株式会社日本取引所グループ

御中調 査 報 告 書2020 年 11 月 30 日
システム障害に係る独立社外取締役による調査委員会

- 1 -

目

次

当委員会及び本調査の概要 ········································· 4
1

当委員会の設置経緯 ··············································· 4

2

当委員会の目的及び調査対象 ······································· 4

3

当委員会の構成 ··················································· 54調査の方法 ······················································· 65調査費用 ························································· 7
現物株式売買システム(arrowhead)の概要····························· 81arrowhead 導入の経緯・歴史 ········································ 82arrowhead の仕組み ················································ 93arrowhead の運用・保守体制等 ······································ 94arrowhead における過去のシステム障害 ····························· 10
本障害に関する事実経過 ·········································· 10

1

障害検知から売買停止まで ········································ 10

2

相場情報配信の抑止 ·············································· 12

3NAS 1 号機への対応 ··············································· 124

売買再開に向けた検討 ············································ 13

5

翌日の売買再開に向けた検討 ······································ 14
本障害発生の原因 ················································ 14

1

本障害発生の原因に関する JPX 及び東証の見解······················· 14
メモリカードの故障 ············································ 14
NAS 2 号機への自動切替えが正常に動作しなかった原因 ············ 15
手動による切替えに時間を要した原因 ···························· 20
相場情報配信及び売買停止機能が利用不可となった原因 ············ 20

2

当委員会の評価 ·················································· 20
メモリカード故障 ·············································· 20
NAS2 号機への自動切替え不備 ··································· 20
NAS2 号機への手動切替えに時間を要したこと ····················· 21
小括 ·························································· 21- 2 -障害発生当日中の取引再開ができなかった原因······················· 22
1

当日中に取引再開できなかった原因に関する JPX 及び東証の見解 ······· 22
売買停止に対する基本的な考え方 ································ 22
8 時 36 分の売買停止の判断、ロードバランサ遮断 ················· 22
取引参加者へのヒアリング ······································ 23
終日売買停止の判断を行った理由 ································ 24

2

当委員会の評価 ·················································· 26
8 時から注文を受け付けたこと（注文受付可否の判断手続に関する事
前措置） ······················································ 26
売買停止の判断を 8 時 30 分としたこと（売買停止の判断手続に関する事前措置） ···················································· 26
緊急用売買停止を含めて売買停止をできず、ロードバランサ遮断の方法を余儀なくされたこと（緊急用売買停止機能の処理方式に関する事
前検討） ······················································ 27
終日売買停止の判断 ············································ 28
通常でない売買停止後の売買再開に向けた手続等の事前措置 ········ 28
小括 ·························································· 29
再発防止措置 ···················································· 29

1

JPX 及び東証が検討を進める再発防止措置の概要 ····················· 29
再発防止に向けたシステム対応 ·································· 30
売買停止をするための手段の拡充 ································ 31
市場停止及び再開に係るルールの整備等 ·························· 31
JPX 全体のシステムの信頼性向上 ································ 33

2

当委員会の評価 ·················································· 34
システム面からの対応 ·········································· 34
売買停止手段の拡充 ············································ 34
売買停止及び注文受付停止ルールの整備 ·························· 35
市場再開ルールの整備等 ········································ 35
JPX 全体のシステムの信頼性向上 ································ 35
小括 ·························································· 36
将来に向けた提言 ················································ 36

1「想定外」の障害やトラブルに備えるための検討····················· 362

一定の障害発生は避けられないことを前提とした対応の検討··········· 37

3

障害等のトラブル発生時における適時適切な情報発信················· 37

4

非常事態における社内対応体制の強化 ······························ 37

5システム関連に更なる経営資源の投入を ···························· 38- 3 -当委員会及び本調査の概要
1

当委員会の設置経緯
株式会社日本取引所グループ（以下「JPX」という）の完全子会社である株式会社東京
証券取引所（以下「東証」という）は、2020 年 10 月 1 日（木）に発生した現物株式売買システム（以下「arrowhead」という）の障害（以下「本障害」という）によって、現物株式市場における立会内取引を終日売買停止し、投資家や市場参加者等に多大な影響を与えた。
本障害発生翌日の 10 月 2 日（金）に開催された JPX リスクポリシー委員会1において、
JPX 取締役会に対して事態の重大性、JPX 及び東証の公共性・公益性に鑑みると、システ
ム障害発生の原因・障害発生時の対応の調査とそれを踏まえた再発防止等の各種施策の実効性を高めることが肝要であり、そのためには独立・中立・公平な立場からの調査が必要かつ重要であるとして、JPX の独立社外取締役を委員とする「システム障害に係る独立社外取締役による調査委員会」（以下「当委員会」という）の設置が提言された。
そこで、10 月 5 日（月）、JPX 取締役会は全員一致で、当委員会の設置を決議した。

2

当委員会の目的及び調査対象
当委員会は、JPX 及び東証の執行部から独立した存在であり、技術・法律顧問や事務局
スタッフを含めて、独立・中立・公平な立場から JPX の全てのステークホルダー及び証券
市場の信頼回復のために活動することを目的としている。
なお、調査対象（スコープ）は以下のとおりである。
① 本障害発生の原因② 発生日当日中の取引再開が出来なかった理由③ 責任の所在④ 再発防止措置
当委員会は本障害に関わる事実経過を自ら主体的に調査して事実認定や法的責任の認定を行うことを主たる目的とするものではない。このため、本報告書に記載した障害発生やその後の対応に関する事実経過は、いずれも JPX 及び東証から提供された資料及び情報に依拠したものである。当委員会による調査の主たる目的は、そのような事実経過や発生原因等に関する JPX 及び東証の見解や認定に対して、本障害発生の真因、JPX 及び東証の事前・事後の対応の妥当性、再発防止措置等の事項に関して評価及び提言を行うこ1５名以上の委員の過半数が独立社外取締役から構成され、JPX が重点的に対応すべきリスクを「重要リスク」として特定し、その結果を「包括的リスク管理ステートメント」として取りまと
め、取締役会に提言することなどを目的とする委員会。

- 4 -とにある。また、JPX 及び東証や富士通株式会社（以下「富士通2」という）が行った調査の方法及び内容に係る事後的な検証・評価・判断も調査対象としている。
なお、当委員会はいわゆる「第三者委員会」ではないが、日本弁護士連合会が作成した「企業不祥事における第三者委員会ガイドライン」に可能な限り準拠して、社会全体、マーケットメカニズムそのものを依頼者と考えて調査することを心がけた。
3

当委員会の構成
当委員会は、JPX の独立社外取締役3のうち、当委員会の調査の目的及び対象と特に関連が深い JPX のリスクポリシー委員会や監査委員会の委員を中心に構成している。
指名委員会等設置会社である JPX は、全取締役 14 名中 9 名が独立社外取締役であり、その専門性も多岐にわたっていることから、取締役会としては、あえて外部の法律事務所等に調査を委託せずとも、独立社外取締役の本来の責務4として、執行部から独立した
中立的な客観的な立場から本障害に係る調査を行うことが可能であると判断した。執行部からの独立性が確保され、JPX 及び東証の業務内容、パーパス及びビジョンを理解している独立社外取締役に、短期間で充実した内容の調査の実施を期待しての人選である。
当委員会の委員の構成は以下のとおりである。
委員長

久保利 英明

JPX 独立社外取締役、JPX 指名委員会委員、JPX リス
クポリシー委員会委員長（弁護士・日比谷パーク法律事務所代表）

委

員

遠藤 信博

JPX 独立社外取締役、JPX 指名委員会委員（日本電気㈱取締役会長）

委

員

幸田 真音

JPX 独立社外取締役、JPX 監査委員会委員、JPX リス
クポリシー委員会委員

委

員

米田 壯

（作家）

JPX 独立社外取締役、JPX 監査委員会委員長、JPX リ
スクポリシー委員会委員 （元警察庁長官）

2

arrowhead の開発ベンダである富士通には、ハードウェア等製品の納入のほか、稼働後の開発、維持及び保守業務についても委託をしている。
3

会社の経営陣から独立した存在で、一般株主と利益相反が生じるおそれのない社外取締役。

4日本弁護士連合会の策定した「社外取締役ガイドライン」（2019 年 3 月 14 日改訂）においては、
不祥事発生時に社外取締役に期待される役割として、「①不祥事を客観的に分析し、社内取締役とは異なった視点から、不祥事の具体的内容、発生原因について、業務執行に関与する取締役とは異なった公平かつ中立的な検討を行い、意見を述べること。②発生した不祥事に対して、誰がどのような責任を負うべきかにつき、公平かつ中立的な判断をすること。」が挙げられている。なお、本障害は、重大な法令違反その他の不正・不適切な行為等のいわゆる不祥事にただちに該当するものではないが、本ガイドラインは独立社外取締役に期待される役割発揮の観点において大いに参考にすべきものと考えられるので、その視点に留意して調査を行った。

- 5 -また、当委員会は、以下の者を技術・法律顧問として任命し、本調査の補佐をさせた。
上山浩（弁護士・弁理士・日比谷パーク法律事務所パートナー）

小川 尚史（弁護士・日比谷パーク法律事務所パートナー）
4

調査の方法
当委員会の調査は、以下の方法により実施した。
①

JPX 及び東証から提供された事実経過に関する関係書類一式の検討
10 月 16 日付で JPX 及び東証が金融庁へ提出した報告書をはじめとする本障害に関係する文書・帳票等を検討した。

②

関係者に対するヒアリング
当委員会は、以下の関係者にヒアリングを実施した5。
日時

10 月 7 日（水）対象者
Ａ

東証 IT 開発部トレーディングシステム

10 時～11 時
同

役職等
部長

Ｂ

東証 IT 開発部統括課長

横山 隆介

JPX 常務執行役（CIO、IT 企画担当）

11 時 30 分～12 時

東証 取締役常務執行役員（IT 管理室・IT 開 発 （ ト レ ー デ ィ ン グ 、 情 報 、 清算）・IT サービス担当）

10 月 8 日（木）清田 瞭JPX 取締役兼代表執行役グループ CEO

17 時～18 時 40 分

東証 取締役（非常勤）宮原 幸一郎JPX 取締役兼代表執行役グループ CoCOO（現物市場統括）
東証 代表取締役社長

横山 隆介

上記参照

川井 洋毅

東証 執行役員（株式・エクイティ市場
営業・金融リテラシーサポート担当）

10 月 15 日（木）

清田 瞭

上記参照

12 時 30 分～14 時

宮原 幸一郎

上記参照

横山 隆介

上記参照

5

ヒアリング対象者のうち JPX 及び東証の役員でない者については実名を記載していない。

- 6 -

日時

対象者

役職等

川井 洋毅

上記参照

10 月 20 日（火）

Ａ

上記参照

10 時 30 分～11 時 40 分

Ｂ

上記参照

11 月 5 日（木）

清田 瞭

上記参照

17 時～18 時 40 分

宮原 幸一郎

上記参照

横山 隆介

上記参照

川井 洋毅

上記参照

川井 洋毅

上記参照

宮原 幸一郎

上記参照

清田 瞭

上記参照

横山 隆介

上記参照

11 月 10 日（火）11 時～12 時
同
12 時 30 分～13 時 30 分
同
13 時 40 分～14 時 40 分
同
14 時 50 分～15 時 50 分③

