交易所的首次全日停市 (TSE Halt)：一个每天处理数万亿日元的交易系统，为什么会被一块磁盘弄停一整天？

# ビジネス失敗の回顧メモ：交易所的首次全日停市 (TSE Halt)

> 一个每天处理数万亿日元的交易系统，为什么会被一块磁盘弄停一整天？
> 期間: 2020 - 2021 | 業界: 金融・FinTech
> ピーク: 日本规模最大的证券交易所，承担全国主要股票的交易与清算，其交易系统由外部供应商提供并长期运行多年
> 終局: 因交易系统硬件故障与备份切换失败，交易所历史上首次全天停止交易，负责人辞职并被监管机构要求整改

## 概要
高可用架构的关键不在于有没有备份，而在于备份到底切得动切不动。巅峰期日本规模最大的证券交易所，承担全国主要股票的交易与清算，其交易系统由外部供应商提供并长期运行多年；终局是因交易系统硬件故障与备份切换失败，交易所历史上首次全天停止交易，负责人辞职并被监管机构要求整改。

## コミュニティ投票の主要死因
1. [プロダクト技術] 备份切换未能自动生效 (1,804 票)
2. [組織マネジメント] 系统冗余的实际能力未经充分验证 (1,515 票)
3. [組織マネジメント] 运维知识存在断层 (1,227 票)

## 実行可能な教訓
### 备份的价值等于「切过去能用」的概率，而不是备份存在的数量
> 把切换演练做成定期、可验证的强制动作。

- ✅ 推奨 (DOs):
  - 定期做真实切换演练并记录结果
  - 把关键运维操作标准化为可执行的清单
- ❌ 禁止 (DON'Ts):
  - 不要假设备份会自动接管
  - 不要让关键操作只存在于个人经验中

## 再生プラン
### 把切换演练变成常态，别让备份停留在图纸上 — 良略编辑部
介入時点: 2020 年 10 月硬件故障导致备份未能接管、交易所全日停市后
- 断つべきもの:
  - 停止假设备份会自动生效
  - 停止让关键切换操作依赖人工临场判断
  - 停止因担心影响交易日而取消演练
- 打開策:
  - 定期执行真实的切换演练并留档
  - 把关键操作写成可执行的清单与自动化脚本
  - 对运维知识做交接与轮换以避免断层
- 期待される成果: 切换能力经过验证，单点硬件故障不再造成全市场停市。

## コミュニティの知見
### 从架构图上看，这套系统是有备份的；但从结果上看，备份在那天早上没有起到备份的作用。 — 良略编辑部 (工程师)
这类事故的技术细节往往不复杂，复杂的是「为什么没有及时发现」。交易所的系统在正常运行时非常稳定，正是这种稳定让切换演练显得没那么必要——毕竟谁都不愿意在交易日安排可能会中断服务的演练。而当真实故障在开盘前出现时，人工判断、联系供应商、确认状态这一整套流程，在时间上根本来不及。备份是否存在，和备份能否在十分钟内接管，是两件完全不同的事；前者写在采购合同里，后者只能靠演练来证明。
- やり直せるなら打つべき一手 灾备能力不是一张架构图，而是一次次真跑过的切换记录。

---
出典: 良略 · https://www.lianglue.com/c/tse-halt