摘要
- 2020 年 10 月 1 日日本标准时间 07:04，arrowhead 检测到来自双节点网络附加存储设备一个控制器中内存的大量访问错误消息。设备故障是触发因素。部件可能在服务寿命内发生故障；冗余的存在正是为了遏制此类事件。
- 技术根本原因是 NAS 的
On Panic参数被设置为False，这是基于一种过时的理解，认为标准接管仍会发生。在实际产品规范中，当 panic 消息在心跳丢失之前到达时，既不会启动立即接管，也不会启动标准接管。一份过时的手册、不充分的技术规范变更控制以及不具代表性的故障测试导致了这种配置。 - 该存储对存放了共享文件，供市场数据分发、监控屏幕以及所有三条常规或紧急交易暂停路径使用。这一共同依赖是一个促成条件：存在多个指定的控制措施，但每个都依赖于同一个不可用的 NAS。
- 东京证券交易所（TSE）迅速发现了症状，成立了紧急总部并与富士通合作。然而，其诊断工具也陷入停滞，预先准备的强制接管命令不够充分，多次尝试失败后，才在 09:26 通过修改后的命令将控制权切换到 2 号 NAS。
- 订单接收于 08:00 开始。由于 TSE 无法正常停止交易，它于 08:54 和 08:56 通过网络负载均衡器隔离了 arrowhead 和 ToSTNeT。内部交易处理继续处理已接受的竞价订单，FLEX 在 09:00 之后分发了约一分钟的交易数据。TSE 宣布这些竞价数据无效；同时另行确认符合条件的 ToSTNeT 交易有效。因此，市场数据的完整性需要法律和运营层面的分类处理，而不仅仅是重新连接线缆。
- 不重启而重新连接会释放已保留的、TSE 已宣布无效的交易通知。重启可以清除交易所端的订单和交易，但参与者不会收到常规的过期消息，而且许多参与者无法重构或重新发送客户订单。TSE 的咨询表明，只有约 38%的交易额（仅限于境外证券公司这类参与者）能够准备就绪。独立董事委员会认为，在当时情况下，全天暂停交易的决定是合理的。
- 同一个委员会和金融厅将应对的合理性，与事件前的不足区分开来。TSE 甚至未在测试环境中测试过重启恢复，未与参与者就订单处理方式达成一致，也未建立明确的当日重启流程。一个可辩护的不复市决定，并不能抹消导致安全重启不可行的连续性控制失败。
- 富士通以其品牌供应了 OEM 存储设备，编写或传达了产品文档，在详细文档中设计了该设置，开发并维护了 arrowhead，并支持了事件处理。富士通公开承担了发货质量责任和测试不足的问题。调查将手册错误和设置链条的重大责任归咎于富士通，同时也认为 TSE 在某种程度上本应要求进行与 NAS 重要性相称的故障测试。
- 金融厅依据《金融商品交易法》的不同条款，分别对 TSE 和 JPX 发出了业务改善命令。它要求实施技术规范变更控制、依赖关系审查、独立于 NAS 的暂停功能、参与者规则与演练、全集团检查，以及从主要强调“永不停机”向韧性转变。
- 管理层的后果明确但程序边界清晰：TSE 总裁 Miyahara Koichiro 辞职；JPX 和 TSE 高管被减薪或受到正式警告；富士通削减了五名高管的薪酬并对三名高级职员发出警告。这些是依据监管命令做出的公司治理行为，而非法院对损害赔偿、疏忽或刑事责任的判决。
- 修复证据存在于各个层面：主板更换及 10 月 2 日的监控交易；10 月 4 日进行实际设备测试后在生产环境中设置
On Panic=True；全面的 NAS 设置审查；强制切换程序；独立于 NAS 的紧急停止路径；参与者演练；发布的重启、订单及信息规则；以及后续的 arrowhead 韧性工作。这些成果实质性地提升了保障程度，但没有任何公开来源能证明每一种可能的硬件状态、参与者系统或未来故障都能不受干扰地恢复。
证据边界与程序立场
本分析使用五种证据标签。已确认事实由当时的交易所通知、技术报告、公司披露、规则记录或监管行动直接陈述。支持性推论将已确认事实连接起来用于控制分析，而不宣称具有裁决性质。争议性主张要求存在实质性冲突的立场；仅仅不完整或后续完善不构成争议。未知项是公开记录未能解决的问题。法律或监管认定仅归属于做出该认定的机构，且仅限于该程序内。
主要的取证记录是 JPX 独立外部董事委员会的报告。其英文译本异常明确地承认了自身的局限性：该委员会由 JPX 外部董事组成，并非传统的第三方委员会；在事实时序方面依据了 JPX 和 TSE 提供的材料和信息；且未将主动事实调查或法律责任认定作为其主要目标。它评估了公司的说明、调查方法、应对措施及拟议的补救方案，包括富士通的调查。这是一份有力的正式治理记录，但并非独立的司法裁判。
金融厅的日文行政处分则具有不同的立场。该监管机构于 10 月 2 日要求提交报告，于 10 月 16 日收到报告，并在 11 月 30 日发出业务改善命令之前进行了现场检查。因此，其调查结果具有监管权威性。但它并不决定私人赔偿、在 TSE、富士通及未具名 OEM 供应商之间分配合同损害赔偿，或确立犯罪行为。
