骑士资本 (Knight Capital)：为什么一次没做完的软件部署，能在 45 分钟内吃掉一家做市商 4.4 亿美元？

# 商业复盘备忘录：骑士资本 (Knight Capital)

> 为什么一次没做完的软件部署，能在 45 分钟内吃掉一家做市商 4.4 亿美元？
> 周期: 1995 - 2013 | 行业: 金融与科技
> 巅峰: 美国规模最大的做市商之一，为数千只股票提供报价，日均交易量占全美股票交易的重要份额，是电子交易时代的代表性机构
> 终局: 因软件部署遗漏导致旧代码被激活，45 分钟内产生大量错误订单并亏损约 4.4 亿美元，公司几近破产，一年后被同行收购

## 核心概览
自动化的速度优势，会把一个人为疏忽在几分钟内放大成无法挽回的损失。巅峰期美国规模最大的做市商之一，为数千只股票提供报价，日均交易量占全美股票交易的重要份额，是电子交易时代的代表性机构；终局是因软件部署遗漏导致旧代码被激活，45 分钟内产生大量错误订单并亏损约 4.4 亿美元，公司几近破产，一年后被同行收购。

## 社区公投头号死因
1. [产品技术] 系统上线缺少完整的部署校验 (1,892 票)
2. [产品技术] 自动化交易缺少异常熔断 (1,589 票)
3. [组织管理] 变更管理与风控流程脱节 (1,287 票)

## 可执行教训
### 自动化系统必须有一条能立刻停下来的路
> 再快的系统，也要留一个普通人能按下的开关。

- ✅ 推荐做 (DOs):
  - 部署前后强制校验所有节点的版本一致性
  - 为自动交易设置基于异常指标的自动熔断
- ❌ 绝不能做 (DON'Ts):
  - 不要把部署校验交给执行者自行确认
  - 不要在变更流程中省略风控确认

## 救亡方案
### 先给自动交易装熔断，再谈功能上线速度 — 良略编辑部
干预时点: 2012 年 8 月 1 日错误订单持续产生、亏损迅速扩大时
- 必须断腕:
  - 立即停止全部自动做市逻辑并人工接管
  - 停止在没有版本校验的情况下上线变更
  - 停止由技术团队单独决定生产环境切换
- 破局动作:
  - 部署前后强制校验所有节点版本一致性
  - 按仓位与亏损阈值设置自动熔断与人工确认
  - 把风控纳入变更审批的必经环节
- 预期结果: 系统在出现异常时能自动停止，公司保住资本金与做市资格，避免在 45 分钟内失去独立经营的能力。

## 社区见解
### 自动化放大的是速度，不区分正确与错误。 — 良略编辑部 (工程师)
这次事故的技术成因很普通：新功能上线时漏了几台服务器，旧代码在新订单类型下走了错误的逻辑分支。真正决定后果的是系统没有熔断——从第一笔错误订单到人工停机，整整过了 45 分钟，而这 45 分钟里机器一直在按自己的规则下单。人为疏忽在任何公司都会发生，区别只在于系统给了你多少时间发现它。
- 如果重来一次的纠偏招式 凡是能自动下单的系统，都必须有独立于业务的自动止损线。

---
来源: 良略 · https://www.lianglue.com/c/knight-capital