证券系统故障应急处置指南

证券系统故障应急处置指南标签：证券运营/交易系统/应急处置/决策规则/规模适配/时间窗口判断

日期：2026年10月目录一、市面文档共性缺陷诊断1.1诊断方法与局限说明1.2三个可验证的结构性缺陷1.3缺陷的深层成因：为什么证券系统故障的“时间”比“状态”更致命二、本指南的决策底座：九条不可绕过的通用规则规则一：第一判断是“现在处于交易时段的哪个位置”，不是“什么系统坏了”规则二：开市前故障与盘中故障，处置逻辑不同，不可混用规则三：隔离还是恢复，取决于“故障域是否可界定”，不取决于“业务压力有多大”规则四：订单状态的“已报未成”“已成未报”“部成待撤”，必须在恢复前逐类对账规则五：切换灾备的前置条件是“灾备已验证可承接当前时段负载”，不是“灾备存在”规则六：出现以下任一信号，停止操作规则七：报告时限按系统类别和事件等级分档，盘中故障的报告从“发现”起算规则八：外部依赖（交易所/登记结算/行情/第三方交易终端）故障，不以“对方确认”为行动前提规则九：交易恢复不等于客户恢复，不等于合规恢复三、标准版：有专职技术团队、多交易系统和灾备能力的证券公司/期货公司3.1组织与职责3.2初始定级操作卡（含交易时段与系统类别叠加）3.3分场景先期处置卡（盘中交易中断/开市前故障/行情异常/第三方终端故障）3.4完整案例：盘中集中交易系统部分中断，涉及订单状态对账与灾备切换评估3.5案例关键变量讨论四、简化版：人员精简、系统依赖第三方供应商的中小证券公司/分支机构4.1红黄绿场景清单替代实时判断4.2现场处置精简卡4.3案例：分支机构现场交易终端故障的手工受理与状态记录五、微型版：10人以下无专职技术人员的证券营业部/服务点5.1核心原则：停报、引导、不代操作、留痕5.2一张纸的处置卡5.3案例：营业部交易终端中断的“不代客操作”处置六、矛盾场景分析：证券系统故障中的真实两难6.1矛盾一：盘中“先恢复交易”与“先查根因”6.2矛盾二：灾备切换的“快”与“切换后状态不可信”6.3矛盾三：故障期间“手工接单”与“状态一致性”6.4矛盾四：行情/交易中断时“继续开市”与“申请临时停牌/暂停交易”七、演练、证据链与整改闭环7.1演练频次、形式与“交易时段窗口”科目7.2证据链台账的最低要求7.3整改闭环的操作方法八、常见误判与纠正九、数据来源与时效说明一、市面文档共性缺陷诊断1.1诊断方法与局限说明本诊断基于已有知识中沉淀的证券系统故障应急类文档进行归纳，覆盖监管规章的附件模板、机构内部的技术应急预案、交易所组织的全市场演练方案和事后监管罚单中的事实描述。证券期货行业的信息系统应急制度供给相对充分——证监会有专门的事件报告与调查处理办法，2021年修订版进一步将系统分为五类至一类，并给出了服务能力异常的量化定义。但“有分级标准”和“在盘中故障的几分钟内能做出不使后果扩大的判断”之间的差距，在证券场景下比多数行业更大——因为证券交易的核心约束不是“数据一致性”（银行）、也不是“状态不可逆”（保险），而是时间窗口的不可再生性：交易时段的每一分钟都在产生不可撤回的成交和不可复现的市场机会。本诊断指向的正是预案在“时间压力下的顺序判断”层面的缺口。诊断结论中的“市面文档普遍怎么写”描述的是多数文档的共同特征，建议使用者结合本单位实际持有的文档进行对照验证。1.2三个可验证的结构性缺陷序号共性缺陷缺陷表现（市面文档普遍怎么写）缺陷后果（实际会发生什么）本指南的改进方向1分级标准精确到“分钟”，但缺少“在分钟尚未走完时如何启动响应”的判据监管的分级标准以交易中断时长为核心量化维度：重大事件的阈值包括“证券交易所交易、通信、行情发布系统中断达到10分钟以上，或者受影响营业部或交易单元比例达到10%以上”“有效客户数10万人以上的证券公司集中交易系统或网上交易系统全部中断，影响交易时间累计30分钟以上”；特别重大事件则对应20分钟、100万客户、2小时等更高阈值。这些阈值是事后定级和报告的依据。但预案通常不写：当故障在09:35发生、中断时间只过了3分钟、尚不知道会不会达到10分钟或30分钟时，值班人员依据什么做出初始响应级别的判断；也不写在什么可观察信号出现时应主动升级，而不等待“中断时长自然走完阈值”值班人员在开盘后几分钟收到“部分客户无法下单”的报告时，倾向于“再观察一下，也许几分钟就好了”。但证券交易的扩散速度极快：如果故障是集中交易系统的某个组件异常，3分钟时的“部分客户”可能在8分钟时变成大面积中断，而低级别响应意味着灾备切换授权、交易所沟通、客户公告准备均未启动。等到中断时间“走完”30分钟阈值再升级时，可用的处置窗口已经消耗在等待中。更实质的后果是：报告时限的合规风险独立于事件本身——开源证券App故障后“未按规定及时向陕西证监局报告”，即使故障本身未造成广泛舆情，仍被出具警示函并记入诚信档案给出初始响应的可观察判据，不以“中断分钟数是否达标”为唯一依据，而是叠加受影响客户/站点的变化趋势、系统健康信号、故障域的可界定程度。