujitsu confirmou a cadeia operativa: o manual dizia que a troca automática sempre ocorria, o produto real podia ser configurado para não trocar sob a condição de falha de memória, o manual não havia acompanhado uma mudança de especificação introduzida por uma atualização de versão do SO, e os testes e confirmação da Fujitsu falharam em detectar a incompatibilidade.

Condição contribuinte 1: a governança da especificação não preservou o requisito

A TSE exigiu processamento contínuo em 30 segundos. Os engenheiros de sistema da Fujitsu conheciam os valores configurados, mas a Fujitsu informou ao comitê que os requisitos da TSE não foram transmitidos ao grupo de produtos durante sua revisão de consistência. O grupo de produtos verificou se as configurações do equipamento conflitavam umas com as outras, não se o comportamento do dispositivo atendia ao objetivo de recuperação em nível de sistema da bolsa.

Esta é uma inferência de governança suportada: os ciclos de requisito, implementação e validação do produto não foram fechados. Nenhum detentor único de documento havia provado que a “continuação em 30 segundos” permanecia verdadeira após a mudança de comportamento do OEM. A inferência não estabelece que qualquer pessoa ocultou conscientemente uma mudança.

Condição contribuinte 2: o teste representou perda de heartbeat, não o estado real de falha

A TSE e a Fujitsu testaram a interrupção da comunicação de heartbeat e viram o serviço continuar. Trataram isso como evidência suficiente para a perda do controlador NAS. Não era equivalente. No evento real, o controlador emitiu uma mensagem de pânico antes da perda de heartbeat, selecionando um ramo diferente na lógica de tomada. Um teste denominado “troca” passou, portanto, enquanto o modo de falha de produção permaneceu não testado.

A lição de controle é precisa: a cobertura do teste deve ser expressa em estados desencadeadores e invariantes resultantes, não apenas em rótulos amplos. A evidência de que um standby assume após a perda silenciosa de heartbeat não prova a tomada após um pânico do controlador, falha parcial de E/S, estado de propriedade obsoleto ou notificação malformada.

Condição contribuinte 3: múltiplos controles compartilhavam uma dependência de armazenamento

O NAS centralizou arquivos compartilhados para preservar a consistência interna dos dados. A distribuição de informações de mercado, telas de supervisão, telas de operações, parada normal, parada de mercado e o trabalho de parada de emergência todos dependiam desses arquivos. O caminho de emergência era processualmente distinto, mas não independente do domínio de falha. Quando o par NAS ficou indisponível, cada instrução de suspensão projetada falhou.

Essa dependência expandiu um incidente de armazenamento para uma incapacidade de controlar a negociação. Também forçou o isolamento de rede, que parou a comunicação sem parar a correspondência. A FSA posteriormente ordenou que a TSE inspecionasse as dependências em todo o sistema e garantisse que a falha de um local específico não pudesse desabilitar funções essenciais para a continuidade.

Condição contribuinte 4: a recuperação forçada foi improvisada

Esperava-se a troca automática, então comandos exatos para assumir o controle sob um estado de troca falha não foram preparados e validados. Várias tentativas falharam antes que a Fujitsu fornecesse as opções de comando bem-sucedidas às 09:26. A desconexão física do cabo foi considerada. Um standby não está operacionalmente disponível apenas porque seu hardware está energizado e sincronizado; o operador precisa de um caminho de transferência de autoridade com consciência de estado e ensaiado que funcione quando a automação não funciona.

Condição contribuinte 5: a aceitação de ordens e a política de reinício não foram projetadas como um sistema de continuidade único

A política da TSE favorecia a aceitação de ordens durante suspensões porque os participantes haviam solicitado esse comportamento após eventos anteriores. Em 1º de outubro, aceitar ordens antes que o impacto fosse totalmente compreendido tornou a parada anormal posterior mais difícil de reconciliar. Não havia regra acordada para quando parar a ingestão de ordens, o que aconteceria com as ordens aceitas após uma reinicialização, quais notificações controlavam o estado do participante ou como determinar que diversidade de mercado suficiente poderia retornar.

