交易所的首次全日停市 (TSE Halt)：一个每天处理数万亿日元的交易系统，为什么会被一块磁盘弄停一整天？

# 商业复盘备忘录：交易所的首次全日停市 (TSE Halt)

> 一个每天处理数万亿日元的交易系统，为什么会被一块磁盘弄停一整天？
> 周期: 2020 - 2021 | 行业: 金融与科技
> 巅峰: 日本规模最大的证券交易所，承担全国主要股票的交易与清算，其交易系统由外部供应商提供并长期运行多年
> 终局: 因交易系统硬件故障与备份切换失败，交易所历史上首次全天停止交易，负责人辞职并被监管机构要求整改

## 核心概览
高可用架构的关键不在于有没有备份，而在于备份到底切得动切不动。巅峰期日本规模最大的证券交易所，承担全国主要股票的交易与清算，其交易系统由外部供应商提供并长期运行多年；终局是因交易系统硬件故障与备份切换失败，交易所历史上首次全天停止交易，负责人辞职并被监管机构要求整改。

## 社区公投头号死因
1. [产品技术] 备份切换未能自动生效 (1,804 票)
2. [组织管理] 系统冗余的实际能力未经充分验证 (1,515 票)
3. [组织管理] 运维知识存在断层 (1,227 票)

## 可执行教训
### 备份的价值等于「切过去能用」的概率，而不是备份存在的数量
> 把切换演练做成定期、可验证的强制动作。

- ✅ 推荐做 (DOs):
  - 定期做真实切换演练并记录结果
  - 把关键运维操作标准化为可执行的清单
- ❌ 绝不能做 (DON'Ts):
  - 不要假设备份会自动接管
  - 不要让关键操作只存在于个人经验中

## 救亡方案
### 把切换演练变成常态，别让备份停留在图纸上 — 良略编辑部
干预时点: 2020 年 10 月硬件故障导致备份未能接管、交易所全日停市后
- 必须断腕:
  - 停止假设备份会自动生效
  - 停止让关键切换操作依赖人工临场判断
  - 停止因担心影响交易日而取消演练
- 破局动作:
  - 定期执行真实的切换演练并留档
  - 把关键操作写成可执行的清单与自动化脚本
  - 对运维知识做交接与轮换以避免断层
- 预期结果: 切换能力经过验证，单点硬件故障不再造成全市场停市。

## 社区见解
### 从架构图上看，这套系统是有备份的；但从结果上看，备份在那天早上没有起到备份的作用。 — 良略编辑部 (工程师)
这类事故的技术细节往往不复杂，复杂的是「为什么没有及时发现」。交易所的系统在正常运行时非常稳定，正是这种稳定让切换演练显得没那么必要——毕竟谁都不愿意在交易日安排可能会中断服务的演练。而当真实故障在开盘前出现时，人工判断、联系供应商、确认状态这一整套流程，在时间上根本来不及。备份是否存在，和备份能否在十分钟内接管，是两件完全不同的事；前者写在采购合同里，后者只能靠演练来证明。
- 如果重来一次的纠偏招式 灾备能力不是一张架构图，而是一次次真跑过的切换记录。

---
来源: 良略 · https://www.lianglue.com/c/tse-halt