同时给出主动升级触发条件（如“受影响客户数在5分钟内翻倍”“同一故障特征出现在第二个交易节点”“交易所侧出现相关异常通知”），使响应在分钟数走完之前就可以启动，而不是等待阈值“自然到达”2“先恢复交易”被当作无条件优先，不写“什么条件下恢复交易本身会使后果扩大”写“尽快恢复交易”“优先保障交易连续性”。这个原则在“系统宕机、数据完好”的假设下正确。但真实故障中，更常见的情形是系统“半可用”——部分客户可以下单但成交回报延迟、部分订单状态不明、行情与交易不同步。此时“尽快恢复”可能意味着让客户在一个状态不可信的系统上继续交易，产生大量“以为成交了但实际未成交”或“重复下单”的纠纷。预案通常不讨论：在订单状态尚未对账清楚之前，是否应该限制部分客户或部分业务类型进入交易；也不讨论“恢复交易”与“恢复可信任的交易”之间的区别系统“恢复”了，客户可以下单了，但故障期间积压的订单和状态不明的成交没有被清理。客户根据不可信的持仓或资金状态做出新的交易决策，新的交易建立在旧的错误之上。收盘后对账时发现大量“客户认为已成交但系统无记录”或“系统显示部成但客户已按全成操作”的差异。华金期货的案例提供了另一个维度的教训：故障发生后“未妥善保护事件现场和相关证据，导致始终无法确定本次网络安全事件的真实原因”——恢复动作如果销毁了判断“状态是否可信”所依赖的证据，恢复本身就变成了排查的障碍把“恢复交易”拆解为分层恢复：先恢复查询和撤单（不产生新的成交，风险最低），再恢复不依赖故障期间未对账状态的业务类型，最后在订单状态逐类对账完成后全面恢复交易。给出“状态未对账前的交易限制”清单，明确哪些操作可以放开、哪些必须等待对账结论。恢复过程中保护现场证据，不以“先跑起来”为由覆盖或删除故障期间的日志和内存状态3外部依赖故障（交易所/登记结算/行情/第三方终端）被写成“协调事项”，不写“自身业务在等待期间如何保全”证券公司的交易链路高度依赖外部节点：交易所的交易网关、登记结算的数据接口、行情源、第三方交易终端（如文华财经等）。预案通常写“与交易所/结算公司/供应商保持沟通”“等待对方恢复”。但不写：当外部依赖不可用、而客户交易需求仍在发生时，证券公司依据什么可观察信号判断“不能再等”，自行启动客户告知、替代通道引导、或对受影响客户的订单采取保护性措施；也不写“等待外部恢复”与“自身对客户的受托义务”之间的冲突如何处理——客户不会因为交易所或供应商系统故障而放弃交易需求，但证券公司如果在此期间接受了无法执行的委托，可能产生受托责任问题华金期货的“文华中继软件故障”导致客户无法通过文华财经交易端登录交易7小时26分钟——故障源在第三方软件，但客户感知的是“这家期货公司不让我交易”。如果证券公司在等待供应商修复期间没有自行启动替代终端的引导或客户告知，客户的损失感和投诉对象仍然指向证券公司。开源证券的App交易站点网络通信故障，故障源在IDC机房通信，但监管罚单的对象是证券公司。外部依赖不转移持牌机构对客户和监管的责任把外部依赖故障从“协调事项”升级为有自身行动规则的应急场景：明确“不等对方确认”的信号判据（如外部系统不可用超过可界定阈值、对方无法提供预计恢复时间、客户投诉开始集中），以及自身可执行的保护动作（客户告知、替代通道引导、受影响委托的标记和后续处理）。不将“对方还在修”作为不采取自身行动的理由差异化显式标注一：市面文档普遍以“中断分钟数是否达到分级阈值”作为响应启动的依据。本指南补充了初始响应的可观察判据和主动升级触发条件，使响应在阈值“走完”之前就可以启动，而不是把先期处置窗口消耗在等待定级上。差异化显式标注二：市面文档普遍把“尽快恢复交易”当作无条件正确的目标。本指南补充了分层恢复的逻辑和“状态未对账前的交易限制”清单，明确“恢复可信任的交易”比“恢复交易”更重要，并在恢复过程中保护用于判断状态可信度的证据。差异化显式标注三：市面文档普遍把交易所/登记结算/第三方终端故障处理为“协调事项”。本指南将其升级为有自身行动规则的应急场景，给出“不等对方确认”的信号判据和证券公司可自行执行的保护动作，回应了华金期货、开源证券等案例中“故障源在外部、罚单落在持牌机构”的现实。差异化显式标注四：市面文档普遍只讲“交易中断、客户投诉、罚款”的表层后果。本指南补充了证券行业特有的深层后果链条：网络安全与信息系统运维已被纳入证券公司分类评价的核心考核指标，被出具警示函等行政监管措施将直接产生年度评价扣分，同类违规累计可能拉低分类评级；分类评级的下调直接影响业务资质、监管资源分配和客户信任。德邦证券的罚单同时列出三项违规：核心交易区域设备可靠性不足、事件报告信息不准确、未严格按照应急预案处置流程稳妥处置突发事件——“报告不准确”和“未按预案处置”本身就是独立的处罚事由，与故障本身并列。