O comitê independente considerou as decisões em tempo real da TSE razoáveis dado o que a equipe sabia. No entanto, considerou os critérios de decisão antecipada, procedimentos, comunicação com participantes e preparação de teste insuficientes. Essas conclusões coexistem. O comando de incidentes pode tomar a decisão menos prejudicial disponível enquanto a governança permanece responsável por permitir apenas opções de recuperação prejudiciais.

Condição contribuinte 6: a cultura de confiabilidade superou a recuperabilidade

O comitê usou uma linguagem excepcionalmente direta sobre “Nunca Parar”. Disse que a ênfase excessiva em iniciar a aceitação de ordens às 08:00 e a negociação às 09:00 contribuiu para tornar impossível um reinício suave após a recuperação. A FSA também considerou que o trabalho de resiliência da JPX ficou atrás de seu foco em confiabilidade. A inferência suportada não é que a alta disponibilidade foi equivocada. É que a prevenção de interrupção se tornou uma premissa de design mais forte do que a degradação controlada, a parada autoritativa, o reset de estado e a reabertura testada.

Detecção, resposta, recuperação e integridade dos dados de mercado

Detecção

A detecção não foi nem ausente nem totalmente eficaz. O monitoramento revelou anormalidades de acesso ao NAS imediatamente às 07:04, e os sintomas operacionais apareceram em minutos. A TSE escalou para a Fujitsu e um quartel-general de emergência antes da janela de aceitação de ordens. Esses são controles positivos.

Ao mesmo tempo, a própria ferramenta de diagnóstico esperou indefinidamente, a disponibilidade do terminal foi inconsistente e as omissões iniciais de dados de mercado tiveram que ser montadas a partir de sinais separados. A detecção revelou angústia, mas não explicou prontamente o domínio da falha nem garantiu uma parada segura. A lição residual é separar a observabilidade do componente que está sendo observado e predefinir a evidência de abertura do mercado: telas de controle necessárias, feeds de dados, caminhos de parada e mensagens aos participantes devem todos passar antes de aceitar ordens.

Resposta

A resposta teve três objetivos simultâneos: restaurar o armazenamento, impedir a abertura de um mercado injusto e comunicar o status autoritativo. A TSE perseguiu todos os três. Tentou a tomada forçada, estabeleceu um limite de decisão às 08:30, notificou os participantes às 08:36, isolou as conexões de ordens antes da abertura programada, invalidou dados de leilão enganosos, consultou tipos de participantes e tomou uma decisão formal de dia inteiro.

A resposta também expôs fraquezas de implementação. O corte de rede foi concluído próximo o suficiente das 09:00 para que um minuto de dados de execução escapasse. Os primeiros avisos públicos necessariamente evoluíram, mas a sequência deixou os usuários esperando por um cronograma de recuperação. Orascunho da política de informação de dezembro de 2020do conselho de recorrência posterior propôs uma página dedicada de status do sistema, atualizações normalmente a cada 30 minutos, mesmo sem progresso, estágios de retomada de impacto de evento e distribuição push. Essa solução é evidência de que a cadência e estrutura da comunicação faziam parte da lacuna de continuidade.

Por que não reiniciar foi um controle de integridade

A oportunidade de negociação perdida foi severa. Não se segue que qualquer reabertura era melhor do que permanecer fechado. Um mercado não é contínuo no sentido relevante se apenas uma classe restrita de participantes pode reconstruir ordens, se avisos de execução inválidos podem entrar nos livros das corretoras, ou se mensagens de preços públicos conflitam com o status legal das negociações.

A decisão de dia inteiro preservou três formas de integridade.Integridade transacionalexigia uma resposta comum sobre quais ordens e negociações existiam.Integridade dos dadosexigia tratamento autoritativo das mensagens FLEX e valores de referência do dia seguinte.Integridade de participaçãoexigia um conjunto suficientemente amplo de participantes domésticos, de varejo, institucionais e estrangeiros para formação justa de preços. A evidência oficial apoia a conclusão da TSE de que essas condições não poderiam ser comprovadas para um reinício no mesmo dia.