関係部署及び施設の視察

当委員会は、以下のとおり関係部署及び施設の視察を行った。
株式部・IT 開発部

執務室・障害対策本部・売買監理端末・運用
監視端末・テレビ会議設備

IT 開発部・富士通開発拠点

執務室・障害対応エリア・運用監視端末・テ
スト設備・テレビ会議設備

IT サービス部運用拠点・データセンタ

執務室・オペレーション（システム集中監視）室・サーバ室・テレビ会議設備

5

調査費用
これまで第三者委員会の費用が報告書の中で開示されることはほとんどなかった。受託弁護士の多くは企業法務専門の大規模法律事務所に所属し、多数の若手弁護士を長期間投入して調査することから、その費用は 10 億円近いものもあると言われている。責任追及訴訟や株主代表訴訟ではこのような第三者委員会の費用が損害額として請求されることもある6。当委員会は社外取締役が調査を行い、検討し、評価し、報告書を作成する

6

関西電力株式会社の役員責任追及訴訟では第三者委員会費用分として 7.73 億円が請求されていると報道されている。

- 7 -ことによりコストを最小限に抑制した。記録や書面を読み込み、検討し、ヒアリングを行い、起案するなど、委員の取締役には通例の取締役としての業務とは言えない、多大の時間と負担をかけたが、手当は全委員総額（技術・法律顧問分費用は含まない）で1,000 万円とした。

現物株式売買システム(arrowhead)の概要
1

arrowhead 導入の経緯・歴史
東証は、立会場の廃止以前より証券取引の電子化に対応し、旧株式等売買システムを運用して市場機能を提供していたが、2005 年 11 月から 2006 年 1 月にかけて重大なシス
テムトラブルを発生させた。インターネットによる個人投資家のオンライン取引の普及や機関投資家の取引の大半がシステム化されるなど、市場をとりまく環境や電子化の進展が大きく変化している中、同トラブルを契機に、2006 年に金融庁による「証券取引所のあり方に関する有識者懇談会」が設置されて取引所システム整備の方向性の提言を受け、東証は、「信頼と魅力ある市場の構築」と「国際的な市場間競争力の強化」を目的に世界最高水準のシステム構築を行うことを決定し、富士通を開発ベンダと して、
arrowhead システムの開発を行った。
その後、東証は、2010 年 1 月に初代 arrowhead を稼働させ、注文受付や約定処理を秒レベルからミリ秒レベルの性能に引き上げ、注文処理のキャパシティは旧システムの 2 倍以上となる 4,800 万件、コロケーション7にも対応するなど、目標であったシステムの高度化・アルゴリズム取引への対応等を行った。なお、初代 arrowhead 稼働期間中にも、随時、各種制度変更や機能追加、処理能力向上の対応を実施していたが、更なるマーケッ
トの変化やニーズに応える目的と機器保守期限に伴い、機器を刷新する形で、2 代目
arrowhead の開発を行った。また、2013 年には JPX が設立されたことに伴い、東証と旧大阪証券取引所の現物市場のシステム統合が arrowhead 上で対応された。
2 代目 arrowhead は 2015 年 9 月に稼働し、基本的なシステム構成や処理方式は引き継ぎながら、注文応答受付時間は 500 マイクロ秒まで短縮しキャパシティの増強等を行っている。また、業務運用的な面でもリスク管理機能の拡充を行い、取引参加者との接続や管理における制御機能を追加している。
現在の arrowhead は 3 代目にあたり、2 代目と同様に、基本的なシステム構成や処理方

7

東証と同じデータセンタに設置した顧客エリアに発注用機器等を設置することができるサービス。コロケーションエリアから arrowhead に直接接続することが可能となる。

- 8 -式は踏襲しつつ機器をリプレースしたもので、2019 年 11 月に稼働している。注文受付応
答時間は 200 マイクロ秒を実現し、キャパシティも初代稼働当時から比較すると 7 倍以上となっている。機能面でもリスク管理機能のさらなる拡充や、連続性を保ちやすい価格
表示や約定制度等への高度化対応を行い、現在に至っている。
2arrowhead の仕組み
arrowhead は、投資家（証券会社）から“注文”を受け付け、売買を成立させてその結果を返信し、注文状況や約定情報といった“相場情報”を証券会社や情報配信ベンダに配信するシステムである。
また、arrowhead では、約定された注文の清算・決済を行うために、結果を清算システ
ムに連携するとともに、注文の不正有無の確認や売買の停止措置といった規制を行うた
めの、監視・制御機能を具備している。
基本的なシステム構成としては、数百台のサーバ群で厳密な同期をとるよう構成され、参加者ゲートウェイサーバで注文受付を、トレーディングサーバでマッチング処理
を、情報配信ゲートウェイサーバで相場情報を配信している。また、外部との接続構成として、証券会社や情報配信ベンダといったそれぞれの接続先とは、クローズドなネッ
トワーク構成で接続され、独自のプロトコル（接続仕様やプロセス）で制御・接続されている。
システムの特徴的な点として、マイクロ秒レベルの証券取引を支える高速性と公平性
等 8 を保つため、クラウド環境は用いておらず、また、主たる処理方式ではオンメモリ
データベース（DB）9という機構を採用している。オンメモリ DB ではデータの保全が重要となるため、前述のサーバ群ではサーバを三重化し、サーバ間でデータを同期することによってデータ信頼性を高めている。なお、リアルタイムで更新される情報を扱うためにオンメモリ DB が用いられているが、情報の更新頻度が高くなく、かつ即時に更新されるものでない一般ファイルにおいては、汎用的なデータベースやストレージを利用するなど、その利用用途と非機能要求に応じた構成をとっている。

3

arrowhead の運用・保守体制等
JPX では、システムの開発と運用の部門分離を行い、システムの安定や品質を高めるた
めに、相互牽制を働かせている。arrowhead でも同方針に基づき、開発部門と運用部門に
8

注文処理や付け合わせ処理には、時間優先や価格優先、価格の連続性や急変動を制御するための機能などがあるため、順序性や一貫性が必須となる。
9

メモリ上に注文データ等を保存する。一般的なディスク利用のデータベースと違って高速処理ができる一方、揮発機器となるため情報保存には留意する必要がある。

- 9 -よって、システムの運用・維持を行っており、日々の運行については運用部門と運用ベ
ンダが 24 時間 365 日体制で実施している。なお、運用部門は、オペレーションや監視の役割を担い、機器の保守交換は、保守ベンダ（富士通）が実施している。
4arrowhead における過去のシステム障害
arrowhead における過去のシステム障害には、2012 年 2 月の一部情報配信ゲートウェイ
での障害と 2018 年 10 月の参加者ゲートウェイサーバの一部系統障害がある。
2012 年の障害は、三重化されたサーバの一部に夜間に発生したハードウェア障害を契機に、翌取引日における相場配信業務が不可となった。結果として、翌取引日における前場中（午前中の取引）は、同相場配信業務に関係する東証 241 銘柄について売買停止処理を行い、後場（午後の取引）からの再開となった。原因は、サーバの稼働監視を制御するソフトウェアの切替え不全と切替え確認不足であり、同ソフトウェアの見直しと警告・診断情報等の追加整備を行った。
2018 年の障害では、システムオンライン開始時に一部の参加者ゲートウェイに対してコロケーション利用ユーザから、瞬間的に大量の電文を受信したことにより、arrowhead
振り分け装置が高負荷になり、配下の参加者ゲートウェイが切り離された結果、複数の証券会社の接続に影響が生じた。これを受けて東証では、振り分け装置の制御の見直しやネットワーク側での遮断レベルを上げるなどの対応を行うとともに、証券会社への業
務影響を把握するためのコミュニケーション及び障害テストの充実等の対応を行ってきた。

本障害に関する事実経過
JPX 及び東証によれば、本障害に関する事実経過は以下のとおりである。
1

障害検知から売買停止まで
2020 年 10 月 1 日午前 7 時 4 分、共有ディスク装置（以下「NAS」という）1 号機のアクセス異常を示すメッセージを大量に検知した。
7 時 10 分、arrowhead の売買監理及び運用管理画面への一部ログインが不可である事象を確認した。売買監理画面を利用している市場監視業務が実施不可能な場合は、当日の市場運営への影響があるが、この時点では、業務を行う株式部においても、ログインできている端末と不可である端末が混在している状況であった。また、運用管理画面が利- 10 -

用不可能な状態であることから、取引参加者からの仮想サーバの接続状態等も確認不可となったほか、システムの状態を確認する障害診断ツールも長時間実行中のまま、診断結果が応答しない状況となった。
7 時 10 分には富士通にも発生事象を連絡し、7 時 11 分に富士通の基盤担当及び業務担
当が東証と共同で、業務影響の切り分け等の作業を開始した。
相場情報に関しても、通常 7 時以降に配信される経路維持電文や通信開始電文といった定時点での情報が配信できていないことが、7 時 30 分以降の銘柄情報の遅延検知と併せて判明した。7 時 37 分に、横山 JPX CIO を本部長とする障害対策本部を設置し、システ
ム運用部門から障害を知らせるメールを社内に送信した。
相場情報配信に関する影響調査と回復策の検討に並行して、原因は不明ながらもユー
ザへの影響が確認されていることから、8 時 1 分に通信開始の電文が送信できていない
旨、通知を行った。
その後、売買監理及び運用管理画面が端末に拠らず利用不可能となったこと、相場情報配信において、ほぼ全てのユーザに対して売買に必要な各種情報が正しく配信されていない状況が認められたことから、障害対策本部にて、8 時 36 分に全銘柄の売買をコン
ティンジェンシー・プランに従い立会開始から停止することを決定し、その旨通知した。
売買停止指示においては、今回の故障箇所である NAS を使用することができないために売買監理及び運用管理画面を利用できず、通常の売買停止（売買監理画面から操作）及び市場停止（運用管理画面から操作）については、指示できない状況であった。そのため、売買監理画面を利用しない緊急用売買停止指示を試みたが、これも NAS に保存されたデータを利用する処理であったことから、不可能であることが判明した。
そのため、約定処理の停止指示ではなく、arrowhead と取引参加者をつなぐネットワー
ク上のコネクション振分装置であるロードバランサの遮断を 8 時 54 分に arrowhead に、
8 時 56 分に ToSTNeT（立会外取引システム）に対して、それぞれ実施し、取引所と取引参加者とのネットワークを遮断した。
（参考）売買停止指示の種類と概要1
#