1.3缺陷的深层成因：为什么证券系统故障的“时间”比“状态”更致命银行系统故障的核心后果是“钱可能错了”，保险系统故障的核心后果是“状态可能错了”。证券系统故障的核心后果不同：它可能只是“慢了”，但“慢”本身就会产生不可撤回的市场后果。成因一：交易时段的每一分钟都在生成不可撤销的成交。银行的一笔支付延迟可以在对账后冲正；保险的一个状态错误可以在事后纠正。证券的一笔成交一旦在交易所撮合成功，就是不可撤销的。故障期间“客户无法下单”的损失不是“系统不可用的时间成本”，而是客户在不可用的那几分钟内错过的市场价格。富途证券2025年2月的宕机发生在美股开盘后、美国CPI数据公布、市场波动放大的时段，投资者反馈“末日期权无法平仓而损失巨大”。同样的1小时中断，发生在平静的午盘和发生在数据公布后的剧烈波动中，后果的量级完全不同。预案如果不把“交易时段的位置”作为判断变量，就无法区分这两种1小时。成因二：证券系统的“半可用”状态比“完全宕机”更难处置。完全宕机时，所有人都知道“不能交易”，客户会等待或转向替代渠道。但“部分客户可以下单、部分不能”“下单可以但回报延迟”“行情跳动但成交不确认”——这些半可用状态下，客户会继续尝试交易，而每一次尝试都可能产生一个新的、状态不明的订单。系统“恢复”后，这些订单与故障期间积压的订单、交易所侧的实际成交记录之间的对账，可能比故障本身的排查更耗时。预案通常假设“故障”是二值的（坏了/好了），而真实故障是连续的、有中间状态的。成因三：外部依赖使“故障源”与“责任主体”分离，但责任不分离。证券公司的交易链路是一条多节点链：客户终端→证券公司交易系统→交易所网关→交易所撮合→登记结算。故障可能发生在链上的任何一环，但客户和监管看到的“责任主体”是持牌证券公司。华金期货的故障源在文华财经的中继软件，罚单对象是华金期货及其分管信息技术的高管。开源证券的故障源在IDC机房网络通信，罚单对象是开源证券。“不是我们的系统坏了”在监管和客户面前不构成免责理由，因为持牌机构对交易链路的可用性负有最终责任。预案如果不为“外部依赖不可用”设计自身的行动规则，就等于在故障发生时把主动权交给了第三方。二、本指南的决策底座：九条不可绕过的通用规则以下九条规则是三套规模方案的共同底座。三套方案的差异不在于规则本身，而在于执行深度、可用工具和授权层级。规则一：第一判断是“现在处于交易时段的哪个位置”，不是“什么系统坏了”证券系统故障的紧迫性和可用处置选项，首先取决于故障发生在交易时段的哪个位置。交易时段位置的判断：开市前窗口（开盘集合竞价前至连续竞价开始）：故障的紧迫性在于“能否在开市前恢复或切换”。如果预计无法在开市前恢复，决策的重心从“修复”转向“是否申请延期开市/暂停交易”以及与交易所的协调。开市前的时间是有限的、可倒计时的，判断依据是“距离开市还有多少分钟”和“当前修复/切换的预计完成时间”。连续竞价时段：这是最严峻的场景。每一分钟的延迟都在产生市场风险。决策的重心是“分层恢复”——先让查询和撤单可用，再让交易逐步可用，而不是等待“全部修好”再开放。同时需要判断是否以及何时向交易所报告并请求必要的协助。午间休市：提供了一个有限的修复窗口。紧迫性在于“能否在下午开市前恢复”。如果不能在休市结束前恢复，决策转入“盘中故障”逻辑。休市期间也是对上午订单状态进行对账的窗口，不应将全部时间用于修复而忽略对账。收盘后：紧迫性从“交易中断”转向“结算和清算的按时完成”。如果故障影响了日终结算，下一个交易日开市的风险成为主要关切。收盘后的处置必须为次日的正常开市留出验证时间。为什么“什么系统坏了”不是第一判断：同样的“集中交易系统部分客户无法下单”，发生在09:20（开市前）和10:30（盘中）和14:55（尾盘），处置逻辑完全不同。开市前可能选择“延迟开市直到修复”，盘中必须“分层恢复以减少不可撤回的成交风险”，尾盘则可能面临“是否让已经产生的委托在收盘前得到处理”的判断。先定位时间位置，再定位系统故障，顺序不能颠倒。规则二：开市前故障与盘中故障，处置逻辑不同，不可混用这是规则一的操作化延伸。开市前和盘中的核心区别在于：开市前，“不交易”是一个可接受的选项；盘中，“不交易”本身就在产生后果。开市前故障的处置逻辑：目标是在开市前得到一个“可交易或明确不可交易”的确定状态，而不是“在开市前修好”。如果预计无法在开市前完成修复或切换，申请延期开市/暂停交易是一个合法的、需要被主动考虑的选项，而不是“修复失败后的无奈之举”。判断“能否在开市前恢复”的可观察依据：当前修复/切换的预计完成时间与距离开市的剩余时间的比较。如果预计完成时间加上至少30%的缓冲仍小于剩余时间，可以继续修复路径；否则应同步启动“不可交易”的预案（客户告知、交易所沟通、替代渠道引导）。不在开市前最后一分钟“赌一把”。