O comitê não apenas se submeteu à gestão. Avaliou a estimativa de prontidão de 38%, a composição dos participantes, a ausência de um reinício em ambiente de teste e o problema do estado das mensagens, e então considerou a decisão e o processo de coleta de informações razoáveis. Esta é a evidência mais forte contra a alegação simplista de que a gestão escolheu o fechamento apenas para evitar inconvenientes operacionais.

Recuperação

A recuperação ocorreu em estágios. Às 09:26, a tomada forçada restaurou o acesso e as telas operacionais. À noite, a TSE havia classificado o estado de negociação do dia, especificado o tratamento do mercado no dia seguinte, substituído a placa-mãe com falha, organizado o monitoramento conjunto e concluído o processamento preparatório. A negociação normal em 2 de outubro proporcionou um importante resultado de nível de serviço.

Em 4 de outubro, após reproduzir a condição em equipamento real, a TSE mudouOn PanicparaTrue. Em 23 de outubro, as equipes de sistema e produto da Fujitsu haviam revisado todas as configurações do NAS em relação aos requisitos e comportamento real do produto; até o final de outubro, valores que diferiam dos padrões de fábrica haviam recebido confirmação em equipamento real. A investigação também relatou a confirmação de procedimentos de troca forçada e planos para listas de comandos específicos do estado do equipamento.

Esses estágios não devem ser reduzidos a “consertado durante a noite”. A substituição do componente restaurou a capacidade; o monitoramento aprimorado gerenciou a incerteza de curto prazo; a mudança de configuração removeu o defeito conhecido de troca automática; a revisão abrangente procurou erros de configuração irmãos; e os procedimentos abordaram a falha de automação. Cada um responde a uma pergunta de garantia diferente.

Alocação de responsabilidade após a cronologia

Tokyo Stock Exchange: operadora de mercado e proprietária do sistema

A TSE detinha o controle primário voltado para o público sobre se seu mercado à vista abria, quais ordens eram aceitas, se as mensagens representavam negociações válidas, quando a negociação parava e quando poderia retomar. Especificou o requisito de continuação do NAS em 30 segundos, revisou designs detalhados, operou o arrowhead, manteve o plano de contingência e coordenou os participantes conectados.

Sua responsabilidade é, portanto, mais ampla do que a autoria da configuração errada. A TSE podia confiar razoavelmente em um manual preciso de um fornecedor especializado, e o comitê atribuiu a responsabilidade primária por esse erro à Fujitsu. Mas a TSE controlava os critérios de aceitação de um sistema cuja falha poderia parar um mercado nacional. O comitê considerou que, dada a importância do NAS, a TSE deveria, em certa medida, ter exigido testes reais de perda de função e foi parcialmente responsável por não reconhecer o defeito de configuração.

A TSE também era proprietária do design de continuidade do mercado em torno de falhas técnicas. Vários mecanismos de parada compartilhavam o NAS com falha; a reinicialização e retomada não haviam sido testadas mesmo em um ambiente de teste; os participantes não tinham tratamento de ordens acordado; e os critérios de retomada não eram explícitos. Esses são controles da bolsa mesmo onde a cooperação do participante e do fornecedor é necessária.

A decisão de dia inteiro não deve ser convertida em um achado de falha separado. O comitê não encontrou erro de decisão em permanecer fechado. A responsabilidade da TSE está na arquitetura e regras pré-evento que tornaram impossível comprovar uma reabertura justa no mesmo dia, mais o dever de corrigi-las.

Japan Exchange Group: governança matriz e resiliência do grupo

A JPX era proprietária da governança de risco do grupo, alocação de recursos e supervisão da TSE. O evento afetou outras bolsas à vista que usavam o arrowhead e levantou questões comuns para a Osaka Exchange e outras funções de mercado do grupo, embora os derivativos da OSE permanecessem abertos. A responsabilidade da matriz, portanto, envolveu mais do que supervisionar uma equipe de incidente.

A FSA ordenou que a JPX fizesse com que as empresas do grupo inspecionassem sistemas e ensaiassem a recuperação precoce, criassem regras de reinício inclusivas para participantes e reequilibrassem o desenvolvimento e a manutenção em direção à resiliência. O relatório independente também pediu confiabilidade em todo o grupo e comunicação “omnidirecional”. O papel da JPX era transformar a falha de uma subsidiária em um padrão em todos os negócios de mercado, não assumir que a configuração defeituosa era isolada.