富士通的披露是作为直接涉及的供应商所做的承认和说明。10 月 19 日，该公司表示 ETERNUS NR1000 由另一家开发商作为 OEM 产品制造，但富士通承担发货质量责任。它承认手册未跟随因操作系统驱动的规范变更，且其测试和确认不充分。这些声明是重要的第一手证据；它们并非对富士通或供应商每一项工程记录的外部审计。
因果叙述得到了完善，而非实质性争议。TSE 在 10 月 1 日和 5 日的通报描述了内存模块故障和切换失败。后来的调查区分了部件事件、配置机制以及扩大影响的操作条件。所引用的 JPX、TSE、金融厅或富士通来源中，均未正式否认这一链条。所谓全天中断“只是一次随机硬件故障”，或者反过来声称根本没有真正的硬件故障的说法，与正式记录不符，而非保留的制度性争议。
事前时序
10 月 1 日之前：一个带有承袭假设的高速系统
Arrowhead 自 2010 年起运行。第三代系统在经过硬件更新和性能升级后，于 2019 年 11 月 5 日上线。TSE 与富士通的联合上线通知强调了功能性、稳定性能以及安全可靠的市场。调查随后描述了一个由数百台同步服务器组成的系统，这些服务器负责接收订单、撮合交易、返回成交通知、分发市场信息、与清算系统交互，并提供监督和控制功能。其宣传的订单响应时间约为 200 微秒。
这种速度背景之所以重要，是因为连续性不仅仅关乎保持服务器可用性。交易所必须维护横跨订单、交易、官方通知、公开价格信息、监督、参与者账簿及最终清算的共同状态。快速撮合增加了当某个控制层面受损时，状态在数秒内可能产生差异的数量。
该 NAS 对并未替代 arrowhead 的撮合架构来保存核心同步订单簿。它保存的是多个服务器和运营功能所需的公共文件，例如证券和用户信息。集中存放这些文件有助于保持一致性和高效设计。但这也意味着，如果故障切换失败，市场数据和控制流程可能会同时等待同一个存储服务。
关键设置在第三代之前就已存在。在旧的产品行为下，On Panic=False会禁用立即接管，但标准接管仍会继心跳丢失之后发生。该设置在第一代和第二代中正常工作。在后来的产品演进中，NAS 规范发生了变化：如果 panic 通知在心跳消息停止之前到达，False也会阻止标准接管。默认值从False变为True，但相关的书面规范并未准确描述这种行为变化。旧的False值被沿用了到第三代。
这并非 TSE 未指定恢复目标的案例。其第三代需求要求 NAS 相关功能在设备故障后于 30 秒内切换并继续运行。失败发生在需求、产品行为、详细配置、审查及代表性测试之间。纸面上的连续性需求并不能证明已部署的备用方案能实现它。
过往事件提供了警示背景，但并未证明同一缺陷会重复发生。2012 年，市场信息网关的部分故障导致 241 只证券暂停交易一上午；调查将该事件归因于软件切换不完整及切换确认不足。2018 年，一个托管用户发出的大量信息致使路由设备过载，并断开了多家参与者网关。TSE 的2018 年事件报告记录了网络控制、参与者沟通及扩展的故障测试。这些修复措施针对了那些机制。但它们并未测试 2020 年发生的精确 panic-before-heartbeat 状态。
07:04-08:36：检测、诊断与暂停决定
07:04，监控系统针对 1 号 NAS 生成了大量访问异常消息。07:10，部分交易监督和运营管理终端无法登录；其他终端仍可登录。这种混合状态使初步评估复杂化。本应报告系统状态的诊断工具持续运行却未返回结果。TSE 于 07:10 通知富士通，富士通的平台和应用人员从 07:11 开始联合进行影响隔离。
从 07:30 起，TSE 发现证券信息出现延迟，并发现计划中的路由维护和通信启动消息未能发送。首席信息官 Yokoyama Ryusuke 自 07:37 起领导系统故障紧急总部。07:55，富士通报告称，消息表明 1 号 NAS 的控制机制已发生故障，并且预期向 2 号 NAS 的切换并未发生。
08:00，arrowhead 按正常时间表开始接受订单。这一决定后来变得重要，但不应用事后之明加以改写。委员会发现，在 08:00 之前，TSE 尚未完全了解事件全貌或影响；部分屏幕尚可使用；且工作人员相信，如果需要，常规或紧急暂停控制仍能保护市场。然而，委员会后来批评了更深层的“永不停机”假设，该假设使得 08:00 开始接受订单和 09:00 开盘显得像是绝对的，而非取决于证据。
08:01，TSE 通知参与者通信启动消息无法发送。恢复与影响分析同步进行。TSE 选择 08:30 作为决策门限：如果市场数据分发未能恢复，则暂停所有证券，以便留出时间在 09:00 开盘前通知参与者。分发仍处于受损状态。08:36，TSE 依据其《业务规程》第 29 条第 4 款，通知参与者暂停交易。公开的首份英文市场通知称，一处技术故障影响了市场数据分发，所有上市证券将停牌，订单接收将被关闭。
