東証 Arrowhead リニューアル ―― 社会インフラシステムに見るヒューマンエラー対策

来たる 2015 年 9 月 24 日木曜日、東京証券取引所で株式売買システム arrowhead のリニューアル版が本番稼動する予定である。日本が誇る高性能・高可用性システムは、数多の課題をいかにして解決したのか。そしてこの先、無事に本番運用に耐えることができるのか。世界の注目が集まる。

2010 年 1 月、東京証券取引所にて arrowhead 稼働開始

2010 年 1 月に東京証券取引所で arrowhead が稼働した。

arrowhead の基幹サーバは富士通 PRIMEQUEST であり、Red Hat Enterprise Linux ベースの OS が搭載されている。また、データベースについても富士通 Primesoft Server が使用されている。オンメモリで処理されることで高速処理を実現し、電子取引の大量の注文処理も捌くことができるようになっている。

これまでも、証券会社からの発注が全く自動化されていなかった訳ではないだろう。だが、arrowhead の登場によって、これまで以上に電子取引が増加しているのは言うまでもない。信頼のあるインフラがあってこそのサービスだ。

arrowhead のウリは何と言っても、その処理時間の短さにある。arrowhead における 1 件あたりの注文応答時間はわずか 2 ミリ秒という、驚異的なスピードを記録している。この速さこそが、現代日本の経済基盤を支えているのである。

Fat-Finger Error ―― 誤発注による被害

ファット・フィンガー・エラー(Fat-Finger Error) という言葉をご存知だろうか。この言葉は、コンピュータの入力作業中に、誤って別のキーを叩いてしまうことにちなんで付けられた、電子取引の誤発注被害を指す言葉である。冗談めいているネーミングではあるが、電子取引による誤発注がどれだけ日常的に起こり得るかを言い当てている。

以下に、過去の電子取引における誤発注事件を示す。

過去の電子取引における誤発注事件
Date	Country	Detail
1992 年 3 月	米国	ニューヨーク証券取引所
2001 年 5 月	英国	ロンドン証券取引所にてリーマンブラザーズ証券が誤発注。
2001 年 11 月	日本	東京証券取引所にてUBS証券（当時はUBSウォーバーグ証券）が電通株に対して誤発注。「61 万円で 16 株」と入力すべきところを「16 円で 61 万株」として売り注文を出した。担当者はコンピュータからの警告表示を無視して実行。
2001 年 12 月	日本	東京証券取引所にてドイツ証券がいすゞ株に対して誤発注。売買が成立しなかったため被害はなし。
2005 年 12 月	日本	東京証券取引所にてみずほ証券がジェイコム株に対して誤発注。大々的に報道される。
2006 年 6 月	日本	東京証券取引所にて立花証券がアドウェイズ株に対して誤発注。
2012 年 8 月	米国	ニューヨーク証券取引所にてナイト・キャピタルが誤発注。新制度導入日に発生。日本円で340億円の損失。会社年間利益の4倍にあたる。
2013 年 8 月	中国	中国本土市場にて上海総合指数が急速に切り返し、瞬間的に5.6％高をつけた。中国工商銀行（601398/CH）、中国農業銀行（601288/CH）、中国石油天然気（601857/CH）といった国有大型株が一時的にストップ高水準まで上昇。乱高下の原因は誤発注であるという噂。
2013 年 8 月	米国	ニューヨーク証券取引所にてゴールドマン・サックスが誤発注。
2013 年 12 月	韓国	小規模な証券会社「HANMAG投資証券」が、わずか1度の誤発注で事実上の破綻。

誤発注事件は多くの国でも起きており、多くの場合、一瞬にして甚大な被害をもたらしているのが特徴である。

コンピュータシステムにおけるヒューマンエラー対策

人間の指示による取引と比較すると、電子取引は件数も速さも格段に上であるため、誤発注による影響は一瞬のうちにして市場全体へと拡大する。そもそも誤発注の原因は発注側の問題なのだが、それによる市場全体へのリスクを考慮した場合、証券取引所側でも何らかの対策が必要であった。

コネクション異常切断時における注文取消機能（cancel on disconnect）
取引中にコネクションが異常切断した場合でも、サーバから発注された未約定注文を自動で取り消す機能が設けられる。
注文抑止・取消機能（kill switch）
利用者からの指示で、注文の抑止と、未約定注文の自動取消し機能が設けられる。
テスト発注用銘柄（dummy symbol）
利用者側システムからテスト用銘柄を使って動作確認ができる。
ユーザ設定型ハードリミット
利用者側であらかじめ単位時間あたりの取引制限値を設定しておき、異常な注文が発注された場合には取引を制限する。

ヒューマンエラー対策の基本はフールプルーフとフェールセーフの考え方である。間違いはあるものと認めて、影響を最小限に留めることが何より重要なのだ。今回、arrowhead に盛り込まれた誤発注対策は、コンピュータ業界の模範的なモデルケースとなるだろう。

Essay