Fujitsu: fornecedora de produto de marca, integradora de sistemas e fornecedora de manutenção

A Fujitsu tinha vários controles. Forneceu o ETERNUS NR1000 sob sua marca; seu grupo de produtos validou o produto OEM e a documentação; seus engenheiros do arrowhead escreveram a configuração detalhada do NAS; desenvolveu, manteve e prestou serviços ao sistema de bolsa; e forneceu comandos de incidente. Esses papéis deram à Fujitsu controle prático sobre a cadeia de mudança de especificação e a tradução do comportamento do produto para o requisito do sistema.

A investigação concluiu que a Fujitsu era responsável pelo manual errôneo e tinha responsabilidade substancial pela configuração falha. Também encontrou validação insuficiente do grupo de produtos, comunicação com o fornecedor OEM, testes de estado de falha, coordenação interna e preparação para troca manual. A própria Fujitsu aceitou que uma relação OEM não transferia a responsabilidade pela qualidade do envio.

A Fujitsu não controlava se a TSE abria ou fechava legalmente o mercado, quais ordens eram válidas ou qual amplitude de participante era suficiente para a formação de preços. O registro citado também não estabelece a alocação contratual privada de danos. A responsabilidade do fornecedor e a responsabilidade da bolsa são controles sobrepostos, não uma escolha de soma zero.

O fornecedor OEM não identificado

O relatório chama a fonte subjacente do NAS de “Empresa A”. Esse fornecedor mudou o comportamento do produto e o padrão inicial, enquanto sua especificação não capturava adequadamente a mudança comportamental. Também participou do exame do componente. Esses fatos apoiam um papel operacional na especificação do produto e evidência de teste.

O registro público oculta a identidade e o contrato do fornecedor e não publica sua resposta independente. Seria inadequado atribuir uma porcentagem de responsabilidade legal ou inferir ocultação. A aceitação explícita da Fujitsu pela qualidade de envio de marca significa que a relação OEM não removeu o controle voltado para o cliente da Fujitsu.

Participantes de negociação e fornecedores de sistemas compartilhados

As corretoras controlavam suas máquinas de estado de ordens, instruções de clientes, pré-financiamento, tratamento de exceções e prontidão para reconciliar e reenviar. Os fornecedores de plataforma compartilhada controlavam se muitos participantes poderiam executar uma recuperação excepcional. Sua incapacidade de suportar uma reinicialização foi um fato de continuidade contribuinte, mas a investigação não a enquadrou como má conduta: a TSE não havia acordado ou testado o procedimento com eles.

Após o evento, a participação criou deveres recíprocos. A TSE tinha que publicar regras claras e instalações de teste; os participantes tinham que implementar e ensaiar o tratamento acordado. Uma regra de reinício que existe apenas dentro da documentação da bolsa não é continuidade de mercado. Inversamente, um participante não pode exigir a reabertura no mesmo dia enquanto se recusa a construir os controles de mensagem e estado do cliente que a tornam justa.

Reguladores

A FSA não projetou o arrowhead nem operou o comando de incidente. Seus controles eram supervisão, demandas de relatórios, inspeção e aplicação. A ordem de 30 de novembro documentou deficiências de sistema, procedimentos e governança e exigiu relatórios regulares. O papel do regulador era converter um plano de remediação da empresa em obrigações supervisionadas e exigir que a responsabilidade fosse explicitada.

O evento também testou os limites da conformidade por métrica de disponibilidade. Uma bolsa pode relatar alta disponibilidade histórica enquanto carece de recuperação credível de uma parada anormal. A responsabilidade regulatória deve, portanto, examinar a reconciliação de estado testada, caminhos de parada independentes, cobertura de participantes e evidências de exercícios disruptivos, não apenas redundância nominal e duração da interrupção.