種類

1

売買停止

2

市場停止

3

緊急用

概要
（【】＝オペレーション部門）
通常の売買停止（経営統合のニュースを起因とする情報売停等）時に売買監理画面から指示。【株式部】
自然災害やシステム障害等で全市場または一部市場の売買を停止する際に運用管理画面
から指示。
【IT サービス部（システム運用部門）】
通常の売買停止が利用できないケースを想- 11 -

売買停止
今回

2

ロードバラン
サ遮断

定し、ジョブ実行により売買停止を指示。
【IT 開発部】
特定のサーバの障害等による注文抑止が必要となる場合を想定し、コマンド発行によりネットワークの遮断を指示。
【IT 開発部】

相場情報配信の抑止
8 時からの注文受付は通常どおり開始している状況であり、各銘柄への注文情報については、リアルタイム情報として配信されている状況であった。
今回の対応は約定処理そのものを停止するものではないため、ロードバランサの遮断までに受け付けた注文についてはシステムとして約定処理が行われることとなる。約定
情報が相場情報ユーザに配信されることを防ぐため、相場情報配信においてもネット
ワークの遮断を実施した。しかしながら、ロードバランサの遮断を優先したこと等から、相場情報配信のネットワーク遮断のタイミングが 9 時の立会開始をまたいだため、一部の相場情報配信サービスにおいて 9 時から約 1 分間、約定情報が配信された。
そのため、9 時 11 分にロードバランサの遮断と合わせて、配信された約定情報については無効である旨、通知をした。
3NAS 1 号機への対応
今回の故障箇所である NAS 1 号機において検知したメッセージについて、7 時 55 分に富士通から制御機構のダウンを示すものである旨、連絡を受領した。東証が想定する仕様であれば自動的に 2 号機への切替えが行われることになるが、切替えが不調となっているように見えることから、早期の復旧を目指し、NAS 1 号機から 2 号機へ強制的に切替えるための指示を行う必要があった。
8 時 16 分に NAS 1 号機の強制電源断指示を、8 時 26 分に 1 号機から 2 号機へ制御を遷移させるための指示を試みたが、いずれも失敗した。続いて、8 時 28 分に 1 号機と 2 号
機間の通信断の状況を作り出すため、ポートの閉塞を試みた。ポート閉塞は成功したものの、NAS 1 号機が既にダウンしている状態であったため、切替えは発生しなかった。8時 42 分には、8 時 26 分に行った指示の条件を変更して実施したが、こちらも失敗した。
そこで、物理的なケーブル抜線による対応を見据え、機器保守員のサーバ室への入室準備を進めることと並行して、富士通との間で、NAS 2 号機への強制切替（1 号機の状態に関わらず制御を奪い取る）が可能となるコマンドの試行を継続的に行った。9 時 23 分には富士通の製品担当から提供されたコマンドを試行したが、こちらも失敗した。
結果的に、9 時 23 分に実施したコマンドにオプションを付加したかたちで 9 時 26 分に実行したコマンドにより、強制切替を実行できたことで、NAS 1 号機から 2 号機への切替- 12 -

えが成功した。その後、相場情報配信の各種処理の復帰、売買監理及び運用管理画面の利用が可能であること等を確認した。
4

売買再開に向けた検討
当日中の売買再開に向けて、システムの復帰は「①arrowhead を再立ち上げして再開」
及び「②再立ち上げをせずに再開」をそれぞれ検討した。システムの状況に鑑み、売買を再開するのであれば①が前提になることを確認した。システムの状況について、具体的な内容は以下のとおりである。
売買停止としているものの、実質的にはネットワークの遮断であり約定処理自体は停止していない状況であった。遮断をした 8 時 54 分までの注文をもとにした約定はarrowhead 上、発生しており、当該約定の通知をロードバランサ遮断により、取引参加者
へは送信していない（滞留している）状況であった。なお、8 時 54 分までに受け付けた注文に関する約定は無効である旨は、前述のとおり、9 時 11 分に対外通知をした。
また、①を前提にした売買再開を目指すこととした根拠は以下のとおりである。
②を前提にした売買再開を行う場合、滞留している不要な約定通知をシステム処理上正常な形で失効させる手段はなく、取引参加者に送信されてしまうことは避けられない状況であり、取引参加者側システムへの大きな影響が懸念された。また、当該（不要な）約定により当日の基準値段が動いてしまっている状況もあった。これらに鑑み、②の方向性での売買再開では、本来あるべき公平公正な市場の提供は困難であると判断した。
一方、上記①を実施する場合、既に受け付けた注文情報や約定情報、当日の基準値段については全てクリアした状態にすることが可能である。しかしながら、取引参加者側においては、当日の発注を既に行っている状態であり、arrowhead 上で注文がクリアされていても、正常に動作している状況の取引参加者側システムにおいては、対応が困難なのではないかと推測された。
当日中の売買再開を目指す場合は上記①が本線であるものの、過去の障害事例に照らしても、取引参加者の意向は可能な限り取り込んだうえでの総合判断をするべきとの考
えのもと、業務部門である株式部とシステム部門である IT 開発部双方において、取引参加者及びベンダにヒアリングを実施した。結果として、当日の売買再開後に対応が可能
な取引参加者について、コンティンジェンシー・プランに定める売買代金 50％のシェアを満たさない可能性が高い点や既に受け付けた注文の取扱いをはじめとして、総合的に勘案し、11 時から清田 JPX CEO、宮原東証代表取締役社長が出席して臨時リスク管理委員会を開催し、当該委員会における議論を踏まえ、終日売買停止とする旨、障害対策本部において宮原社長が決定した。
その後、11 時 45 分に JPX ウェブサイト等において、その旨対外公表を行った。

- 13 -

5

翌日の売買再開に向けた検討
翌 10 月 2 日の売買再開に向けて、今回の故障箇所である NAS 1 号機について、富士通と協議を重ね、故障箇所のメモリが搭載されているマザーボードごと、10 月 1 日中に交換することを決定した。
交換により、障害を引き起こすことになったハードが正常な状態（両現用の構成）に戻ること及び同様の事象が発生した場合でも速やかに切替える対処手順を確認し、東証及び富士通ともに監視態勢を整理できたことから、17 時に翌日には売買再開できる見通
しであることについて、JPX ウェブサイト等に掲載した。
その後、翌日向けの起動準備処理が正常に終了していることが確認できたため、19 時
25 分に正式に 10 月 2 日の売買は通常どおり行う旨、JPX ウェブサイト等に掲載した。
NAS 1 号機のマザーボードの交換は 22 時に終了し、10 月 2 日の売買については問題なく終了した。

本障害発生の原因
1

本障害発生の原因に関する JPX 及び東証の見解
本障害発生の原因に関する JPX 及び東証の見解は以下のとおりである。
本事象は、NAS 上で動作する制御機構の設定値の誤りによりメモリカード故障時に NAS
1 号機からに 2 号機への自動切替えが実行されなかったことを端緒として、NAS に保存したデータにアクセスする各種機能（売買停止、市場停止、緊急用売買停止等）が動作不全に陥ったことが直接的な原因である。以下にシステムの仕組みと発生した事象を説明する。
メモリカードの故障
午前 7 時 4 分、2 重構成になっている NAS の 1 号機に対するアクセス異常を示す警告
メッセージが大量に検知され、その後の調査でメモリカードの故障であることが判明した。
富士通の社内検査機関に加え NAS の供給元（以下「A 社」という） が有する検査機関
においても実施した多角的な検証の結果、当該メモリカードに対する読み書きが不可となる部品故障と判明している。また、本障害における故障を含む、市中販売済みの同型番の NAS に搭載されたメモリカードの過去故障実績件数が富士通社内の指標値以内に収まっていることから、ロット障害ではない旨の最終報告を富士通から受領している。

- 14 -

NAS 2 号機への自動切替えが正常に動作しなかった原因
今回故障したメモリカードの稼働期間は耐用年数以内であるが、機器故障は完全には排除できないため、故障時にも業務を継続できるよう、NAS 本体を 2 台設置し、1 台に不具合が発生した場合も業務継続可能な 2 重構成としている。
NAS は、2 重化された装置のどちらかに不具合が発生した際には、もう 1 台の正常な装置に自動的に切替え、処理を引継ぐ仕様になっている。自動切替方式には以下のとおり「標準テイクオーバー方式」と「即時テイクオーバー方式」がある。
➢

標準テイクオーバー方式は、生存を知らせる電文（以下「生存監視応答電文」という）が途絶した場合、15 秒後に処理の引継ぎが行われる方式。

➢

即時テイクオーバー方式は、「相手方装置から機能停止を知らせる電文（以下「パニック通知電文」という）を受信した」場合、即時に処理の引継ぎが行われる方式。

本障害は、パニック通知電文受信時のテイクオーバー方式の設定である「オンパニック」の設定値（True（有効）又は False（無効））が適切ではなかったことに起因するものである。当該設定値に対する東証の認識は以下のとおりである。
➢「True（有効状態）」＝即時テイクオーバー有効➢「False（無効状態）」＝即時テイクオーバー無効➢

標準テイクオーバーは、True／False のいずれかにかかわらず常に有効

2015 年時点における製品マニュアルの記載は上記東証の認識のとおりであり、「オンパニック」の設定値に拠らず、常に標準テイクオーバーにより処理の引継ぎは行われるものと考えていた。そのため、3 代目 arrowhead の設計においても、2 代目 arrowhead の時から設定していた設定値である「False（無効状態）」をそのまま踏襲し設定した。
しかしながら、3 代目 arrowhead を設計していた時点の実際の仕様は以下のとおりとなっていた。
➢「True（有効状態）」＝即時テイクオーバー有効➢「False（無効状態）」＝即時テイクオーバー無効に加え、生存監視応答電文の途絶に先立ってパニック通知電文を受信した場合には標準テイクオーバーも無効

したがって、「False（無効状態）」に設定した場合においてパニック通知電文を受信すると、即時テイクオーバーだけでなく標準テイクオーバーも発動せず、自動切替が行われない仕様となっていた。
① 当日の NAS 故障時における動作- 15 -

3 代目 arrowhead の設計における東証の要件定義書では、NAS に関連する業務機能について、機器故障時においても「30 秒」以内に切替えを完了させ、処理を続行できるよう求めている。
しかしながら、上記の「オンパニック」の設定値の不備のため、障害発生当日の
NAS の自動切替え（処理の引き継ぎ）に係る具体的なシステムの挙動は、以下のとおりであった。
➢

メモリ故障により、「パニック通知電文」が NAS 1 号機から 2 号機に対して送信された。

➢

arrowhead の「オンパニック」設定値は「False」であったため、即時テイクオー
バー、標準テイクオーバーのいずれも発動しなかった。

➢

また、0.5 秒おきに NAS 1 号機及び 2 号機間の通信状態を確認するための死活監視は以降途絶したが、それに先立ってパニック通知電文が送信されていたため、標準テイクオーバーも発動しなかった。