如果修复在开市前1分钟“看起来好了”，但没有时间进行状态验证（订单表是否干净、与交易所的连接是否正常、行情是否同步），开放交易的风险高于延迟开市。盘中故障的处置逻辑：目标是最小化不可撤回的市场后果，而不是“最快恢复全部功能”。分层恢复（规则三）是核心操作框架。同步进行状态对账（规则四），不将全部资源投入修复而忽略对账。对账的延迟会使恢复后的交易建立在不可信的状态之上。主动考虑“限制性恢复”：如果全面恢复的条件不具备，可以恢复部分客户（如机构客户、非受影响节点客户）或部分业务（如只允许撤单、只允许限价单不允许市价单），以在可控风险下维持部分市场参与。限制性恢复的决策必须有记录，明确限制了谁、限制了多久、依据是什么。规则三：隔离还是恢复，取决于“故障域是否可界定”，不取决于“业务压力有多大”盘中故障时，值班人员面临的核心选择是：是先隔离故障组件、在隔离状态下恢复其余部分，还是直接尝试恢复整个系统。可观察的故障域判断：故障域可界定：异常局限于特定的组件、节点或客户群体，且该范围与正常部分之间的边界是清晰的（如“A交易节点的客户无法下单，B节点正常”）。此时应隔离故障域，在隔离状态下恢复正常部分的可用性，同时排查故障域。隔离的动作包括：将流量从故障节点摘除、限制故障节点的客户接入、关闭故障节点与交易所的连接以防止状态不明的委托进入。故障域不可界定：异常涉及多个节点、多个客户群体，且无法判断边界（如“大量客户随机出现下单失败，没有明显的节点或地域规律”）。此时不应贸然隔离，因为隔离可能切断了仍在正常工作的部分，或遗漏了已经扩散但尚未显现的故障。处置的重心转向确认共享依赖（数据库、中间件、网络、交易所网关）的状态，以及保护证据（日志、内存、连接状态）供快速定位。“业务压力”不是判断依据：客户投诉量、经纪业务收入损失、渠道催促——这些是真实的压力，但它们不改变故障域的可界定程度。在故障域不可界定时，因为业务压力而“先恢复再说”，可能使一个可隔离的局部故障扩散为需要更长时间对账的全局状态污染。隔离的“不能切断的连接”：隔离故障域时，不应切断与交易所和登记结算的正常连接（除非该连接本身就是故障路径）。与交易所的连接中断会被交易所侧感知，可能触发交易所的异常监测和问询，使局面复杂化。隔离应作用于证券公司内部通往故障域的路径，而不是外部接口。规则四：订单状态的“已报未成”“已成未报”“部成待撤”，必须在恢复前逐类对账这是证券系统故障区别于其他行业故障的最核心操作规则。故障期间产生的订单，状态不是简单的“成功/失败”，而是分布在多个中间状态上。在逐类对账完成之前，全面恢复交易会使新的订单与旧的未对账状态发生冲突。订单状态的四类对账：状态类别含义对账方法恢复前的处理已报未成委托已发送至交易所，但尚无成交回报以交易所侧的委托确认和成交回报为准，与证券公司系统内的记录逐笔比对。如果交易所侧显示“已受理未成交”，该委托仍然有效，客户可能仍有持仓/资金占用在恢复客户交易权限前，向客户明确展示“该委托仍在交易所侧有效，撤单需要通过可用通道执行”。不在对账完成前将该委托视为“不存在”或“已失败”已成未报交易所侧已有成交，但证券公司系统未收到或未记录以交易所的成交回报和登记结算的清算数据为准，反向补录证券公司系统。这是风险最高的一类：客户可能在不知情的情况下已经持有或卖出证券在对账并补录完成前，不开放该客户的新交易（或限制为只允许撤单和查询），防止客户基于不完整的持仓做出新决策部成待撤部分成交，剩余数量处于待撤或撤单中状态确认已成交部分的数量和价格，确认剩余部分的撤单是否已被交易所受理恢复后按“已成交部分锁定、剩余部分按撤单结果处理”的规则执行。不将“部成待撤”简化为“全部成交”或“全部未成交”状态不明系统无法确定委托是否已发出、是否已到达交易所、是否已成交不假设任何默认状态。以交易所侧和登记结算侧的数据为唯一权威来源。如果交易所侧也无记录，按“未受理”处理，但需要记录该判断的依据在对账完成前，该客户的交易权限保持受限状态（查询、撤单可用，新开仓不可用）。状态不明的持续时间越长，客户沟通的紧迫性越高规则五：切换灾备的前置条件是“灾备已验证可承接当前时段负载”，不是“灾备存在”灾备切换是证券系统故障的核心恢复手段，但切换本身可能引入新的故障。“灾备系统存在”不等于“灾备能在当前交易时段承接当前负载”。切换灾备的可观察前提条件（以下条件同时满足，才进入实质切换决策）：灾备系统的实时健康状态已确认：处理能力余量、与交易所的网关连接状态、行情源的同步延迟在可接受范围内。行业技术资料中常见的灾备设计目标——同城RTO<30秒、异地RTO<5分钟，或灾备中心RTO≤12小时、RPO≤5分钟——是设计参考值，不是切换时的验证结论；切换决策必须基于灾备此刻的实测状态。灾备与生产之间的数据同步状态已确认：故障期间的订单数据、成交数据是否已同步到灾备？如果同步延迟（RPO）大于零，灾备缺少的那部分数据在切换后如何处理？