决策指令与实际的技术停止是不同的事件。常规交易暂停需要交易监督屏幕；市场暂停需要运营管理屏幕；紧急作业避免了该屏幕，但仍需读取 NAS 文件。所有功能均不可用。因此，TSE 使用了旨在将订单限制到特定服务器的网络控制：它在 08:54 切断了 arrowhead 的负载均衡器，在 08:56 切断了 ToSTNeT 的负载均衡器。此举阻止了新的参与者通信，但并未发出正常的撮合停止指令。
08:16-09:26：接管尝试失败与状态分歧
与此同时，TSE 和富士通试图强制 2 号 NAS 接管控制。在 08:16 对 1 号 NAS 执行下电指令及在 08:26 进行控制转移的尝试均告失败。08:28 的端口阻断中断了通信，但 1 号 NAS 已经宕机，接管并未发生。08:42 的一次变更条件尝试也失败了。09:23，由富士通产品组提供的一条命令失败；09:26，在该命令中添加选项后，终于强制切换到 2 号 NAS。随后确认市场数据进程以及监督和管理屏幕已可用。
从最初检测到成功强制接管之间的 82 分钟，并非仅仅是修复一个故障组件的时间。它们暴露了一个恢复控制缺口。由于工程师们假设自动接管将会发生，因此一套经过验证的命令以及依赖于状态的手动流程并未就绪。调查发现富士通的准备工作不足，并承认 TSE 自身的预期也不充分。
与此同时，已接受的订单造成了市场完整性问题。订单接收始于 08:00，实时订单数据起初正常流动。由于负载均衡器操作并未停止撮合引擎，arrowhead 处理了截至 08:54 接受的订单。市场数据切断跨越了 09:00 开盘时间，因此 FLEX 分发了大约一分钟的表观成交数据。09:11，TSE 告知市场，到那时为止分发的数据无效。其第三份英文报告还指出，ToSTNeT 已暂停，迄今为止分发的所有 FLEX 数据均无效，而大阪交易所的衍生品交易正常运行。
后续的分类更为精确。TSE 的当日交易状态通知称，竞价市场并未在法律上确立任何交易，即使在 FLEX 已含有表观成交的地方亦然，且暂停前收到的订单不会顺延至下一交易日。该通知另指出，截至 08:56 收到的 ToSTNeT 订单已执行，且所有成交通知均已发送。“所有数据无效”是一项紧急市场数据警告，而非声明每一份场外合约均无效。
这一区别对于问责至关重要。存储故障切换可以恢复文件访问，但它本身无法决定哪些消息构成有效的市场行为，无法对齐参与者系统，无法恢复客户余额，也无法重建公平的价格形成。恢复既需要技术状态，也需要权威的市场状态。
09:26-11:45：为何一个健康的备用系统未能带来公平市场
强制切换之后，TSE 考虑了两条路径：不重启直接重新连接，或者重启 arrowhead 并开市。重新连接会释放 arrowhead 内部为网络切断前处理的订单所保留的成交通知。TSE 已宣布那些竞价结果无效。参与者可能会将这些通知视为有效，据此更新客户余额，并基于错误前提继续交易。当日的基准价格也受到了内部处理的影响。委员会认为这条路径与公平公正的市场不相容。
重启会重置交易所端已接受的订单、成交数据和基准价格。但常规的参与者流程是由通知驱动的。发送至 TSE 的订单，通常当参与者收到接受、成交或过期消息时，其状态才会改变。重启会清除交易所状态，却不会发送常规的过期通知。经纪商将不得不通过特殊处理将订单移出“已发送”状态，核对客户指令，并重新发送符合条件的订单。一些预付零售系统还需要防止无效的成交改变购买力或持仓。
TSE 在 11:00 之前征求了主要国内券商、在线券商、境外公司以及共享系统供应商的意见。在线券商表示无法处理该流程；一家服务于众多中型参与者的主要供应商从未测试过该流程，且无法确认准备就绪。委员会后来量化了预计可准备就绪的范围，按交易额占比不超过约 38%，并按参与者属性将其描述为境外证券公司。由这一子集主导的重新开市，将排除大部分国内和散户参与，进而威胁到价格形成的代表性。
11:00，JPX 集团首席执行官与 TSE 总裁参加了临时风险管理委员会会议。TSE 总裁 Miyahara 做出了当日休市的决定，并于 11:45 宣布。第五份 TSE 当日报告解释称，切换失败阻碍了市场信息传播，硬件更换已列入计划，并且经与市场参与者协商，白天重启可能引起投资者和参与者的混乱。
11:45-10 月 2 日：受控的次日恢复
TSE 并未将全天停摆视为允许市场状态含糊不清的许可。其关于当日处理的日文通知对竞价和 ToSTNeT 结果进行了分类。另一份次日处理通知规定了参考价格、延续的卖空价格限制、涨跌幅处理方法以及特殊的 ToSTNeT 价格安排。19:25，TSE 的恢复通知称，预计竞价和 ToSTNeT 交易将于 10 月 2 日正常进行。
在硬件方面，TSE 和富士通更换了承载故障 1 号 NAS 内存的整个主板。调查称，系统恢复了其双活配置，快速手动切换程序已可用，两家机构均建立了增强监控，预备处理正常完成，主板更换于 22:00 完成。10 月 2 日的交易顺利完成，未出现问题。