➢

その結果、メモリ障害を起こした 1 号機から 2 号機への自動切替えが行われず、NAS が利用不可能な状態になった。

② 「オンパニック」設定値の決定に係る経緯
設計工程において富士通が作成する NAS の製品マニュアルには、「False」設定時においても「相手方装置からパニック通知電文を受信した」場合は常に標準テイクオー
バーが実行される旨の記載があり、2 代目 arrowhead 稼働中も同設定に起因する問題が生じたことはなかったことから、詳細設計工程において「オンパニック」設定値を「False」とした。
しかしながら、当該記載は NAS の旧い機種に関する仕様に基づくものであり、3 代
目 arrowhead で採用した NAS においてはこの点の仕様が変更されていたにもかかわらず、当該マニュアルの記載が改訂されないままとなっていた。そのため、3 代目
arrowhead で採用した NAS の製品仕様に照らすと当該記載は誤っており、実際には「False」設定時に「相手方装置からパニック通知電文を受信した」場合は、標準テイクオーバーは実施されない仕様に変わっていた。
3 代目 arrowhead の NAS の設定値は、富士通が詳細設計書に記載し、東証がレビューしたが、富士通は東証に対して、製品仕様の変更を報告していなかったため、東証としては当該マニュアルの記載誤りを把握し得ず、かつ、詳細設計書の誤りも発見できなかった。
③ 「オンパニック」設定値の不備の原因
NAS のオンパニック時の動作に関する仕様変更を把握し得ず、「オンパニック」について 3 代目 arrowhead の東証の要件定義書で定めた仕様とは異なる設定になってい- 16 -

たのは、富士通の製品担当を巻き込んだ設定値確認プロセスと本番稼働前に実施したテスト条件が十分ではなかったことが原因である。
1 つ目の原因は、故障時の切替え設計等、重要な設定を決める局面においても、製品マニュアルのみを拠り所としていたことである。非互換調査も実施したが、マニュアル確認のみでは「オンパニック」の機能の変化に気付くことはできなかった。
2 つ目の原因は、本番稼働前に実施した東証テスト及び富士通テストにおいて、本障害と同様の状況を再現した障害テスト（オンパニック発生時の動作の検証）を実施
していなかったことである。東証及び富士通は、マニュアル記載のとおり「オンパニック」が「False」設定であっても NAS 本体の機能停止によりパニック通知電文が送信された場合は処理引継ぎが行われるものと想定していたことから、NAS 1 号機・2 号機間の生存監視通信を遮断するテストに NAS 本体の機能停止の確認という観点も包含されていると考えたため、生存監視通信遮断テストにおいて業務が継続できたことだ
けをもって、故障時の処理引継ぎに係る処理設計は全体として正しいとしていた。
④ マニュアルの記載ミスが捕捉できなかった原因
マニュアルの記載ミスが捕捉できなかったのは、富士通製品担当における仕様確認が十分ではなかったことが原因である。
マニュアルの作成に係る関係者は、NAS の供給元である「A 社」（当該 NAS は OEM 製品であり、A 社が製造販売する製品を富士通が調達し、富士通製品として東証に納入している）、「富士通製品担当」であり、利用に係る関係者は「富士通システムエン
ジニア」（東証の arrowhead を担当する要員）、「東証」である。
A 社から供給された NAS は、富士通製品担当によって、A 社が作成した仕様書と実機の動作を照合することで仕様確認が行われ、富士通製品として販売されたものを東証が購入した。その際、確認が完了した仕様書の内容がそのままマニュアルとして添付のうえ納入される。その後、富士通のシステムエンジニアが東証の要件に照らしてマニュアルを参照しつつ、東証の要件定義書に適合する動作を行うよう適切な設定値を設定し、要件が充足されているか（東証の要件定義書に適合した自動切替え等が行われるか）のテストを行う。
i.

富士通製品担当における仕様確認
富士通製品担当における仕様確認の要領を定めた富士通独自の他社供給製品（OEM製品）に係る管理規定では、各設定項目の仕様確認について、「実機での確認」と「仕様書上の記載の整合性確認」を併用しながら行うこととしている。具体的には、各設定項目の「初期設定値」については実機での確認を行い、「それ以外の設定値」
については仕様書上の記載が初期設定値の仕様と整合的であることをもって確認していた。これは、A 社では当然に全ての設定項目について、仕様書との整合性を設定値- 17 -

網羅的に実機で確認しているという前提に基づくものである旨、富士通より報告を受けており、テスト実績に関して A 社と富士通製品担当間の連絡が十分ではないことに起因するものと考えられる。その結果、富士通は、東証の設定値（False）でのテスト（仕様確認）を行うことなく、NAS を東証に納品し、3 代目 arrowhead において不適
切な設定値である「False」を設定することとなった。
（経緯 1）初代 arrowhead 開発時におけるチェック
本障害の起因となった設定値「オンパニック」の設定は、初代 arrowhead 開発時に採用した世代の NAS においても存在していた。
ただし、この時期の NAS の仕様は、第 3 世代 arrowhead で採用した本障害の原因となった NAS の仕様とは異なっており、オンパニック時の動作の仕様とマニュアルの記載は一致していた（マニュアルの記載は正しかった）。そして、富士通製品担当は、当時の初期設定値である「False」を設定した状態で、「標準テイクオーバー」が発動し、自動切替えが行われることは確認していた。
（経緯 2）「オンパニック」の仕様及び初期設定値の変更
初代 arrowhead 稼働期間中に製造販売が開始された NAS について、「オンパニッ
ク」に「False」を設定していた場合の仕様が変更された。すなわち、「NAS 本体の機能停止時に標準テイクオーバーが発動する」という従前の仕様から、「生存監視応答
電文が途絶したことに先立って、パニック通知電文を受信した際に、標準テイクオー
バーが発動しない」に変更された。これに併せて、初期設定値も「 False」から「True」に変更されている。
A 社 と し て は、 初 期 設定 値 を 変 更 し た こと を も っ て 一 般 利 用 者も 基本 的 に は「True」を利用することになるという想定のもと、初期設定値を「True」に変更するという仕様変更を行うとともに、「False」については障害テスト実施時の検証目的などの用途のために存置させたとのことである。
しかしながら、A 社が作成する仕様書には初期設定値の変更のみが記載され、上記仕様の変更については修正されなかった。
（経緯 3）仕様及び初期設定値の変更後の富士通製品担当の対応
富士通の報告によれば、初期設定値の変更を受けて、2 代目 arrowhead 開発時、富士通製品担当は、前述の製品担当における管理規定に基づき、「True」に設定した状
態で NAS 本体を機能停止させ、「即時テイクオーバー」が発動することを実機で確認したとのことである。
一方、初期設定値ではなくなった「False」に設定した状態での NAS 本体機能停止時における動作の確認に関しては、仕様書上動作に関する変更がなかったことから、「オンパニック」は NAS 本体の機能停止時における「即時テイクオーバー」の実施要- 18 -

否を設定する機能であるという従前の認識のもと、「False」設定下では「即時テイクオーバー」の発動が抑止され、結果として標準機能である「標準テイクオーバー」が発動すると想定し、当該想定が仕様書の内容とも合致していたことから実機確認を行うことなく書面確認で問題ないとしていたとの報告を富士通より受けている。
富士通システムエンジニアは、「False」設定時においても標準テイクオーバーが引き続き実施される旨マニュアルに記載があること、初代 arrowhead 稼働中も同設定で問題が発生したことはなかったことから、2 代目 arrowhead においても「False」の設定値をそのまま継続した。また、東証のレビューでも、マニュアルの記載によれば要件定義書で定めた仕様と整合していることから、その設定値の問題を発見できなかった。
3 代目 arrowhead 開発時において採用した NAS についても、富士通製品担当は、A 社から提供された仕様書を確認したものの、「オンパニック」に関する記載に変更がな
かったことから、当該設定値を改めて検証することはしなかった旨、富士通から報告を受けている。
すなわち、富士通が東証に提供したマニュアルは、A 社から提供された仕様書に基づいて作成されているが、A 社から提供された仕様書に NAS の製品仕様に伴う修正が加えられていなかったため、富士通製品担当は、「オンパニック」を「False」に設定した場合の NAS の動作を改めて検証する必要性を認識できなかった、とのことである。
ii.

富士通システムエンジニアにおけるテスト
富士通システムエンジニアが arrowhead のシステム環境において実施するテストでは、テイクオーバーを発動させる条件にバリエーションを持たせる（生存監視途絶だ
けでなく、オンパニック発生時の動作も検証する）には至らなかった旨、富士通から報告を受けている。NAS 本体の機能停止や生存監視の途絶による各種テイクオーバーの発動如何については、製品の機能として、富士通製品担当側で検証がなされており、その結果が製品マニュアルに適切に反映されていると考えており、テイクオー
バー発動後に arrowhead の各業務が継続できることの確認に重きをおいていたためである、とのことである。
なお、富士通システムエンジニアと富士通製品担当の情報共有・連携について事実関係を確認したところ、富士通システムエンジニアから富士通製品担当に対して、「オンパニック」を含む arrowhead の各種設定値の内容は連携されているが、その際に東証の要件は伝えられておらず、富士通製品担当はシステム内での機器の動作というより製品仕様に照らして機器全体の設定項目間で矛盾がないかという確認を行うにとどまっていた旨、富士通から報告を受けている。

- 19 -

手動による切替えに時間を要した原因
手動による切替えに時間を要した原因は、(2)・①に記載のとおり、「オンパニッ
ク」が「False」設定であっても NAS 本体の機能停止によりパニック通知電文が送信された場合は処理引継ぎが行われるものと想定していたことから、引継ぎが正常に行われなかった場合の対処コマンドの事前準備を含む、NAS の自動切替えが行われない場合を想定した障害対応手順の考慮が十分ではなかったことによる。
相場情報配信及び売買停止機能が利用不可となった原因
システム設計を効率化するとともにシステム内におけるデータの一元性を確実にする
ため、複数のサーバで利用するファイルについては、可能な限り NAS で一元管理するよう設計している。相場情報配信及び売買停止の各機能は、NAS に格納されたファイルを利用することから、NAS 2 号機が 1 号機の処理を引き継いでファイルアクセス機能が復旧するまでの間は NAS の応答待ちが続くこととなり、実質的に利用不可となった。
売買停止は市場運営において非常に重要な機能であることから、通常の売買停止機能が利用できない場合を想定し、複数の売買停止機能を具備しているが、それらも NAS に格納されたファイルを利用することから機能しなかった。
2