切换后灾备系统缺少的订单，客户和交易所侧是存在的，这个缺口必须在切换前有明确的补录方案。故障根因已初步判断不会在灾备侧继承：如果故障源于上游数据源异常、共享网络问题或与灾备共用的某个组件，切换灾备不能解决问题。切换的业务承接方案已明确：切换期间客户如何被告知、切换后哪些业务优先开放、如果灾备也异常的回退路径是什么。“不切换”的条件：如果灾备的健康状态无法在盘中快速验证，或数据同步缺口无法在切换前界定，“在故障系统上实施分层恢复+限制性交易”可能是比“切换到一个状态不确定的灾备”更安全的选择。灾备切换的收益是“可能恢复全部功能”，代价是“如果灾备不可信，对账的复杂度从单系统变成双系统”。差异化显式标注五：市面文档普遍写“自动切换失败后切换灾备”，把切换当作没有前置条件的补救动作。本指南补充了切换的可观察前提条件和“不切换”的合法条件，特别是将“灾备数据同步缺口”和“根因是否会在灾备侧继承”作为切换前必须回答的问题，而不是切换后再发现。规则五的补充：灾备切换后的“状态可信度”验证切换完成后，灾备系统“可以交易”不等于“状态可信”。灾备可能在故障期间缺少部分数据，或与交易所侧的状态存在差异。切换后的第一动作不是“全面开放交易”，而是抽样对账：抽取若干客户和若干委托，将灾备系统的记录与交易所侧记录比对。抽样对账通过后，再逐步扩大开放范围。“灾备切换成功”的判据不是“灾备启动了”，而是“灾备的状态与交易所侧一致”。规则六：出现以下任一信号，停止操作停止线可观察信号停手后的动作故障域不可界定，禁止贸然隔离多个节点、多个客户群体随机出现异常，没有清晰的边界不执行“隔离某节点”或“切断某连接”的操作。先确认共享依赖状态和收集证据，在故障域边界明确后再隔离。“先隔离一个地方试试”可能切断正常部分，或遗漏已扩散的故障订单状态未对账，禁止全面开放新交易存在“已成未报”“状态不明”的订单，且尚未完成与交易所/结算侧的对账保持限制性交易状态（查询、撤单可用；新开仓按客户或业务类型受限）。在对账完成前开放全面交易，等于让客户在不可信的持仓和资金基础上做新决策灾备状态未验证，禁止切换灾备的实时健康数据不可用、数据同步延迟不明、或灾备与交易所的连接状态未确认不执行切换。按规则二和规则三在故障系统上实施分层恢复和限制性交易，同时继续验证灾备状态。“灾备存在”不是切换的理由，“灾备此刻可信”才是操作将覆盖或删除故障期间的日志/内存状态恢复动作涉及重启、清空缓存、覆盖日志文件、格式化存储停手。先保全证据（日志导出、内存快照、连接状态记录），再执行恢复。华金期货的教训表明，证据保护不到位会使事件原因“始终无法确定”，这本身构成独立的监管处罚事由操作超出当前人员授权或系统操作权限需要执行的操作（如数据库强制切换、交易所网关参数修改、核心路由变更）超出值班人员的授权范围停手，报告，等待授权。“看着别人做过”不等于“自己有权限做”，授权边界不因盘中时间压力而移动规则七：报告时限按系统类别和事件等级分档，盘中故障的报告从“发现”起算证券期货业的报告要求是多层且分档的，2021年修订后的办法以系统类别（五类至一类）和服务能力异常程度（严重/中度/轻度）为基础，叠加事件等级来确定报告义务。报告时限的操作化表述：核心机构重要信息系统发生可能导致或已经造成交易中断、严重缓慢的重大故障：立即报告，并每隔30分钟至少上报一次，直至系统恢复正常运行；如有重要情况立即报告。证券公司集中交易系统发生可能导致或已经造成交易中断、严重缓慢的：立即报告，并每隔30分钟至少上报一次，直至恢复。其他信息系统发生故障，影响投资者正常业务办理，原则上30分钟内无法恢复的：立即报告，并每隔1小时至少上报一次。初步定级为特别重大或重大的事件：在事件发生后2小时内，将处置进展报告书面上报证监会值班室、相关业务部门和证信办。投资者数据损毁或泄露、涉及计算机犯罪：立即报告，事件解决前如有重要情况立即报告。操作含义：报告时限从“发现事件”起算，不以“中断分钟数是否达到分级阈值”为条件。开源证券的罚单明确：网络和信息系统发生故障，可能构成网络安全事件的，应当立即报告。“可能构成”是触发条件，不是“确认构成”。首次报告允许“影响范围初步评估”“原因初步判断”等初步性表述，但时间、系统、已观察到的现象、已采取措施必须如实填写。德邦证券的罚单中“事件报告中提供的信息不准确”是独立的违规事由。“盘中正在处置”不是延迟报告的理由。报告可以由非处置一线的人员（如信息报告岗）执行，不占用技术处置的人力。规则八：外部依赖故障，不以“对方确认”为行动前提交易所、登记结算、行情源、第三方交易终端的故障，证券公司不能以“对方还在处理”作为不采取自身行动的理由。持牌机构对客户和监管的责任，不因故障源在外部而转移。