Achados da FSA e responsabilidade da gestão

A FSA concluiu que um defeito de produto causou diretamente o evento, as configurações de troca automática eram inadequadas e as regras de reinício da TSE eram insuficientes. Para a TSE, a ordem exigia quatro programas conectados: reconfirmar configurações e processos de controle de mudanças, incluindo requisitos impostos a fornecedores terceirizados; remover dependências críticas de suspensão de negociação do dispositivo com falha e inspecionar todas as dependências do sistema; criar regras eficazes de aceitação e reinício de ordens com testes de participantes; e expandir a resiliência juntamente com a confiabilidade de “Nunca Parar”.

Para a JPX, a FSA exigiu que as empresas do grupo inspecionassem sistemas e treinassem para restauração precoce, estabelecessem decisões de reinício pré-acordadas com os participantes e melhorassem a resiliência em todo o desenvolvimento e manutenção. Umatradução de referência em inglês da disposiçãooficial preserva esses requisitos para leitores não japoneses. O original japonês controla se a tradução divergir.

Adivulgação de responsabilidade de 30 de novembroda JPX então identificou as consequências gerenciais. O presidente da TSE, Miyahara Koichiro, renunciou da TSE e como co-COO do grupo JPX. O CEO da JPX, Kiyota Akira, teve seu salário mensal reduzido em 50% por quatro meses, o CIO Yokoyama Ryusuke em 20% por quatro meses, e um executivo da TSE em 10% por quatro meses; dois chefes de departamento receberam advertências severas.

A Fujitsu seguiu com umaviso de ação executiva de 3 de dezembro. A remuneração mensal de seu presidente foi reduzida em 50% por quatro meses, a de seu vice-presidente em 30% e a de três diretores executivos em 20% ou 10%; três diretores executivos corporativos receberam advertências severas. A empresa vinculou essas medidas à falha na troca automática e iniciou uma reinspeção mais ampla do sistema e fortalecimento da garantia de qualidade.

Essas medidas tornam a responsabilidade da gestão visível, mas não provam proporcionalidade ou eficácia. Uma renúncia e corte salarial mostram que os conselhos atribuíram consequência institucional. Eles não substituem evidência de configuração, testes independentes, prontidão de participantes ou acompanhamento de um regulador. Tampouco são achados de que os executivos nomeados configuraram pessoalmente o dispositivo ou cometeram uma irregularidade legal.

Prova de reparo: da correção de configuração a um mercado reiniciável

Prova técnica imediata

A prova imediata mais forte não foi uma declaração de política. A TSE e a Fujitsu reproduziram a condição de falha em equipamento real, observaram a tomada correta com a configuração alterada e então colocaramOn Panic=Trueem produção. Revisaram todas as configurações do NAS em relação ao requisito e comportamento do produto, com verificações em equipamento real para valores não padrão. Também confirmaram um procedimento de troca forçada para casos em que a automação ainda falhasse.

Essa evidência aborda diretamente o caminho causal conhecido. Seu limite é o escopo: prova um cenário e configuração testados, não todos os estados concebíveis de controlador, rede, armazenamento ou corrupção. O comitê advertiu explicitamente que falhas “inesperadas” permanecem possíveis e que os fornecedores devem realizar testes de cenário abrangentes.

Prova de parada de mercado independente

A TSE examinou se um dispositivo ou função poderia impedir uma instrução de suspensão de negociação e desenvolveu uma rota de parada de emergência que não passava pelo NAS. Isso abordou a dependência comum oculta que forçou o isolamento do balanceador de carga. O controle deve ser julgado por evidência de execução periódica, incluindo prova de que ele interrompe a correspondência e a aceitação de ordens preservando um registro auditável, não apenas pela existência de um botão ou trabalho separado.

Prova de reinício acordado e estado de ordem

A TSE estabeleceu um Conselho de Medidas de Prevenção de Recorrência com empresas de valores mobiliários, investidores, fornecedores de sistemas e observadores da FSA. Oregistro oficial do conselhopreserva três reuniões do conselho e nove sessões especializadas de grupos de trabalho. Este fórum converteu o reinício de uma decisão interna da bolsa em um protocolo de mercado.