当委員会の評価
メモリカード故障
本障害の直接的な原因は NAS に搭載されているメモリカードが故障し、当該メモリ
カードの記憶領域へのアクセスが不可となり、メモリカード全体が機能不全に陥ったとみなされたことである。
しかし、メモリカードの故障という事象は偶発的なものである上、故障したメモリ
カードの稼働期間は耐用年数以内であり、かつ、ロット障害でもないとのことであるか
ら、この点につき東証の対応に問題があったとは認められない。
NAS2 号機への自動切替え不備
機器故障時にも業務を継続できるよう NAS 本体を 2 台設置し、1 台に不具合が発生した
場合も他方の NAS に自動的に切替わることで業務継続可能な構成とされていたが、本障害時には他方の NAS への自動切替えが行われず、結果的に 9 時 26 分に至って手動での切替えが実現した。即時に自動切替えが実現していれば本件のような重大な事象には至っていなかったと考えられることから、自動切替え不備という点は本障害をもたらした事
象の中でも重要性が高い。
そして、自動切替えが即時に実現しなかった原因は、富士通の作成した NAS の製品マ
ニュアルにおける設定の記載に実際の仕様との齟齬があり、マニュアルに記載された- 20 -

誤った内容に基づいて NAS の設定が行われていたことにある。
製品マニュアルの記載の誤りの原因及び責任は作成者たる富士通にあり、東証が記載の誤りに独自に気付くことを期待することは困難であったと言えるから、この点につき
東証側の対応に問題があったとは認められない。また、富士通は 2019 年 11 月には NASの供給元から訂正版のマニュアルを受領していたとのことであり、この時点で富士通が当該マニュアルを精査して設定の誤りを認識していれば設定変更することができていたと言えるから、この点からしても富士通に帰責性があるといわざるを得ない。
他方で、富士通及び東証が共同して実施した本番稼働前テストにおいて NAS 本体の機能停止という状況を再現した障害テストは実施されておらず、これが実施されていれば設定の不備に気付くことができた可能性がある。また、製品出荷前に arrowhead の設定値でのテストを実施しておけば設定の不備が発見された可能性があり、arrowhead における NAS の重要性からすれば、東証としては当該テストの実施を富士通に求めておくべきであったとも言いうる。このような観点からすると、NAS の設定不備を認識することができなかったという観点においては、東証にも一定程度の責任があったと考えられる。
NAS2 号機への手動切替えに時間を要したこと
NAS2 号機への自動切替えが行われないために手動での切替えを試みたものの、実際に手動切替えが実現したのは 9 時 26 分のことであり、より早期に手動での切替えが実現していれば、本障害の影響をより限定することが可能であったと考えられる。
この点に関する東証の認識は「引継ぎが正常に行われなかった場合の対処コマンドの事前準備が十分ではなかった」というものであり、要するに NAS の自動切替えが正常に行われずに手動切替えを余儀なくされることを十分に想定しておらず、そのような場合への対処措置の事前検討が不十分であったということと理解できる。
本障害のように設定の誤りにより自動切替えが行われないという事態を具体的に想定することは困難であったのかもしれないが、他社においても二重化装置の（自動）切替
えが機能しないことにより大規模・長時間の障害が発生するという事象が複数発生して報道されていることを踏まえると、手動切替えが必要となった場合の富士通における対応措置の検討には不十分な点があったと評価せざるを得ない。
小括
以上のとおり、本障害発生の技術的原因という観点からは、一定頻度での発生を避けられないメモリカード故障という偶発的事象に対処するための NAS の自動切替えに関する設定にマニュアルの記載ミスに起因する不備があったという点が最大の問題であり、その点については富士通の責任が大きい。
また、自動切替えが正常に動作しない場合を想定し、手動切替えの方法や手順等の準備を十分にしておけば本障害の影響をより低減することができたと考えられるから、事- 21 -

前対応においても富士通には十分でない点があったと考えられる。

障害発生当日中の取引再開ができなかった原因
1

当日中に取引再開できなかった原因に関する JPX 及び東証の見解
本障害発生の当日中に取引再開できなかった原因に関する JPX 及び東証の見解は以下のとおりである。
売買停止に対する基本的な考え方
arrowhead における売買停止には、売買停止中も取引参加者からの注文を受け付ける「注文受付可」と、売買を停止するだけでなく取引参加者からの注文受付も停止する「注文受付不可」の 2 種類の機能があるが、実務においては、原則として注文受付可の売買停止を行うこととしている。
これは、注文受付不可とすると、取引参加者としては、売買停止中に顧客から受け付けた注文を取引所に対して発注することができずに滞留させてしまう（発注したもののエラーとなってしまうことも含む）ため、取引再開後に取引所に発注するための時間をより長く確保する必要が生じ、速やかに再開することが困難になるためである。この点については、2012 年における情報配信ゲートウェイの障害発生時に注文受付不可の売買停止を行ったところ、取引参加者から売買停止中も注文を受け付けて欲しいとの要請があった。
このような事情を踏まえ、現在、売買停止を行う際はできる限り注文受付可とする方針としている。ただし、約定処理を行うトレーディングサーバの異常等、取引参加者からの注文を適切に処理することができないような障害が発生している場合や、注文件数のキャパシティがひっ迫し、取消注文も含めた注文を受け付けるべきではない場合等においては、取引参加者からの注文を受け付けることそのものが適切ではないと考えられるため、注文受付不可の売買停止を行うこととしている。
8 時 36 分の売買停止の判断、ロードバランサ遮断
株式部は、7 時 37 分にシステム運用部門から、「一部端末において運用管理端末が利用できない。」「arrowhead と相場情報配信システム間の通信不良により、情報の連携ができていない。」等の連絡を受領した。また、株式部内においても、当該連絡の前後において、一部の売買監理端末が起動しないという事象について検知し、株式部内で周知を行った。
この時点では、IT 開発部において障害の原因及びその影響範囲について調査中であったこと、起動できない端末が一部にとどまっており、通常の売買監理業務を行うことは- 22 -

可能と考えられたこと、相場情報の配信についても回復策の検討が行われていたことから、注文受付開始前に売買を停止させることまでは必要ではないと判断した。
しかし、その後、相場情報配信に関しては状況が改善せず、さらに、8 時前には起動していた売買監理端末の全てについて利用が不可能という状態になった。IT 開発部においては、売買継続に向け売買監理端末や相場情報配信の回復を継続検討していたが、このまま回復しない場合にはコンティンジェンシー・プランの「Ⅱ．相場報道システムに障害が発生した場合」に該当し、障害の影響が一部銘柄にとどまっていないことから全銘柄について売買停止をしなければならないと考えられた。
全銘柄の売買停止を行うことは、投資家・市場参加者にとって影響が大きなものであ
るうえ、上述した状況が確認できた時点では障害原因の特定に至っておらず、回復の目途も立っていなかったことから、引き続き通常の売買を行うための arrowhead の回復を目指しつつも、それができなかった場合になるべく早く売買停止について判断し、その周知を図るという観点から、8 時 30 分を判断ポイントとして設定し、当該時点までに相場報道システムが回復しない場合には、全銘柄の売買停止を行うとの方針を障害対策本部において確認した。また、2・（1）に記載のとおり、売買停止後の円滑な再開を目指す観点から、そして当該時点で判明している状況からは注文を適切に処理することができていたことから、売買停止を行う場合は注文受付可の形式で行う方針とした。
その後、8 時 30 分までに相場情報配信が回復しなかったため、対外公表準備のうえ、
8 時 36 分に業務規程第 29 条第 4 号等に基づき売買停止を行うことを取引参加者に通知し、8 時 54 分にロードバランサの遮断により実質的な売買停止が実行された。
取引参加者へのヒアリング
1・（1）に記載のとおり、8 時 54 分における売買停止は、arrowhead と取引参加者とのネットワークを遮断するという手段を採用せざるを得ないものであり、約定処理を行うトレーディングサーバは停止していない状態であった。そのため、既に発注されていた注文に関しては、9 時以降に約定処理がシステム上で実施され、当該処理の結果（約定通知）が作成された。
相場情報配信が正しくできていないことに加え、このような処理が行われてしまった
結果、このまま arrowhead と取引参加者とのネットワークを復旧させて売買を再開する
場合には、次のような点が問題になると考えられた。
➢

当該約定通知が取引参加者に送信されてしまうため、本来制度上約定していない
はずの注文が、取引参加者側では約定したものと認識されて後続のシステム処理等が行われる可能性があるとともに、投資家も発注画面等で約定したと誤解してそれを前提として次の投資行動を行う等の混乱が生じる可能性がある。

➢

取引参加者側では約定通知を受け取ったことによる上述のシステム処理を行わないようにする等の対応が必要になることに加え、約定処理が行われた注文につい- 23 -

て、再度東証に発注するために自社で管理しているステータスを元に戻すとともに、実際に再発注作業を行うことが必要になる。
➢

いわゆる「前受け制」をとっている取引参加者では、約定通知を受け取った結果が顧客の発注可能額や残高等に反映されないようにすることも必要になる。

➢

約定処理が進んでしまったことによって売買再開時の基準値段が変動しており、価格の連続性が断絶する。

➢

相場情報配信により配信された情報に不備があったことで、ユーザ側で板情報を形成できない等のおそれがある。

一方で、arrowhead と取引参加者とのネットワークの復旧よりも前に arrowhead の再立ち上げをした場合には、約定処理されたというデータは消去され取引参加者に約定通知が送信されることがないことから、売買停止のため、本来約定するべきでなかった注文が約定したと誤解する余地はなくなる。
これに加え、arrowhead の再立ち上げにより、基準値段も当日朝の状態に戻り、相場情報の配信も初めからやり直すことになるので、再開に当たっては影響がより小さくなるように arrowhead の再立ち上げを行うべきという方針を確認した。
ただし、取引参加者側システムでは（取引参加者のシステムの構築方法により異なると考えられるものの）発注した個々の注文ごとにステータスの遷移を管理していることが一般的であり、特に東証への発注後は通常参加者側で注文に対する操作を行うことはなく、東証から送信する受付通知や失効通知といったメッセージを受信して当該注文のステータスを変更する。そのため、東証からの失効通知を受信した注文に関して再度同内容の注文を発注することは可能であるものの、失効通知を受領せずに「東証に対して発注済み」のままの注文を取引参加者側システムから再度発注するというのはイレギュ
ラーな対応となる。
取 引 参加 者側 シス テムで こ のよ うな イレ ギュラ ー な対 応が でき ない場 合 には 、arrowhead を再立ち上げしたとしても投資家からの注文が当日の売買に反映されないといった混乱が生じ、投資家が不利益を被ることに加え、適切な価格形成が行われないと考えられた。
そこで、arrowhead の再立ち上げに要する時間を踏まえ、11 時頃までを目途に、業態・システム・顧客層等の違いを念頭に、実際に大手証券、オンライン証券、外資系証
券及びベンダ等に対して、注文の再発注の可否についてヒアリングを行った。
終日売買停止の判断を行った理由
市場は、機関投資家や個人投資家、ヘッジファンド、デイトレーダー、高速取引行為者等、多様な投資家が参加することにより、多様性のある投資判断や投資動機が組み合わさって円滑な価格形成と流動性向上が図られ、それにより十全に機能を発揮することができるものである。