证券公司自行启动保护动作的可观察信号（满足任一即启动，不等待对方确认）：外部系统不可用超过可界定的阈值（如第三方交易终端不可用超过15分钟，或行情源中断超过5分钟），且对方未提供明确的预计恢复时间；客户投诉开始集中在同一外部依赖上（如“文华终端登不上”“行情不动了”），且数量在短时间内上升；行业信息或交易所公告显示该外部依赖的故障可能持续较长时间；证券公司自身的监控显示与外部依赖相关的连接状态异常，且不是自身网络问题。证券公司可自行执行的保护动作：客户告知：通过App推送、短信、客服语音提示等渠道，告知客户“某外部依赖暂时不可用，建议使用替代通道（如公司自有App、电话委托）”。告知的内容不猜测故障原因，只说明可用状态和替代路径。替代通道引导：如果证券公司自有交易通道可用，将客户引导至自有通道；如果所有通道均依赖同一外部节点，告知客户“当前无法交易”并记录受影响客户的诉求。受影响委托的标记：对因外部依赖故障而无法提交或状态不明的委托，在系统中标记“外部依赖故障期间受理，状态待确认”，为后续对账和处理留下依据。不将“对方确认”作为自身行动的前提：外部系统的恢复节奏不由证券公司控制，但客户的交易需求和投诉不会等待。在等待中不做任何客户告知和替代引导，等于让客户在不知情中反复尝试和失败，把外部故障的后果完全转化为对证券公司的信任损失。规则九：交易恢复不等于客户恢复，不等于合规恢复证券系统故障的“恢复”至少有三个层次，逐层递进，不可跳过。第一层：技术恢复——系统可以访问，客户可以下单，行情在跳动。这是最容易观测到的，也是最容易被认为是“结束了”的层次。第二层：客户恢复——故障期间受影响的客户，其订单状态、持仓、资金已经过对账并得到确认；因故障产生的错失交易机会或异常成交，已经过识别、记录和必要的沟通/处理。客户不再处于“不知道自己的委托到底怎么了”的状态。第三层：合规恢复——事件报告、总结报告、监管沟通已经按要求完成；故障原因已经查明（或已给出初步原因并承诺补充）；暴露的隐患已经进入整改台账；如果需要，客户投诉的处理和补偿已经启动。收尾动作清单：订单与持仓对账闭环：按规则四的四类状态逐笔完成对账，确认没有遗留的“状态不明”订单。对“已成未报”的客户，确认其已知悉实际成交情况。资金核对：故障期间的冻结资金、已成交未交收的资金、撤单后的解冻，逐项核对。客户沟通与投诉处理：对因故障遭受实际损失的客户（如无法撤单导致的损失、行情中断期间的错误决策），按预置的流程记录和评估，不承诺未经授权的补偿，但不回避客户的诉求。富途证券在2021年宕机后“根据具体情况沟通对应的补偿方案”的做法，其价值不在于补偿本身，而在于承认影响并建立沟通渠道。证据保全与原因查明：在恢复过程中保全的日志、内存、连接状态，用于原因分析。原因未查明的，不在总结报告中写“已查明”；应写“初步原因为X，正在进一步排查”，并按监管要求提交补充报告。整改事项：将暴露的隐患（灾备验证不足、外部依赖单点、订单状态对账流程缺失、报告流程卡点）转入整改台账，明确责任人、时限和验证方式。三、标准版：有专职技术团队、多交易系统和灾备能力的证券公司/期货公司标准版适用于：设有专职信息技术团队和7×24小时运维监控、拥有集中交易系统和网上交易/App系统、建有同城或异地灾备、客户规模达到监管分级中“10万人以上”或“100万人以上”量级的证券公司或期货公司。标准版的核心能力不是“不出故障”，而是在盘中故障的分钟级压力下，能做出有依据的分层恢复、状态对账和报告决策。3.1组织与职责角色职责关键时限运维监控岗确认告警真实性，判断故障域是否可界定，按规则一判断交易时段位置，给出初始响应建议首批告警确认后5分钟内完成交易时段位置和故障域初步判断应急指挥人（或授权决策人）批准响应级别和升级，批准隔离/分层恢复/灾备切换/限制性交易，批准交易所沟通和监管报告口径接到建议后10分钟内做出首次决策（盘中场景下时间窗口更紧）；每次重新评估后5分钟内判断是否调整交易系统处置组故障域隔离、分层恢复执行、订单状态对账的组织和技术支撑接指令后立即执行；对账进度按预置间隔报告订单状态对账组（交易/清算/运营联合）按规则四的四类状态，以交易所和登记结算数据为权威来源，逐类对账在开放新交易权限前完成对应对账；盘中场景下按“已成未报”优先的顺序推进灾备切换评估组验证灾备的实时健康状态和数据同步缺口，给出“切换/不切换”的建议及依据接到指令后15分钟内给出首次评估（盘中场景下压缩至5分钟内给出初步判断）交易所/外部协调岗与交易所、登记结算、行情源、第三方终端供应商沟通，不以对方确认为自身行动前提；按规则八的信号判断是否启动客户告知和替代引导接到事件通知后立即启动；满足规则八信号时不迟于15分钟启动客户告知准备信息报告岗按规则七的时限完成证监会及派出机构的报告，信息更新时主动更正不因“原因未查明”延迟首次报告；“可能构成事件”即报告3.2初始定级操作卡（含交易时段与系统类别叠加）第一步：定位交易时段在定级记录中首先注明：故障发现时间、距离最近的开市/收市节点还有多少分钟、当前处于开市前/连续竞价/午间休市/收盘后。