Orelatório final do conselho de março de 2021definiu regras por tempo e tipo de falha, aceitação de ordens, janelas de decisão de reinício, consulta aos participantes, cadência de informação e exercício. Diz que um exercício de usuário em 23 de janeiro de 2021 testou o novo processo de informação e que as operações de informação ao vivo do arrowhead começaram em fevereiro. Isso é evidência de implementação, não apenas intenção.

Apágina duradoura de retomada de reinicialização do sistemada TSE declara as consequências operacionais. Uma reinicialização cancela ordens do lado da bolsa; os participantes geralmente reenviam ordens confiadas de clientes, a menos que acordado separadamente; ordens parcialmente executadas precisam de vinculação; execuções válidas pré-falha permanecem válidas em princípio; os dados FLEX reiniciados refletem o período pós-reinício, com informações diárias consolidadas publicadas posteriormente; e as regras de preço, suspensão de informações corporativas e venda a descoberto têm tratamento explícito. Essas são exatamente as perguntas de estado que não tinham uma resposta acordada em 1º de outubro.

A TSE também abriu umprocesso de comentário público em 2021para deficiências em avisos de detalhes de transação causados por falha do sistema. A publicação do tratamento proposto e respostas a comentários torna a fronteira legal-operacional revisável além da sala de incidente.

Prova em nível de grupo e trabalho residual

Arevisão do plano de gestão do AF2020da JPX relatou a conclusão de configurações corrigidas e verificações abrangentes, procedimentos de troca forçada, verificações de sistemas-chave e uma função de parada de negociação independente do NAS. Descreveu testes e exercícios como contínuos e as regras do conselho como base para revisão contínua da eficácia. Esta divulgação é evidência de gestão útil, embora permaneça como relatório de status de primeira parte, em vez de uma certificação técnica externa.

A dependência se estendeu além das listagens próprias da TSE. Oaviso de 1º de outubroda Nagoya Stock Exchange afirmou que sua parada de dia inteiro foi decorrente do sistema de negociação da TSE que utilizava. A Fukuoka Stock Exchange também emitiuinstruções de tratamento para o dia seguinteapós sua suspensão de dia inteiro. O reparo, portanto, teve que coordenar as bolsas regionais que usam o arrowhead, não apenas as subsidiárias da JPX.

A evolução posterior do sistema fornece evidência adicional, mas não conclusiva, de continuidade. Ohistórico de serviço atual do arrowheadda JPX registra a quarta geração entrando em operação em novembro de 2024 com resiliência como um objetivo explícito, juntamente com processamento de dados de negociação sincronizado de três nós e funções atuais orientadas para recuperação. Uma nova geração bem-sucedida mostra investimento e prioridades de design alteradas. Não pode provar retroativamente que todas as fraquezas de 2020 estavam ausentes em todos os momentos após o incidente.

Fatos confirmados, inferências suportadas, alegações contestadas e desconhecidos

Fatos confirmados

O cartão de memória falhou; o par NAS não trocou automaticamente;On Panic=Falsetinha comportamento real diferente do entendimento baseado no manual; testes representativos de estado de pânico estavam ausentes; todos os caminhos de parada comuns e de emergência dependiam de arquivos do NAS; a tomada forçada teve sucesso às 09:26; dados de execução de leilão disseminados por volta das 09:00 eram inválidos; algumas transações ToSTNeT permaneceram válidas; a reinicialização no mesmo dia não havia sido testada; a prontidão estimada de reenvio era de cerca de 38% por valor de negociação e limitada a empresas estrangeiras; a TSE permaneceu fechada; a negociação normal foi concluída em 2 de outubro; a FSA emitiu duas ordens de melhoria de negócios; tanto a JPX/TSE quanto a Fujitsu impuseram consequências gerenciais; e a remediação técnica e processual se seguiu.

Inferências suportadas

A redundância nominal de hardware não era redundância operacional porque o estado implantado, manual, teste e caminho de substituição manual não provavam conjuntamente a tomada. O NAS compartilhado criou um modo comum de plano de controle, embora os dados de correspondência tivessem outras proteções de sincronização. “Nunca Parar” tornou-se uma condição de governança contribuinte quando as rotinas de abertura foram tratadas como padrão, apesar da evidência incompleta de prontidão. A decisão de permanecer fechado protegeu a integridade do mercado, enquanto a incapacidade de reabrir expôs uma lacuna de continuidade evitável.