- 24 -

このような考え方のもと、システム障害が発生した場合でも、一部の投資家による偏った需給によってのみ価格が形成されることがないよう、コンティンジェンシー・プ
ランの「Ⅰ．当社各売買システムに障害が発生した場合」においては、売買に参加できない参加者の過去の売買代金シェア、売買に参加できない参加者の数及びその属性等を総合的に勘案し、売買停止について判断することとしている。本障害から売買を再開する場合においても、再開した場合に対応が可能な参加者と不可能な参加者がいることから、これらの考慮要素に照らし、再開の可否について判断することとした。
上記（3）のヒアリングからは、次のような点が明らかになった。
➢

取引再開した場合に注文を再発注することが可能と回答した参加者もあったものの、その売買代金シェアは約 38%にとどまるものであり、その属性も、外資系証券に限定される➢

多数の中堅・準大手の証券会社に利用されているシステムのベンダからは、テストも行ったことがなく対応が可能かどうかわからないとの回答があったことから、当該システムを利用している多数の取引参加者は対応可能かどうかが不透明である➢

ヒアリングを行ったオンライン証券からは対応不可の回答があり、個人投資家の多くが参加できない見込みである

これらの回答を統合すると、仮に再開したとしても参加できるのは一部の外資系証券とその顧客（高速取引行為者を多く含むと考えられる）のみと考えられた。また、対応の可否についてわからないと回答した参加者やベンダがいたように、arrowhead を再立
ち上げのうえで売買を再開するという手順について市場参加者との合意もなく、当然テストも実施していない中で、このような対応を採用するのは、あまりに予見可能性を欠く対応であり、このような不安定な対応は市場開設者として採用すべきではないと判断した。
以上の点を踏まえ、個人投資家を中心に国内の投資家のほとんどが参加できないことが見込まれる中で売買を再開することは、一部の偏った需給のみによって価格を形成することとなり、適切ではないと判断した。
投資家に焦点を当てると、当日の 8 時以降に注文が発注されていたにもかかわらず、
arrowhead 再立ち上げにより発注されず売買機会を喪失したまま、市場で価格が変動してしまう投資家の存在が想定され、また、仮に一部の取引参加者のみが参加できる状況
で売買を再開することとした場合には、対応できない取引参加者とその顧客との間で注文の取扱いについて紛争になることが想定される。
加えて、arrowhead を再立ち上げのうえ売買を再開するというのはテスト環境でも行ったことがないため、どのようなことが起こるか予想ができない状況であった。それ- 25 -

らの点も踏まえると、市場開設者としては、不安定な状況で市場を開設するというのは避けるべきだと判断した。
したがって、上述のコンティンジェンシー・プランを踏まえ、業務規程第 29 条第 4 号
等に基づき、売買を終日停止することを決定し、11 時 45 分に JPX ウェブサイト等にその旨を公表した。
2

当委員会の評価
8 時から注文を受け付けたこと（注文受付可否の判断手続に関する事前措置）
本障害時に NAS2 号機への切替えが実現した後も当日中の売買再開を行うことができなかった経緯及び原因からすると、仮に 8 時 00 分から注文受付を行っていなければ、そのような事態には至らず、本障害の影響を低減することができていたと考えられる。
この点については、過去の障害発生時に売買停止中も注文を受け付けてもらいたいとの要請がなされたなどの経緯を踏まえ、原則として注文受付可の売買停止を行うとされており、8 時の段階で注文受付を行わないという判断はなされなかったとのことである。
実際に、①当日 8 時前の段階では本障害の内容や影響範囲等を十分に把握することができなかったこと、②売買監理及び運用管理画面がいずれも利用できないという当時の状況で 8 時から注文受付を停止しようとすれば、ロードバランサ遮断等の方法による必要があったと考えられること、③通常の売買停止や緊急用売買停止を行うことができれば注文を受け付けても問題は生じないと考えられ、8 時の時点では通常の売買停止を行うことができないことを想定すべき事態にまでは至っていなかったこと等の事情からすれば、本事案において 8 時から注文を受け付けた東証の対応に大きな問題があったとは評価できない。
他方で、原則として注文受付可能とするという点に関して、いかなる場合に例外的に注文受付を行わないこととするのか、当該判断をいつ、いかなる手続により行うのかという点について、東証においては事前に十分に検討されていたとは言えないと思われる。この点についてはシステム障害発生時の注文受付の可否及びその判断手続等に関してルールを定め、取引関係者に対する周知を行っておくことが望ましい対応であったと考えられる。
売買停止の判断を 8 時 30 分としたこと（売買停止の判断手続に関する事前措置）
東証は、通常の売買を行うための arrowhead の回復に向けて作業を進める一方で、8 時
30 分までに相場報道システムが回復しない場合には全銘柄の売買停止を行うという方針を決定し、実際に、8 時 30 分までに相場情報配信が回復しなかったため、8 時 36 分に売買停止を行うことを取引参加者に通知した。売買停止に向けた作業は 8 時 30 分頃から実- 26 -

施され、最終的には 8 時 54 分にロードバランサの遮断により実質的な売買停止が実行された。なお、相場情報配信のネットワーク遮断が 9 時の立会開始時間をまたいだことにより、9 時 00 分から約 1 分間、約定情報が配信されるという事象が発生した。
本障害に関する事実経過（当時の状況）を前提とすると、8 時 30 分までに相場情報配信が回復しなければ売買停止を行うという方針を決定したこと、実際に 8 時 30 分から売
買停止に向けた作業を実施したことは、いずれも東証の判断として不合理なものではな
かったと考えられる。
結果として相場情報配信のネットワーク遮断が 9 時の立会開始時間をまたいだという事象が発生しているが、これは 8 時 30 分頃から 40 分頃までは緊急用売買停止指示を試みたが、故障箇所である NAS を利用する処理であり成功しなかったため、ロードバラン
サ遮断という手段に移行したのが 8 時 40 分頃以降であったという事情によるものであり、東証の対応及び判断に問題があったとまで評価すべきものではない。
他方で、東証において、本件のような障害発生時に、たとえばいかなる時点までにシステムが回復しなければ売買停止を決定するかというように、売買停止を決定する手順
及び手続の事前検討は十分なものではなかったと考えられる。本件において決定された
ように、たとえば 8 時 30 分までにシステムが回復しない場合には売買停止を決定して措置を実施することを原則とするというように、売買停止を決定する手続等に関してルールを定め、取引関係者に対する周知を行っておくことが望ましい対応であったと考えられる。
緊急用売買停止を含めて売買停止をできず、ロードバランサ遮断の方法を余儀なくされたこと（緊急用売買停止機能の処理方式に関する事前検討）
本件においては、売買監理及び運用管理画面が利用不可であることにより、通常の売買停止（売買監理画面から操作）及び市場停止（運用管理画面から操作）は指示できず、緊急用売買停止指示を試みたものの、故障箇所である NAS を利用する処理であるためこれも実現せず、最終的にロードバランサ遮断という方法をとることを強いられた。
そして、NAS2 号機への手動切替えの実現後に当日中の売買再開を行うことができな
かった原因は、ロードバランサ遮断という手段を余儀なくされ、①遮断されたネット
ワークをそのまま復旧させた場合には約定通知が取引参加者に送信されてしまうことになり、②他方で arrowhead を再立ち上げした上で取引再開する場合には、失効通知を受領せずに「発注済み」のままの注文を再度発注するという特殊な対応が取引参加者に求められることとなり、①及び②のいずれの方策も実施することが困難であったことによる。
したがって、当日中の取引再開を実現できなかったことの直接的な原因はロードバラ
ンサ遮断という方法によらざるを得なかったことにあるといえ、通常の売買停止、市場停止及び緊急用売買停止指示のいずれも実行することができなかったことの評価が問題となる。

- 27 -

売買監理及び運用管理画面がいずれも利用できず、通常の売買停止及び市場停止のいずれも実施できない場合に備えた機能である緊急用売買停止は、売買停止の対象となる銘柄を指定するファイルを NAS に格納する構成となっていたために、本障害発生時に使用することができなかった。緊急用売買停止は、他機器の故障や障害発生により通常の売買停止や市場停止を使用できないような事態に対処するための機能であり、いかなる事態においても確実に実行できるような構成としておくべきであった。結論として、東証は、arrowhead の設計段階において、NAS に障害が発生した場合の影響範囲（緊急用売
買停止機能を利用できなくなること等）に関する検討及びそれを考慮した設計への取り組みが十分でなかったといえる。なお、この点は NAS の（自動）切替えが速やかに実施されない可能性を十分に想定しなかったことの帰結でもあるが、緊急用売買停止機能の構成・処理方式に関する検討の不十分という独自の問題として評価すべきである。
終日売買停止の判断
上述のとおり、①遮断されたネットワークをそのまま復旧させた場合には約定通知が取引参加者に送信されてしまうことになり、②他方で arrowhead を再立ち上げした上で取引再開する場合には、失効通知を受領せずに「発注済み」のままとなっている注文を再度発注するという特殊な対応が取引参加者に求められることとなり、①及び②のいずれの方策も実施することが困難であるという判断から、東証は終日売買停止とするという判断を行った。
そして、②の手段を講じることが難しいという判断の前提として取引参加者へのヒア
リングを実施した結果、当該方法による取引再開後に注文の再発注を行うことができると回答した取引参加者の売買代金シェアは約 38％にとどまるものであり、属性も外資系証券会社に限定されていたとのことであった。
また、arrowhead を再立ち上げしたうえで売買を再開すること（上記②）はテスト環境でも実施されたことがなく、いかなる事態が発生するか予想できない状況であったとのことである。
本障害に関する事実経過（当時の状況）を前提とすると、①及び②のいずれの方策
も、実施した場合に取引参加者に更なる混乱を生じさせる恐れが高い状況にあったと考えられるから、終日売買停止とするという判断内容には合理性があると認められる。また、当該判断に至る過程における検討の手続や収集した情報の内容にも問題は認められない。
通常でない売買停止後の売買再開に向けた手続等の事前措置
他方で、東証においては、通常の売買停止、市場停止及び緊急用売買停止を行うことができず、ロードバランサ遮断という方策の実施を余儀なくされ、その後に取引再開するという事態は事前に十分に想定されておらず、arrowhead を再立ち上げした上で売買再開するというテストは実施されておらず、売買再開に向けた手順（売買再開判断のた- 28 -