这个信息决定了后续处置的紧迫性等级和可选路径。第二步：识别系统类别和故障域可界定程度信号系统类别初步判断故障域初始响应级别建议（盘中）集中交易系统全部客户无法下单/撤单五类或四类系统（视客户规模）待确认最高级别响应，同时启动灾备切换评估和分层恢复准备部分节点/部分客户无法交易，其他正常五类或四类系统可界定（节点/地域边界清晰）高级别响应，优先隔离故障节点、恢复正常节点，同时排查下单可提交但成交回报延迟/缺失五类或四类系统待确认（可能涉及交易所网关或回报链路）高级别响应，暂停新开仓（或限制为只允许撤单），优先排查回报链路行情中断/严重延迟，交易通道正常视行情系统类别可界定（行情源）中高级别响应，评估是否暂停依赖实时行情的业务类型，启动替代行情源第三方交易终端无法登录，自有通道正常不直接对应自身系统类别可界定（第三方）中等级别响应，按规则八启动客户告知和替代引导，监控自有通道负载第三步：报告与权限启动：按初始响应级别启动对应权限，同时按规则七的时限报告。“可能构成事件”即触发报告，不等待分钟数走完阈值。3.3分场景先期处置卡（含失败支路）场景A：盘中集中交易系统部分中断（部分客户/节点无法交易）0~5分钟：确认故障边界：是特定交易节点、特定客户群体、还是特定业务类型（如市价单不行、限价单可以）。边界清晰则按“可界定”路径处置；边界不清则按“不可界定”路径处置。如果边界清晰：隔离故障节点/客户群体，在隔离状态下确认正常部分的交易是否不受影响。不切断与交易所的连接，隔离作用于内部路径。同时启动订单状态对账的准备工作：提取故障期间该节点/客户群体的委托记录，与交易所侧数据做初步比对。5~15分钟：如果隔离后正常部分稳定，保持隔离，分层恢复：先确认查询和撤单对正常客户和故障客户的可用性，再确认正常客户的新开仓可用性。故障客户保持“查询+撤单”权限，新开仓等待对账。如果隔离后异常仍在扩散（新节点出现类似信号），停止隔离尝试，转入“故障域不可界定”路径：确认共享依赖（数据库/中间件/交易所网关/网络）状态，保全证据，报告应急指挥人，评估是否启动更高级别响应或灾备切换评估。按规则七启动报告：盘中故障从发现起算，立即报告，重大故障每30分钟续报。15~60分钟：订单状态对账组按“已成未报优先”的顺序推进对账。在“已成未报”对账完成前，不将故障客户的新开仓权限全面放开。灾备切换评估组持续验证灾备状态。如果故障在故障系统上可以通过分层恢复控制，且灾备验证未完成，“不切换”是合法选择，但必须设定复核时间点和恶化阈值（如“故障客户数增加”“正常部分也开始出现异常”）。失败支路A：隔离后正常部分也开始出现异常，故障扩散。识别信号：原本正常的节点或客户群体出现相同的故障特征。动作：停止“恢复”操作。故障扩散意味着根因可能在共享层（数据库、网络、交易所网关），继续在应用层恢复可能无效且浪费窗口。转入“故障域不可界定”路径：确认共享层状态，保全证据，立即报告应急指挥人和交易所，评估是否需要暂停受影响业务或申请交易所协助。不反复切换隔离方案。每次隔离操作都会改变系统状态，频繁变更会使故障的因果链更难分辨。失败支路B：灾备切换评估结论为“灾备可信”，但切换后状态对账发现缺口。识别信号：灾备系统启动后，抽样对账发现与交易所侧的状态差异（缺少订单、持仓不一致）。动作：不将灾备系统直接全面开放。保持灾备系统在限制性交易状态（查询、撤单可用；新开仓按客户或业务类型受限），先完成缺口补录（以交易所和登记结算数据为准），再逐步开放。切换后“先跑起来再对账”的代价，通常高于“先对账再开放”的短时限制。场景B：开市前故障（预计无法在开市前恢复）处置逻辑：倒计时管理：明确距离开市还有多少分钟。如果当前修复/切换的预计完成时间加上30%缓冲仍小于剩余时间，继续修复；否则同步启动“不可交易”预案。“不可交易”预案的内容：向交易所报告并沟通延期开市/暂停交易的可能性；准备客户告知口径（“因系统故障，今日开市时间可能延迟，请关注后续通知”）；准备替代渠道的引导（如电话委托是否可用）。如果修复在开市前“看起来好了”：不跳过状态验证。确认订单表干净（无故障期间的残留委托）、与交易所的连接正常、行情同步正常。在验证完成前，不开放交易。延迟几分钟开市（并告知客户）的代价，低于带着未验证状态开市的代价。场景C：行情中断/严重延迟，交易通道正常处置逻辑：判断哪些业务类型依赖实时行情（如市价单、止损单、依赖行情触发的条件单）。如果行情中断，这些业务类型继续开放可能使客户在无行情参考的情况下做出交易决策。评估是否暂停依赖实时行情的业务类型，保留限价单（客户自行定价，不依赖实时行情）等对行情依赖较低的业务。暂停的范围和依据必须记录。启动替代行情源（如备用行情供应商、交易所的备用行情通道），在替代源验证可用后恢复相关业务。