从保障的角度看，修复尚未完成。10 月 2 日，各方定位到了配置错误。他们在实际设备上重现了相关状况，确认了正确的切换，并于 10 月 4 日在生产环境中设置了On Panic=True。采用修正值后的运行于 10 月 5 日开始。TSE 的初始英文技术通知记录了内存模块故障、切换失败、10 月 4 日的设置变更以及确认自动切换行为符合预期。
原因图谱：触发因素、根本原因及促成条件
触发因素
触发因素是一次意外的物理故障，导致 1 号 NAS 中的内存卡不可读写。富士通及未具名的 OEM 供应商检查了该部件。他们报告的同型号故障历史未超出富士通的内部阈值，该卡处于服务寿命内，且未识别出有缺陷的生产批次。委员会未将这一部件故障的发生归责于 TSE。
将内存故障称为触发因素并非语义回避。备用设计的建立正是因为部件会失效。如果一个在役部件尽管安装了冗余仍能使市场停摆，问责分析就必须审视为何遏制控制失败了。
技术根本原因
技术根本原因是针对已部署的 NAS 行为，错误的On Panic=False设置。故障控制器在 0.5 秒心跳监控停止前发送了 panic 通知。根据实际规范，False抑制了立即接管，且在该时序下，也抑制了标准接管。2 号 NAS 未夺取控制权，导致该对存储设备对依赖功能不可用。
设置链条包含若干相互关联的事实。旧产品允许在False下进行标准接管。后来的规范及默认值发生了变化。供应商的文件记录了默认值变更，但未记录行为变更；富士通的手册仍不准确。富士通在详细设计中写入了False，TSE 对照着同一份错误手册审查了该设计，而两家机构的投产前测试均未重现该 panic 序列下 NAS 功能丧失的情况。TSE 的单页NAS 设置补充说明图解了为何 panic 消息排除了预期的延迟接管。
富士通自身的原因及对策披露确认了操作链条：手册声称自动切换总会发生，实际产品可被配置为在内存故障条件下不切换，手册未跟随因操作系统版本更新而引入的规范变更，且富士通的测试与确认未能发现该不匹配。
促成条件 1：规范治理未能保住需求
TSE 要求在 30 秒内继续处理。富士通的系统工程师知晓配置值，但富士通告知委员会，TSE 的需求并未在其一致性审查期间传达给产品组。产品组检查的是设备设置之间是否冲突，而非设备行为是否满足交易所系统级恢复目标。
这是一个有支持的治理推论：需求、实现和产品验证回路并未闭合。没有任何单份文件持有人曾证明，在 OEM 行为变更后，“30 秒继续运行”依然成立。该推论并不认定任何人故意隐瞒变更。
促成条件 2：测试代表的是心跳丢失，而非实际故障状态
TSE 和富士通测试了心跳通信中断，并观察到服务继续。他们将其视为 NAS 控制器丢失的充分证据。但这并不等同。在实际事件中，控制器在心跳丢失前发出了 panic 消息，选择了接管逻辑中的另一条分支。因此，一个名为“切换”的测试通过了，而生产环境中的故障模式却未被测试。
控制方面的教训是明确的：测试覆盖必须以触发状态和结果不变量来表达，而不仅仅是宽泛的标签。备用系统在静默心跳丢失后接管的证据，并不能证明在控制器 panic、部分 I/O 故障、过时所有权状态或畸形通知后也能接管。
促成条件 3：多个控制共享一个存储依赖
NAS 集中存放共享文件以保持内部数据一致性。市场信息分发、监督屏幕、运营屏幕、常规暂停、市场暂停以及紧急停止作业全都依赖这些文件。紧急路径在程序上有所区别，但在故障域上并非独立。当 NAS 对变得不可用时，每一条设计好的暂停指令都失败了。
这种依赖将存储事件扩大为无法控制交易的能力。它还迫使进行网络隔离，这阻止了通信却未停止撮合。金融厅后来命令 TSE 检查整个系统中的依赖关系，并确保特定位置的故障不会使对连续性至关重要的功能失效。
促成条件 4：强制恢复是临时拼凑的
由于预期将发生自动切换，因此未准备并验证在切换失败状态下夺取控制权的精确命令。在富士通于 09:26 提供成功命令选项之前，多次尝试均告失败。物理断开线缆曾被考虑。备用系统并非仅仅因为其硬件已加电且同步，就在运行上可用；操作者需要一条感知状态、经过演练的权限转移路径，以便在自动化失效时能够工作。
促成条件 5：订单接受和重启政策未被设计为一个统一的连续性系统
TSE 的政策倾向于在暂停期间接受订单，因为参与者在早前事件后曾要求此行为。10 月 1 日，在影响尚未被完全理解前接受订单，使得随后的异常停止更难调和。没有商定的规则来规定何时停止接收订单、重启后已接受的订单会怎样、哪些通知控制着参与者状态，或者如何确定足够的市场多样性能够恢复。
独立委员会认为，鉴于工作人员所知情况，TSE 的实时决策是合理的。但它仍认为预先的决策标准、程序、参与者沟通及测试准备不够充分。这些结论可以并存。事件指挥可以做出危害最小的可用决策，而治理层仍需对仅允许有害的恢复选项负责。