Essas são conclusões de controle apoiadas pelo registro, não julgamentos legais.

Alegações contestadas

Nenhuma disputa causal material entre TSE, JPX, FSA e Fujitsu aparece no registro formal citado. A abreviação inicial que atribuiu o incidente ao hardware foi superada e está incompleta sem a configuração documentada e a cadeia de governança. Alegações públicas de que a TSE poderia simplesmente ter religado os mercados são contraditas pelos avisos retidos, estado dos participantes e evidência de prontidão. Como nenhuma parte formal apresentou uma alternativa testada para o mesmo dia, este artigo não fabrica uma disputa de dois lados.

Desconhecidos

O registro público não identifica a Empresa A, publica o contrato OEM, divulga o código fonte ou arquivos de configuração completos, fornece o relatório completo de laboratório do cartão com falha ou mostra todos os comentários internos de revisão. Não quantifica a perda econômica de cada investidor, estabelece se a TSE ou a Fujitsu pagaram compensação privada, ou julga a responsabilidade contratual. Não publica as respostas de prontidão participante por participante nem prova que a estimativa de 38% era exata.

Não fornece resultados independentes completos para cada exercício posterior nem prova que todos os sistemas regionais e de participantes implementaram todas as regras ao mesmo tempo.

Controles contrafactuais e o padrão de prova

O que o registro de impacto prova e não prova

O impacto crítico do incidente é confirmado sem inventar uma estimativa de perda em ienes. A TSE não forneceu oportunidade de negociação de leilão durante todo o dia programado; o ToSTNeT parou após o intervalo de pré-abertura; Nagoya e Fukuoka também suspenderam as negociações porque usavam o sistema da TSE; os dados de mercado público exigiram invalidação e correção; e corretoras, emissores e investidores tiveram que transferir decisões de investimento abertas para a sessão seguinte. A função central de descoberta de preços da bolsa ficou indisponível, embora os derivativos na Osaka Exchange continuassem.

As fontes públicas não fornecem um livro razão de transações contrafactuais completo mostrando o que cada investidor teria comprado ou vendido, a que preço, na ausência da interrupção. Tampouco agregam o custo de remediação das corretoras, deslizamento de hedge em outros locais, atividade de emissão atrasada, efeitos de índice ou reivindicações privadas. Um dia de negociação indisponível pode criar custos de oportunidade e exposição ao risco, mas esses resultados dependem da intenção do investidor e dos preços posteriores.

Este artigo, portanto, não converte capitalização de mercado, volume de negócios de um dia médio ou um valor de ordem não executada em danos.

O impacto institucional é independentemente significativo. A FSA concluiu que a parada de dia inteiro prejudicou gravemente a confiança dos investidores em uma bolsa de instrumentos financeiros, exigiu relatórios regulares de remediação e demandou responsabilidade explícita. A dependência regional mostrou que uma falha de controle poderia afetar mercados legalmente distintos. As ações gerenciais na JPX/TSE e Fujitsu demonstraram que ambos os conselhos trataram o evento como uma falha de governança, não como manutenção rotineira de componentes. Esses fatos apoiam a classificação de impactoCRITICAL, preservando a diferença entre perda de um serviço nacional de formação de preços, custos de resposta mensuráveis e perda monetária privada não comprovada.

O contrafactual preventivo mais estreito é direto: comOn Panic=True, o controlador receptor teria iniciado a tomada imediata após o aviso de pânico. A reprodução em equipamento real antes da mudança de produção apoia essa conclusão para o estado conhecido.

Um contrafactual preventivo mais forte é baseado em governança. Se cada mudança de comportamento do produto tivesse sido mapeada para os requisitos do sistema, o padrão alterado e a semântica de pânico teriam desencadeado revisão. Se o valor não padrão exato implantado pela TSE tivesse sido testado sob perda de controlador, em vez de apenas interrupção de heartbeat, a inconsistência poderia ter sido detectada antes do serviço. Se o portão de aceitação exigisse evidência para cada ramo de gatilho, um resultado genérico de “teste de failover aprovado” não teria fechado o requisito.