めの取引参加者の意見聴取手続も含む）も定められていなかった。
仮に東証において通常でない売買停止後の売買再開という場面を事前に想定し、手順の策定、取引参加者への周知、かかる事態を想定したテストの実施等の方策を講じていれば、本件のような場合でも当日中に売買再開を行うことができた可能性はあると考えられる。
したがって、通常でない売買停止後の売買再開に向けた判断基準や手順に関しては、
東証において事前に十分に検討されていたとは言えないと思われる。システム障害発生時の通常でない売買停止後の売買再開に向けた手続等に関してルールを定め、取引関係者に対する周知を行っておくことが望ましい対応であったと考えられる。
小括
以上のとおり、本障害発生時に当日中の売買再開を行うことができなかった原因に関しては、本障害発生時の事実関係を前提とすると、①8 時 36 分に売買停止を決定したこと、②その後に売買停止に向けた作業を行い、最終的にロードバランサ遮断という手段を講じたこと、③arrowhead の再立ち上げによる売買再開は困難という判断のもとに終日の売買停止を決定したことという東証におけるいずれの判断も、不合理であったとは認められない。
他方で、①NAS の障害発生時に緊急用売買停止機能を利用できなくなる可能性の検討が十分でなかったという問題があるほか、②システム障害発生時における、注文受付可否の判断手続、売買停止の判断手続、通常でない売買停止後の売買再開に向けた手続等に関する事前の十分な検討とルール化、取引関係者を含めた関係者への周知という点においては不十分な点があったと考えられる。

再発防止措置1

JPX 及び東証が検討を進める再発防止措置の概要
本障害の発生を受けて JPX 及び東証においては再発防止措置の検討が進められているが、現時点において確定した内容は以下のとおりとのことである。
再発防止策の検討に際しては、障害の深度ある原因分析の結果を十分に踏まえ、安心して取引できるマーケットにすべく、効果の高い措置を実施するよう努める。
なお、これらの再発防止措置については、東証のみならず、arrowhead を使用する各取引所（名古屋、福岡、札幌）に対しても連携して、対応を進める。
arrowhead はこれまで「Never Stop」をスローガンとして、信頼性を高める施策に取り組んできたが、今後は、迅速かつ適切な回復策を拡充すべくレジリエンス（障害回復- 29 -

力）も同様に重視して取組む。
今回の事象について、問題として考えられる以下の点について、今後、具体的な再発防止策を検討する。
問題①：切替え動作に関する設定誤りに気付けなかった
問題②：売買停止を確実に実行するための手段がなかった
問題③：システム障害発生後の売買停止及び再開に係る取扱いルールや業界合意が十分でなかった
安定的な市場運営を実現するためには、前述のとおり arrowhead の信頼性を高めるだけでなく、障害発生時の業務継続性及び障害回復力の強化が重要となる。
arrowhead だけではなく、取引参加者側システム及びそれに接続する取引参加者の顧客のシステムを含めた調整と検討が必要となる。
再発防止に向けたシステム対応① NAS の設定値の修正
障害の直接的な原因となった NAS の切替え機能の設定値については、10 月 2 日に原因箇所が特定できた。その後、実機を使ったテストでも、同事象が発生した場合に正しく切り替えられることが確認できたため、10 月 4 日に本番システムの「オンパニッ
ク」に正しい値（True）を設定した。10 月 5 日から正しい設定値で稼働させている。
② NAS の設定値の総点検
富士通のシステムエンジニア及び製品担当者とともに、全設定値について、要求仕様どおりに設計されているか及び製品の動作仕様と一致しているかを 10 月 23 日までに確認している。また、富士通の製品担当が出荷前に実機検証している値と異なる設定をしている箇所については、実機を用いて、期待する仕様になっているか確認することとし、当該確認は 10 月末までに完了している。
③ 確実に切替えを実施する手段の整備
ハード故障等による切替え不全の可能性は残ることから、切替えテストの実績とその結果を確認するとともに、切替え不全を想定した強制切替えのための指示手順の有無及びその実効性を 10 月末までに確認した。確認の結果、切替機構を有する機器について、迅速かつ確実に操作すべき手順であることを考慮して、機器切替えが不調になった場合に使用する手順を新設し、その機器の状態に応じた対応手順を一覧化した
ものを 11 月末までに整備する。
④ 継続的なテスト・訓練の実施
NAS の切替えに係るテストの実施をはじめとして、継続的に市場参加者を含めた障- 30 -

害テスト・訓練を企画し、実施する。具体的には、NAS の切替えテスト・訓練は 2021
年１月までに実施し、その他の機器を含めた障害テストについては、順次企画し、実施する。
売買停止をするための手段の拡充① 売買停止指示の経路と状態の整理
１つの機器故障又は１つの機能不全によって売買停止指示が機能しなくなるリスクが現在のシステムに含まれていないか、10 月末までに確認した。一部、手動オペレー
ションの手順整備が必要となることが確認されたため、以下②の対応と同時に実施する方針とした。
② 緊急用売買停止機能の変更
NAS の切替え不全等でも売買停止指示が機能するよう、NAS を経由しない売買停止指示の実現方式を富士通との間で検討した。既に開発に着手しており、11 月末までに開発を完了する。
市場停止及び再開に係るルールの整備等
市場は多様な投資家の参加により、円滑な価格形成と流動性向上が図られ、それにより投資家の取引コストの低減等の利益に資するものと考えられる。そのため、機関投資家、個人投資家、ヘッジファンド、デイトレーダー、高速取引行為者等、多様な投資家の参加が必要となる。
東証では、市場のビジネス継続計画として、様々なリスクに応じるためのコンティン
ジェンシー・プランや接続条件書を定め、売買の停止基準と判断にあたっての考慮要素を取り決めている。しかしながら、売買の再開については、停止期間の長期化が見込まれる場合の取扱いを除き、別途基準を設ける等の明確化はしていない。また、今回のよ
うな、売買停止のために用意した機能が使えず通常ではない手順による売買停止を行ったケースにおいて売買を再開させる手順についても定めていない。その結果、市場参加者との間で売買を再開させるために必要な共通認識が十分に形成されていない。また、コンティンジェンシー・プランの適用にあたっては、現在は取引参加者の置かれた状況や再開の可否に関する意見を聴取するといった手続きは内部の取扱いにとどめており、制度化したものではない。このような状況だったことから、今回、当日中の売買の再開が難しくなり、また再開されるのかどうか不透明な状況が続き取引参加者や投資家の皆様を混乱させてしまったと考えている。
以上の点を踏まえて、次の対応を図ることとし、再発防止策検討協議会において市場参加者と議論のうえ、ルール等の整備を 2021 年 3 月末までに実施する。

- 31 -

① システム障害が起きた場合に、終日の売買停止ではなく当日中に売買を再開できるように、既に発注された注文の取扱い等、必要となるルールの整備
今回、注文受付を行ったことが売買を再開できなかった原因の一つといえることか
ら、どのような場合に注文を受け付けないこととするかについて、障害発生の時間・障害のパターン等に応じて場合分けしたうえで、整理・検討する 。また、システム障害時等に注文受付を行わないということの根拠を明確にするための規定を規則に設けることも検討する。
併せて、arrowhead の再立ち上げが必要になるような障害が発生した場合における、顧客からの委託注文の取扱いについても、その再発注の要否等について整理を行
い、必要に応じて規則やコンティンジェンシー・プラン等において明確化を図る。
② 通常ではない売買停止が行われた場合における売買の再開に向けた手順の整備
通常ではない売買停止が行われた場合において、arrowhead を再立ち上げせざるを得ないような障害が発生したときに備え、東証及び取引参加者双方が再立ち上げ等による売買再開のためのシステム・運用手順を確立するとともに、再立ち上げのために必要となる時間を効率化するための対応を検討する。
③ 上記の手順に基づいた訓練の実施
取引参加者との間で上記の手順が合意できた後、arrowhead の再立ち上げを想定した売買再開のための訓練について、東証内部での実施に加え、取引参加者・相場ユー
ザと合同でも実施する。その後も、定期的に、売買再開等を想定した訓練を行う。
④ コンティンジェンシー・プランにおける売買再開の基準の明確化
コンティンジェンシー・プランには、現状、売買再開のための基準に焦点を当てた
記述がないことから、売買停止のための基準を踏まえつつ、売買再開のための基準についても改めて検討を行い、コンティンジェンシー・プランにおいて記載して明確化を図る。
⑤ コンティンジェンシー・プランによる売買再開の判断にあたっての取引参加者の意見聴取手続きの整備
取引参加者に対する意見聴取手続きについて、透明性を高めるべく、意見聴取の対象とする取引参加者（たとえば売買代金シェア上位の一定数の社など）、意見聴取を行う相手方（有価証券売買責任者など）等について、取引参加者と議論を行い、整理する。
併せて、一定の取引参加者に対しては回答義務を課すなど、このような仕組みが機能するように、必要に応じて制度面での対応（規則やコンティンジェンシー・プランの改定）も行う。

- 32 -

⑥ コンティンジェンシー・プランにおける売買停止・再開の予見可能性を高めるた
め、売買代金シェア、被災・障害発生状況及び社会的要請を総合的に勘案する場
合における適用関係の明確化等⑦ システム障害等不測の事象が発生した場合における適時適切な情報発信の体制整
備広く投資家や市場関係者の皆様が障害に関する情報を得られるよう、判明している
事象・原因などについて可能な限り早く情報発信をすることに加え、定時点での情報発信なども行うべく、体制整備を進める。具体的には、「システム障害時における情報発信ポリシー」（仮称） を策定し、システム障害時において発信すべき情報を整理し、情報発信チャネルを充実化させるとともに、投資家や市場関係者が確認しやす
いように発信した情報の一覧性の向上を図る等、システム障害時において、情報を必要とする者の立場を十分に考慮したうえで、実効的な情報発信を行うことが可能となるよう対応を行う。
上記の対応については、市場関係者、特に取引参加者における実行可能性について、実務面、システム面で確保されることが大前提となる。そのため、今後上記の点について内容を具体化し対応を検討するために取引参加者を中心に、「再発防止策検討協議会」を設置し、議論が開始されている。その際、障害のパターンやそれがもたらす影響によっては、大掛かりな対応が必要になる場合も想定されることから、対応に要する期間でフェーズ分けをするといった方策をとることも視野に入れる。
JPX 全体のシステムの信頼性向上
JPX は、東証以外にも複数の市場機能を担う会社を傘下に抱えている。持株会社として主要な市場機能で同様の信頼性向上を求められている。また、市場関係者とのコミュ
ニケーションの課題として、大阪取引所の運営するデリバティブ市場の売買再開ルール
や障害状況についても金融庁に報告している。
JPX グループにおいては、信頼性の高いシステムを提供し、安定的な市場を開設する
使命を有する市場運営者の責務として、システムの更改に際して、構築するシステムが設計どおりの挙動がなされるかを確認すべく、故障時の切替えを含め、テストを実施している。しかしながら、システムが想定外の挙動を行う可能性を踏まえ、一層踏み込んだ対応を行うことが必要であると考えている。
さらに、システム障害発生時における売買再開に係る判断に際しては、市場運営者として、取引参加者をはじめとする市場関係者との間で十分にコミュニケーションをとり、あらかじめ合意したルールに基づき意思決定を行うことが不可欠であると認識して- 33 -