促成条件 6：可靠性文化压倒了可恢复性
委员会对“永不停机”使用了异常直接的语言。它表示，过分强调在 08:00 开始接受订单和在 09:00 开始交易，导致了恢复后无法顺利重启。金融厅同样发现，JPX 的韧性工作滞后于其可靠性重心。支持性推论并非认为高可用性本身是错误的，而是指预防中断已成为比受控降级、权威性停止、状态重置及经过测试的重新开市更强的设计前提。
检测、响应、恢复与市场数据完整性
检测
检测既非不存在，也非完全有效。监控在 07:04 立即暴露了 NAS 访问异常，操作症状在数分钟内出现。TSE 在订单接收窗口开启前便升级通知了富士通并成立了紧急总部。这些都是积极的管控措施。
与此同时，诊断工具本身无限期等待，终端可用性不一致，早期的市场数据遗漏必须从分散的迹象中拼凑。检测揭示了险情，但未能迅速解释故障域或保证安全停止。残余的教训是将可观察性与被观察组件分离，并预先定义开市证据：所需的控制屏幕、数据馈送、停止路径以及参与者消息，必须全部通过后才能接受订单。
响应
响应有三个并行目标：恢复存储、防止不公平的市场开盘，以及传达权威状态。TSE 同时追求了这三个目标。它尝试了强制接管，设定了 08:30 的决策门限，于 08:36 通知参与者，在计划开盘前隔离了订单连接，宣布了误导性的竞价数据无效，征询了各类参与者，并做出了正式的休市决定。
响应也暴露了实施弱点。网络切断在接近 09:00 时完成，导致约一分钟的交易数据泄露。最初的公开通知必然在演变，但该顺序使用户不得不等待恢复时间表。后来的防止再发审议会在其2020 年 12 月信息政策草案中提议设立专门的系统状态页面，即使无进展也通常每 30 分钟更新一次，并划分事件-影响-恢复阶段，以及采用推送分发。这一补救措施表明，沟通节奏和结构是连续性缺陷的一部分。
为何不重启是一项完整性控制
丢失的交易机会是严重的。但这并不意味着任何形式的复市都优于保持休市。如果只有一小类参与者能重构订单，如果无效的成交通知可能进入经纪商的账簿，或者如果公开的价格信息与法定交易状态相冲突，市场在相关意义上便不是连续的。
全日休市决定保全了三种形式的完整性。交易完整性要求对哪些订单和交易存在给出共同的答案。数据完整性要求对 FLEX 消息和次日参考值做出权威处理。参与完整性要求足够广泛的国内、散户、机构和境外参与者群体，以实现公平的价格形成。官方证据支持 TSE 的结论，即无法证明这些条件能够在当日重启中得到满足。
委员会并非仅仅遵从管理层。它评估了 38%的准备率估计、参与者构成、测试环境重启的缺失以及消息状态问题，然后认定该决策及信息收集过程是合理的。这是反对所谓管理层仅仅为避免操作不便而选择休市这一简单化说法的有力证据。
恢复
恢复是分阶段进行的。09:26，强制接管恢复了访问和运营屏幕。傍晚时分，TSE 已对当日交易状态进行分类，明确了次日市场处理方式，更换了故障主板，安排了联合监控，并完成了预备处理。10 月 2 日的正常交易提供了一个重要的服务级别结果。
10 月 4 日，在实际设备上重现该状况后，TSE 将On Panic改为True。到 10 月 23 日，富士通的系统和产品团队已对照需求和实际产品行为审查了所有 NAS 设置；到 10 月底，与出厂默认值不同的值均已通过实际设备确认。调查还报告了强制切换程序已得到确认，并计划制定针对特定设备状态的指令列表。
这些阶段不应被简化为“一夜修好”。部件更换恢复了容量；增强的监控管理了短期不确定性；设置变更消除了已知的自动切换缺陷；全面审查排查了同类配置错误；且程序解决了自动化失败问题。每个阶段回答不同的保障问题。
时序后的责任分配
东京证券交易所：市场运营者与系统所有者
TSE 对其现金市场是否开盘、哪些订单被接受、消息是否代表有效交易、交易何时停止以及何时可以恢复，握有首要的公开控制权。它规定了 30 秒的 NAS 继续运行要求，审查了详细设计，运营了 arrowhead，维护了应急计划，并协调了相连的参与者。
因此，其问责范围比错误设置的编写更广。TSE 可以合理地依赖专业供应商的准确手册，委员会也将该错误的主要责任归于富士通。但 TSE 控制着一个其故障可能导致全国市场停摆的系统的验收标准。委员会认为，鉴于 NAS 的重要性，TSE 在某种程度上本应要求进行实际功能丧失测试，并对未能识别设置缺陷负有部分责任。
TSE 还拥有围绕技术故障的市场连续性设计。多个停止机制共用故障的 NAS；即使在测试环境中也未测试过重启恢复；参与者没有商定的订单处理方式；且恢复标准并不明确。这些都是交易所的控制事项，即使参与者和供应商的合作是必要的。
全日休市决定不应被转化为一项单独的过错认定。委员会并未发现休市决定本身有错。TSE 的问责在于事件前的架构和规则，它们使得公平的当日复市无法被证明，以及纠正这些问题的责任。
日本交易所集团：母公司治理与集团韧性