Os controles de redução de impacto são separados. Um manual validado de tomada forçada poderia ter encurtado a recuperação do armazenamento. Um comando independente do NAS que parasse a correspondência e a ingestão de ordens poderia ter evitado avisos de execução retidos. Um portão de abertura de mercado poderia ter interrompido a aceitação de ordens às 08:00 uma vez que as telas de controle críticas e as comunicações estavam prejudicadas. A semântica de reinicialização pré-acordada e os exercícios com participantes poderiam ter permitido um reenvio amplo e justo e recuperação no mesmo dia.

A prova deve ser em camadas.Prova de configuraçãoinclui inventários assinados, mapeamentos de requisito para configuração e testes em dispositivo real.Prova de domínio de falhainclui exercícios destrutivos ou de injeção de falha em estados de pânico, heartbeat, E/S parcial, perda de controle e propriedade obsoleta.Prova de controle de mercadodemonstra que os caminhos de parada independentes interrompem os processos pretendidos e preservam registros autoritativos.Prova de reinícioreconcilia o estado da bolsa, corretora, cliente, dados públicos e compensação.Prova de participaçãomede qual parcela e diversidade do mercado pode retornar dentro de cada janela de recuperação.Prova de governançaregistra exceções, proprietários, prazos, revisão do conselho e acompanhamento do regulador.

A disponibilidade é apenas um resultado. Uma bolsa resiliente deve ser capaz de parar com segurança, explicar o que é válido, restaurar a partir de um estado conhecido, incluir um mercado representativo e produzir evidência de que cada etapa funcionou. A interrupção de 2020 mostrou por que um dispositivo de standby, um plano de contingência e várias funções de emergência podem todos existir enquanto a continuidade permanece não comprovada.

Conclusão

A interrupção de 1º de outubro de 2020 foi desencadeada por uma falha física de memória, mas sua significância veio da contenção falha. Uma descrição de produto obsoleta, uma configuração herdada, uma sequência de pânico não testada e preparação inadequada de troca manual derrotaram a redundância de armazenamento. A dependência compartilhada então desabilitou os controles de dados de mercado e parada de negociação. A aceitação de ordens e um corte em nível de rede criaram um estado que não pôde ser reconciliado com segurança com os sistemas dos participantes sob qualquer regra ensaiada.

A escolha da TSE de não reiniciar no meio do dia não foi evidência de indiferença à continuidade. No registro oficial, foi uma decisão racional de integridade do mercado: a reconexão arriscava entregar execuções inválidas, a reinicialização arriscava excluir a maior parte da participação doméstica e de varejo, e nenhuma das rotas havia sido testada. A falha de responsabilização ocorreu antes, quando o ecossistema da bolsa não havia tornado o reinício seguro uma capacidade projetada e comprovada.

A responsabilidade seguiu o controle. A Fujitsu era proprietária da documentação do produto de marca, design de configuração, validação do produto e funções importantes de manutenção, e aceitou falha substancial nessa cadeia. A TSE era proprietária dos critérios de aceitação, arquitetura de parada independente, regras de mercado e prontidão dos participantes. A JPX era proprietária da supervisão do grupo e prioridades de resiliência. Os participantes eram proprietários de sua recuperação de estado de ordens e clientes uma vez que a bolsa fornecesse um protocolo acordado.

A FSA era proprietária da aplicação supervisora e exigiu que esses controles se tornassem explícitos.

O registro de reparo é credível porque contém mais do que desculpas: uma placa substituída, reprodução de failover em equipamento real, configuração de produção corrigida, revisão de configuração abrangente, procedimentos de troca forçada, desenvolvimento de parada independente, exercícios com participantes, semântica de reinício publicada, cadência de informação e trabalho de resiliência em nível de grupo. Seu limite residual é igualmente importante. Nenhum teste finito prova que um mercado nunca irá parar.

O objetivo responsável é mostrar que, quando um componente ou estado imprevisto falha, o mercado pode parar com autoridade, preservar a verdade, recuperar amplamente e demonstrar por que a reabertura é justa.