いる。
以上のことから、JPX としてのシステムの信頼性向上に係る課題としては、以下の二点と考えている。
第一に、今回の事象においては、機器故障時の切替えを想定したテストを実施していたものの、特定部位の故障時においては当該機器の切替機構が想定どおりの挙動とならなかったことを踏まえ、万が一の機器故障発生時にその影響範囲を一層極小化すること、具体的には、システムの更改時の影響確認を徹底するとともに、万が一の機器故障発生時においてもその影響を極小化し、市場における売買を可能な限り継続する観点か
ら、自動的な機器の切替えが想定外に機能しない場合であっても機器の切替えを確実に行うことができる手段を明確化し、速やかな復旧を実現することが必須であると認識している。
第二に、今回の事象においては、東証において策定するコンティンジェンシー・プランに沿った判断にあたり、JPX グループ全体としての認識共有を行うとともに、一部の取引参加者との間で一定のコミュニケーションを講じていたものの、売買を再開するにあたっての市場参加者との共通認識が十分に形成されていなかったこと等により取引参
加者や投資家の皆様を混乱させてしまったことを踏まえ、グループ全体として全方位的なコミュニケーションを実現するための態勢の見直しが必要であると考えている。
2

当委員会の評価
システム面からの対応
本障害発生の直接的な原因は設定の誤りに基づく NAS2 号機への自動切替えの不備であり、NAS の設定値に誤りがないかの確認、確実に切替えが実施されるための手段の拡充・確認、設定の誤りや対策不十分な点がないかを確認するための網羅的なケースを想定したテストの実施等を含め、システム面からの再発防止策の取り組みは何より重要な事項である。
東証によれば、再発防止策に向けたシステム面からの対応は、①NAS の設定値の修
正、②NAS の設定値の総点検、③確実に切替えを実施する手段の整備、④継続的なテス
ト・訓練の実施と整理されている。
これらの内容は本障害の発生原因（第 4 編参照）を踏まえた合理的な内容であり、本障害の内容を踏まえた再発防止策として不十分な点はないと考えられる。
売買停止手段の拡充
本障害の影響が拡大した原因は緊急用売買停止の手段を講じることができず、ロード
バランサ遮断という方法を強いられたことにあるため、今後に向けては売買停止を確実に実施するための手段を講じることが重要である。

- 34 -

東証によれば、売買停止手段の拡充という観点からの対応は、①売買停止指示の経路と状態の整理、②緊急用売買停止機能の変更と整理されている。
これらの内容は、システム障害発生時に確実に売買停止（緊急用売買停止）を実施
し、本障害のようにロードバランサ遮断という通常でない売買停止という事態を生じさせないための施策であり、本障害の内容を踏まえた再発防止策として合理的であると考えられる。
売買停止及び注文受付停止ルールの整備
本障害に際しての売買停止及び注文受付に関する東証の判断に誤りがあったとは認められないものの、障害発生時の売買停止及び注文受付停止に関する手順等の整備には不十分な点があった。
東証によれば、システム障害が起きた場合に備え、既に発注された注文の取扱い等必要となるルールの整備を行うとのことであり、その中には、いかなる場合に注文を受け付けないこととするかに関する障害の発生時間やパターンに応じたルールが盛り込まれるとのことである。
当該内容は、売買停止及び注文受付停止に関して十分な検討を行った上で手順やルールを明確化するものであり、本障害の内容を踏まえた再発防止策として合理的であると考えられる。
市場再開ルールの整備等
本障害に際しての終日売買停止という東証の判断に誤りがあったとは認められないものの、市場再開・取引再開に関する手順の整備、ルールの策定、取引参加者に向けた周知や訓練には不十分な点があった。
東証によれば、システム障害発生時の市場再開・取引再開に向けた対応として、①
arrowhead の再立ち上げが必要になるような障害が発生した場合における、顧客からの委託注文の取扱いに関するルール等の明確化、②arrowhead の再立ち上げを想定した売買再開に向けた訓練を、東証内部に加えて取引参加者・相場ユーザと合同でも実施するとのことである。
当該内容は、市場再開に関して十分な検討を行った上で手順やルールを明確化し、取引参加者も交えて訓練を実施するというものであり、本障害の内容を踏まえた再発防止策として合理的であると考えられる。さらに付言するならば、手順やルールの明確化に際しては、投資家に与える影響も明確にする必要があり、証券会社をはじめとした市場関係者の意識改革や協力も必要不可欠であることをあらためて認識すべきであろう。
JPX 全体のシステムの信頼性向上
JPX によれば、JPX としてのシステムの信頼性向上に係る課題は、①万が一の機器故障発生時にその影響範囲を一層極小化すること（自動的な機器切替えが機能しない場合で- 35 -

あっても機器の切替えを確実に行うことができる手段を明確化すること）、②売買を再開するにあたっての市場参加者との共通認識が十分に形成されていなかったため、グループ全体として全方位的なコミュニケーションを実現するための態勢を見直すことと整理されている。
当該内容は東証の親会社である JPX としてシステムの信頼性向上に向けて取り組むべ
き課題として合理的であると考えられる。
小括
以上のとおり、本障害の事案を受けて東証において検討されている再発防止策は、本障害の発生原因、障害発生後に当日中の取引再開を行うことができなかった原因等の内容も踏まえた合理的なものであり、不十分な点はないと考えられる。

将来に向けた提言
1「想定外」の障害やトラブルに備えるための検討
本障害の直接的な原因はマニュアルの記載誤りに起因する NAS の設定過誤及びそれに伴う NAS 自動切替え不備であり、この点に関する東証の対応に大きな問題があったとは認められない。また、本障害発生後の対応としての 8 時からの注文受付、8 時 36 分における売買停止、ロードバランサの遮断という方法による実質的な売買停止及び終日売買停止という東証の行った各判断は、いずれも当該時点での状況を前提とすると、不合理なものであったとは認められない。
他方で、東証においては、①注文受付可否の判断手続、②売買停止の判断手続、③通
常でない売買停止後の売買再開に向けた手続、④緊急用売買停止機能の処理方式に関する事前の検討がより十分に行われていたならば、本障害による影響をより限定されたものとすることができたのではないかと考えられる。
東証における事前検討が不十分であったと評価されるこれらいずれの点も、NAS の設定
過誤に伴って自動切替えが行われないという事象の発生が具体的に想定されていなかったことに起因・関係するものといえる。現時点で JPX 及び東証が検討を進める再発防止措置の内容は、今般発生した本障害への対応措置としては十分かつ合理的な内容であるが、arrowhead をはじめとするシステムに関して他の「想定外」の障害その他のトラブルが再度発生する可能性も否定はできない。
本障害のもたらした終日売買停止という結果の重大性及び影響の大きさを踏まえ、同種の障害が再度発生しないよう十分な対策を講じるべきことは当然として、再度「想定外」の事象に起因する障害等が発生することのないよう、システム面、対応措置の手順
策定、関係者を含めたテストの実施等のあらゆる面から必要十分な措置を講じることが- 36 -

求められる。ベンダに対しても広範な場面を想定しての網羅的なテストの実施を求める必要がある。
このような再発防止策が実施されてこそ、対症療法ではなく中長期的な観点からの実
効的かつ合理的な対応措置であると評価することができる。
2

一定の障害発生は避けられないことを前提とした対応の検討
また、現物株式売買システムにおいて「Never Stop」というスローガンを目指すべきことは当然であるが、当該スローガンを強調しすぎるあまりに、システム障害が発生した際にも、8 時からの注文受付、9 時からの取引開始という対応を絶対的なものと捉え、それを前提として対処することにより、結果として障害回復後の取引再開をスムーズに行うことができないということとなったのは本末転倒である。システム障害は一定の頻度・割合で発生することを避けられないものであることを前提として、障害が発生して取引への支障が生じる恐れが生じた際には、影響範囲をいかに限定し、スピーディーか
つ安全に再開するかという観点から対処措置を検討することも必要である。
また、システム障害により通常ではない方法により売買停止となった後に取引再開するに際しての手続等の事前検討という点についても、やむを得ず売買停止となるという望ましくない状況を想定し、かかる事態に対しても十分な対応を行う姿勢が求められる。あってはならないことは必ず起きるという現実を前提に、思考停止に陥らないこと
こそが肝要である。

3

障害等のトラブル発生時における適時適切な情報発信
本障害の発生時、東証は発生事象の内容等につきウェブサイトを通じて情報発信を行ったが、取引参加者や投資家からは、「原因や復旧予定を把握することができなかった」、「情報の伝達に関して会社によってタイムラグが生じていた」、「同時に英語での情報発信をすべきである」等の意見が出ているとのことである。
障害発生時に適時適切な情報を得られるかどうかは取引参加者及び投資家等の関係者
にとっての重大な関心事である。東証としては有事に際していかなる手段によりいかなる情報発信を行うかを検討し、手順を定め、関係者にも周知しておくという対応が必要である。また、関係者の種別が多様であり、範囲も広範であることを踏まえ、より多くの情報発信チャネルの活用を検討すべきである。

4

非常事態における社内対応体制の強化
本障害のような非常事態に際しては、短時間のうちにシステム障害への対応措置を検討して実施することが求められる。さらに、障害の状況に応じて売買停止や取引再開等- 37 -

の重要な判断を短時間で行うことも求められる。このため、非常事態に際してシステム担当者及び重要事項の判断権者との間で直ちに連絡をとり、十分な検討及び意思疎通を行うことのできるように、十分な社内対応体制を確立しておくことが重要である。
また、電話、電子メール、ウェブ等の方法による連絡も有用であるが、最新の情報を適時適切に把握し、多数の関係者が協議して妥当な対処措置等を決定するためには、障害対策本部等の検討本部に可能な限り多くの関係者が臨場することが望ましい。そこ
で、システム担当者及び重要事項の判断権者等が速やかに検討本部に集まることのできるように、緊急時の交通手段の確保や居住環境の整備についても緊張感をもって早期に検討し、実現を図るべきである。
我が国証券市場におけるセントラル・マーケットを運営しているという東証及びその親会社である JPX が担う役割の重要性及びその影響の大きさを十分に自覚し、社内対応体制の強化に向けた不断の努力が求められる。
5システム関連に更なる経営資源の投入を
金融商品取引所はシステム、IT の装置産業と言っても過言ではない。JPX 及び東証の市場における重要性に鑑みれば、独自のシステム開発能力、設計監理力、保守運用力をさらに高めるための検討も必要ではないだろうか。そこで、中長期的には、JPX グループ内
におけるシステム設計・監理機能の向上、IT・システム研究部門の創設、IT 部門の能力増強・人員強化に向けた計画的な投資増大等、抜本的な IT 体制改革も選択肢の一つとして検討することが望まれる。
以- 38 -

上