JPX 拥有集团风险治理、资源分配和对 TSE 的监督权。该事件影响了使用 arrowhead 的其他现货交易所，并对大阪交易所及其他集团市场职能提出了共同问题，即使 OSE 衍生品市场仍保持开放。因此，母公司的问责涉及的不只是监督一个事件应对小组。
金融厅命令 JPX 要求集团公司检查系统并演练早期恢复，制定包含参与者的重启规则，并重新平衡开发与维护以趋向韧性。独立报告同样呼吁全集团的可靠性及“全方位”沟通。JPX 的角色是将一个子公司的失败转化为跨市场业务的标准，而非假设有缺陷的配置是孤立的。
富士通：品牌产品供应商、系统集成商和维护供应商
富士通拥有若干控制环节。它以其品牌供应了 ETERNUS NR1000；其产品组验证了 OEM 产品及文档；其 arrowhead 工程师编写了详细的 NAS 设置；它开发、维护并服务了交易所系统；并且它提供了事件处理命令。这些角色赋予富士通对规范变更链条以及从产品行为到系统需求转换的实际控制。
调查得出结论，富士通应对错误的手册负责，并对有缺陷的设置承担重大责任。调查还发现，产品组验证不足、与 OEM 供应商的沟通不足、故障状态测试不足、内部协调不足以及对手动切换的准备不足。富士通自己也承认，OEM 关系并未转移发货质量责任。
富士通并不控制 TSE 在法律上是开盘还是休市、哪些订单有效，或者多宽的参与者群体足以形成价格。所引用的记录也未确立私下的合同损害赔偿分配。供应商责任与交易所责任是重叠的控制环节，而非零和选择。
未具名的 OEM 供应商
报告将底层 NAS 源头称为“A 公司”。该供应商改变了产品行为和初始默认值，而其规范并未充分体现行为变化。它还参与了部件检查。这些事实支持其在产品规范和测试证据方面扮演了操作性角色。
公开记录隐去了该供应商的身份和合同，且未公布其独立回应。分配一个法律责任百分比或推断其隐瞒是不稳妥的。富士通明确接受了品牌发货质量责任，意味着 OEM 关系并未移除富士通面向客户的控制。
交易参与者与共享系统供应商
经纪商控制着其订单状态机、客户指令、预缴资金、异常处理以及核对和重新发送的准备情况。共享平台供应商控制着众多参与者能否执行特殊恢复。他们无法支持重启是一个促成连续性的事实，但调查并未将其定性为不当行为：TSE 此前并未与他们商定或测试该程序。
事件发生后，参与带来了对等义务。TSE 必须发布明确的规则和测试设施；参与者必须实施并演练商定的处理方式。仅存在于交易所文档中的重启规则并非市场连续性。反过来，参与者也不能要求当日复市，却拒绝构建使其公平所需的那些消息和客户状态控制措施。
监管机构
金融厅并未设计 arrowhead，也未操作事件指挥。其控制手段是监督、报告要求、检查及强制执行。11 月 30 日的命令记录了系统、程序和治理上的缺陷，并要求定期报告。监管机构的角色是将公司补救计划转化为受监督的义务，并要求明确责任。
该事件也考验了以可用性指标衡量合规的局限性。一家交易所可以报告很高的历史正常运行时间，却缺乏从异常停止中可信恢复的能力。因此，监管问责应审查经过测试的状态核对、独立的停止路径、参与者覆盖范围以及来自破坏性演练的证据，而不仅仅是名义上的冗余和停机时长。
金融厅的发现与管理层问责
金融厅发现，产品缺陷直接导致了该事件，自动切换设置不充分，且 TSE 的重启规则不足。针对 TSE，该命令要求四项关联的计划：重新确认设置和变更控制流程，包括对外包供应商提出的要求；移除依赖于故障设备的关键交易暂停环节，并检查所有系统依赖关系；制定有效的订单接受和重启规则，并辅以参与者测试；以及在“永不停机”可靠性之外拓展韧性。
针对 JPX，金融厅要求集团公司检查系统并演练早期恢复，与参与者建立预先商定的重启决策，并提升开发和维护全过程的韧性。一份官方的处分英译参考为非日语读者保留了这些要求。若翻译有差异，以日文原件为准。
JPX 的11 月 30 日责任披露随后明确了管理层后果。TSE 总裁 Miyahara Koichiro 辞去 TSE 总裁及 JPX 集团联席首席运营官职务。JPX 首席执行官 Kiyota Akira 的月薪在四个月内扣减 50%，首席信息官 Yokoyama Ryusuke 的月薪扣减 20%，一名 TSE 高管的月薪扣减 10%；两名部门负责人受到严重警告。
富士通随后于12 月 3 日发布高管处分通知。其总裁的月薪酬在四个月内减少 50%，副总裁减少 30%，三名执行董事的薪酬减少 20%或 10%；三名企业执行董事受到严重警告。该公司将这些措施与自动切换失败挂钩，并开始更广泛的系统复检和质量保证强化工作。
这些措施使管理层问责得以显现，但它们并不能证明相称性或有效性。辞职和减薪表明董事会施加了机构性后果。它们并不能替代配置证据、独立测试、参与者准备度或监管机构的后续跟进。它们也不是认定被点名的高管亲自配置了设备或实施了违法行为的裁决。
修复证据：从配置纠正到可重启的市场
即时技术证据
最强有力的即时证据并非一份政策声明。TSE 和富士通在实际设备上重现了故障条件，观察了变更设置后的正确接管，然后将On Panic=True投入生产。他们对照需求和产品行为审查了所有 NAS 设置，并对非默认值进行了实际设备检查。他们还在自动化仍然失败的情况下确认了一套强制切换程序。
这一证据直接针对已知的因果路径。其局限在于范围：它证明的是一个经过测试的场景和配置，而非所有可能想到的控制器、网络、存储或损坏状态。委员会明确警告称，“意外”故障仍有可能发生，供应商应进行全面的场景测试。
独立的市场停止证据
TSE 检查了是否存在单一设备或功能可能阻止交易暂停指令的情况，并开发了一条不经过 NAS 的紧急停止路径。这解决了迫使负载均衡器隔离的隐性共同依赖问题。对该控制的评判应依据定期执行证据，包括停止撮合与订单接受同时保留可审计记录的证明，而不仅仅是存在一个独立的按钮或作业。
商定的重启与订单状态证据
TSE 与证券公司、投资者、系统供应商和金融厅观察员共同设立了防止再发措施审议会。官方审议会记录保留了三次审议会会议和九次专家工作组会议。这一论坛将重启从一项交易所内部决策转变为一项市场协议。
2021 年 3 月的审议会最终报告按故障时间和类型、订单接受、重启决策窗口、参与者咨询、信息发布节奏和演练定义了规则。该报告称，2021 年 1 月 23 日的一次用户演练测试了新的信息流程，并且 arrowhead 的信息实时运营于 2 月开始。这是实施证据，而不仅仅是意图。
TSE 长期有效的系统重启恢复页面说明了运行后果。重启会取消交易所侧的订单；除另有约定外，参与者通常重新发送受托客户订单；部分执行的订单需进行关联；故障前有效的成交原则上仍然有效；重启后的 FLEX 数据反映重启后的时段，合并的日间信息稍后发布；并且价格、公司信息停牌以及卖空规则均有明确处理。这些正是在 10 月 1 日缺乏商定答案的状态问题。
TSE 还针对因系统故障导致的交易明细通知缺陷，展开了2021 年公众意见征求程序。公布拟议的处理方案及对意见的回应，使法律与运营边界在事件室之外亦可被审查。
集团层面的证据与遗留工作
JPX 的2020 财年管理计划回顾报告了已完成的设置更正和全面检查、强制切换程序、关键系统检查以及独立于 NAS 的交易停止功能。该报告将测试和演练描述为持续进行，并将会员规则作为持续有效性审查的基础。这一披露是有用的管理证据，尽管它仍是第一方状态报告，而非外部技术认证。
依赖关系超出了 TSE 自身的上市证券。名古屋证券交易所的10 月 1 日通知称，其全天休市系因其使用的 TSE 交易系统所致。福冈证券交易所同样在其全天暂停后发布了次日处理指南。因此，修复必须协调使用 arrowhead 的各地区交易所，而不仅仅是 JPX 的子公司。
后来的系统演进提供了额外的、但并非决定性的连续性证据。JPX 当前的arrowhead 服务历史记录显示，第四代系统于 2024 年 11 月上线，以韧性为明确目标，同时配备了同步三节点交易数据处理及当前的恢复导向功能。新一代系统的成功上线表明了投入和设计优先顺序的改变。它无法回溯性地证明，在事件后的每一个时间点，2020 年的每个弱点都已不存在。
已确认事实、支持性推论、争议性主张及未知项
已确认事实
- 内存条发生故障；NAS 对未能自动切换；
On Panic=False的实际行为与基于手册的理解不同；代表性的 panic 状态测试缺失；所有常规和紧急停止路径依赖 NAS 文件；强制接管于 09:26 成功；09:00 前后分发的竞价交易数据无效；部分 ToSTNeT 交易仍然有效；当日重启未经测试；预计重发准备度按交易额计约为 38%且限于境外公司；TSE 维持休市；10 月 2 日正常交易完成；金融厅发出两项业务改善命令；JPX/TSE 及富士通均施加了管理层后果；随后实施了技术性和程序性补救。
支持性推论
名义上的硬件冗余并非运行上的冗余，因为部署状态、手册、测试和手动接管路径未能共同证明接管。共享 NAS 形成了控制平面的共因模式，尽管撮合数据有其他同步保护。“永不停机” 在开市程序被视作默认，即使准备证据不完整，变为了一项促成性的治理条件。维持休市的决定保护了市场完整性，而无法复市则暴露了一个本可避免的连续性缺口。这些是记录所支持的控制结论，而非法律裁判。
争议性主张
在所引用的正式记录中，TSE、JPX、金融厅和富士通之间未出现实质性的因果争议。早期将事件归因于硬件的简单化说法已被记录在案的设置和治理链条所取代，且离开后者便不完整。声称 TSE 本可以简单地重新打开市场的公开断言，被保留的通知、参与者状态和准备度证据所否定。由于没有任何正式当事方提出经过测试的当日替代方案，本文不制造一个双方对立的争议。
未知项
公开记录并未指明 A 公司身份，未公布 OEM 合同，未披露源代码或完整配置文件，未提供故障板卡的完整实验室报告，也未展示每一条内部审查意见。它未量化每位投资者的经济损失，未确定 TSE 或富士通是否支付了私下赔偿，也未裁定合同责任。它未逐参与者公布准备度回应，也未证明 38%的估计是精确的。它未提供后续每次演练的完整独立结果，也未证明所有地区和参与者的系统均同时落实了每条规则。
反事实控制与证明标准
影响记录证明了什么，未证明什么
该事件的严重冲击已得到确认，无需杜撰一个日元损失估计。TSE 在整个计划交易日未提供竞价交易机会；ToSTNeT 在盘前时段后停止；名古屋和福冈也因使用 TSE 系统而暂停交易；公开市场数据需要宣布无效并修正；经纪商、发行人和投资者不得不将未平仓的投资决定带入下一交易日。尽管大阪交易所的衍生品仍在交易，但交易所的核心价格发现功能陷于不可用。
公开信源未提供一份完整的反事实交易账本，以显示若没有中断，每位投资者会以何种价格买入或卖出什么。它们也未汇总经纪商的补救成本、在其他场所的对冲滑点、延迟的发行活动、指数影响或私人索赔。一个交易不可用的交易日可能产生机会成本和风险敞口，但这些结果取决于投资者意图和后续价格。因此，本文不将市值、日均成交额或未执行订单价值转化为损害赔偿金。
制度性影响本身也意义重大。金融厅发现，全天停止严重损害了投资者对金融商品交易所的信心，要求定期提交整改报告，并要求承担明确责任。地区依赖性表明，一次控制失败可能影响法律上独立的市场。JPX/TSE 及富士通的管理层行动表明，两家公司的董事会均将该事件视为治理失败，而非例行的部件维护。这些事实支持CRITICAL影响评级，同时保留了全国性价格形成服务的丧失、可衡量的响应成本与未经证实的私人金钱损失之间的区别。
最狭义的预防性反事实是直接的：若On Panic=True，接收控制器本应在 panic 通知后启动立即接管。生产变更前实际设备上的重现，为已知状态下这一结论提供了支持。
一个更强的预防性反事实是基于治理的。如果每一次产品行为变更都被映射到系统需求，那么默认值的改变和 panic 语义本会触发审查。如果 TSE 所部署的精确非默认值在控制器丢失而不仅是心跳中断下经过了测试，这种不一致本可在上线前被发现。如果验收关口要求为每个触发分支提供证据，那么一个笼统的“故障切换测试通过”结果本不会使需求关闭。
减轻影响的控制措施另当别论。一套经过验证的强制接管操作手册本可缩短存储恢复时间。一条独立于 NAS 的、停止撮合和订单接收的指令本可防止保留成交通知。一旦关键控制屏幕和通信受损，一道开市闸门本可阻止 08:00 的订单接受。预先商定的重启语义和参与者演练本可允许广泛、公平的重新发送和当日恢复。
证明必须有层次。配置证明包括签名清单、需求到设置的映射及实际设备测试。故障域证明包括跨越 panic、心跳、部分 I/O、控制丢失和过时所有权状态的破坏性或故障注入演练。市场控制证明表明独立的停止路径能停止预期流程并保留权威日志。重启证明核对交易所、经纪商、客户、公开数据及清算状态。参与证明衡量在每个恢复窗口内，多大份额和多样性的市场能够返回。治理证明记录例外情况、负责人、截止日期、董事会审查和监管跟进。
正常运行时间仅仅是结果之一。一个有韧性的交易所必须能安全停止、解释什么是有效的、从已知状态恢复、涵盖一个有代表性的市场，并出具每一步奏效的证据。2020 年的中断显示了，为何一个备用设备、一份应急计划和若干紧急功能可以全部存在，而连续性却仍未被证明。
结论
2020 年 10 月 1 日的中断由物理内存故障触发，但其严重性来自遏制的失败。一份过时的产品描述、一个被沿用的设置、一个未经测试的 panic 序列以及不充分的手动切换准备，击败了存储冗余。共享依赖进而使市场数据和交易停止控制失效。订单接受和网络级切断所产生的状态，无法在任何演练过的规则下安全地与参与者系统相协调。
TSE 选择不在日间重启，并非对连续性漠不关心的证据。根据官方记录，这是一项理性的市场完整性决策：重连可能送达无效的成交，重启可能将多数国内和散户参与排除在外，且两条路径均未经过测试。问责的失败发生在更早的时候，那时交易所生态系统尚未将安全重启打造成一项设计出来并经过验证的能力。
责任随着控制走。富士通拥有品牌产品文档、设置设计、产品验证以及重要的维护职能，并承认了该链条中的重大过错。TSE 拥有验收标准、独立停止架构、市场规则和参与者准备度。JPX 拥有集团监督和韧性优先级。一旦交易所提供商定好的协议，参与者便拥有其订单和客户状态的恢复。金融厅拥有监督执法权，并要求这些控制措施明晰化。
修复记录是可信的，因为它包含的不只是道歉：更换的板卡、实际设备上的故障切换重现、修正的生产设置、全设置范围的审查、强制切换程序、独立停止功能的开发、参与者演练、发布的重启语义、信息发布节奏以及集团层面的韧性工作。其残留的局限同样重要。没有有限的测试能够证明市场永不停摆。负责任的目的是证明，当一个预料之外的组件或状态失效时，市场能够权威地暂停、保全真相、广泛恢复，并论证为何复市是公平的。