按规则八，如果行情源是外部供应商且恢复时间不明，启动客户告知：“行情暂时中断，请谨慎交易或使用限价委托”。场景D：第三方交易终端故障，自有通道正常处置逻辑：按规则八的信号判据，如果第三方终端不可用且客户投诉集中，不等待第三方确认恢复时间，立即启动客户告知和替代通道引导（自有App、电话委托、营业部现场终端）。监控自有通道的负载：第三方终端的客户涌入自有通道，可能导致自有通道过载。如果自有通道负载接近容量上限，评估是否需要限流或引导客户错峰使用。记录受影响客户的诉求和因终端不可用可能产生的争议（如“因为登不上所以没来得及平仓”），为后续处理留存依据。3.4完整案例：盘中集中交易系统部分中断，涉及订单状态对账与灾备切换评估背景：某证券公司（有效客户数超过50万）在某交易日10:12发现，通过该公司集中交易系统某交易节点（节点C）接入的客户中，约30%出现“下单后无回报、无法确认是否成交”的情况；其他交易节点的客户交易正常。当时处于连续竞价时段，市场波动正常。该公司建有同城灾备中心，灾备设计目标为RTO<30秒、RPO=0，但最近一次与当前负载量级匹配的灾备切换演练在6个月前。初始判断与报告记录字段填写内容发现时间10:12交易时段位置连续竞价时段，距离午间休市约1小时18分钟，距离收盘约3小时48分钟故障域可界定：节点C的约30%客户“下单无回报”，节点A、B正常。回报链路异常的可能性大于交易链路异常初始响应级别最高级别响应（涉及交易中断/严重缓慢，集中交易系统）已采取措施10:15对节点C实施隔离：停止节点C的新委托提交，节点C客户保持查询和撤单权限；10:18向交易所报告“节点C回报异常，正在处置”；10:20启动订单状态对账准备决策人应急指挥人周先生处置过程与关键决策10:20~10:40：订单状态对账组提取节点C在10:00~10:15的委托记录，与交易所侧的委托确认和成交回报比对。初步发现：已成未报：约120笔委托在交易所侧已成交，但证券公司系统未记录成交回报；已报未成：约80笔委托在交易所侧“已受理未成交”，证券公司系统显示“已报”；状态不明：约40笔委托在证券公司系统显示“已提交”，但交易所侧无对应记录。10:35灾备切换评估：灾备切换评估组报告：灾备系统实时健康状态正常，RPO=0，但6个月前的演练场景与当前不同（当前是回报链路异常，演练场景是主系统完全宕机）；且灾备与交易所的回报链路是否共用同一路径尚需确认。应急指挥人做出暂不切换灾备的决策，理由记录：①故障域已界定在节点C的回报链路，节点A、B正常，灾备切换会使所有节点经历一次切换过程，引入新的不确定性；②灾备回报链路是否独立尚未确认，切换后可能继承同一故障；③节点C已隔离，正常部分未受影响，分层恢复和对账在现有系统上可以推进。复核时间点：11:00；恶化阈值：如果节点A或B出现回报异常，立即重新进入切换评估。10:40~11:20：对“已成未报”的120笔委托进行补录（以交易所成交数据为准），并通知相关客户“您的委托已成交，成交信息正在更新”。对“状态不明”的40笔委托，确认交易所侧无记录，按“未受理”处理，允许客户重新提交。在对账完成前，节点C客户的新开仓权限保持关闭。“不顺利”环节（11:05）：客户投诉开始集中出现，有客户反映“我想撤单，但撤单也撤不了”。检查发现，节点C的撤单通道与回报链路共用同一异常路径。这意味着“保持撤单权限”的隔离方案在执行层面并未完全生效。应急指挥人立即调整：临时将节点C客户的撤单请求路由至节点A的通道（如果技术上可行），如果不可行，则通过电话委托和营业部现场终端受理撤单，人工确认后由后台执行。同时向客户明确告知“撤单请通过电话或营业部现场办理”。11:20~11:50：回报链路异常定位为节点C与交易所网关之间的一个中间件组件故障，更换组件后回报恢复。在对“已成未报”补录完成、“状态不明”清理完成、“已报未成”的80笔委托与交易所侧确认一致后，节点C于11:50恢复新开仓权限。从故障发现到全面恢复，约1小时38分钟。全程按规则七每30分钟向监管续报。3.5案例关键变量讨论关键变量案例中的情形如果变量不同处置方式的变化故障域是否可界定可界定（节点C的回报链路）如果故障域不可界定（多个节点随机出现回报异常，无清晰边界）隔离策略失效（无法确定隔离哪里）。处置转入“确认共享依赖+保全证据”路径，同时灾备切换评估的紧迫性显著上升——在故障系统上无法分层恢复时，切换灾备成为更可行的选项。但切换的前提仍然是灾备回报链路独立且可验证灾备回报链路是否独立尚未确认，因此暂不切换如果确认灾备回报链路完全独立且灾备健康切换灾备的吸引力上升，可能更早进入实质切换评估。但切换后仍然需要抽样对账（规则五的补充），因为灾备可能缺少故障期间的数据。“链路独立”解决的是“切换后不再继承故障”，不解决“切换后状态是否完整”距午间休市的剩余时间约1小时18分钟，有对账时间如果故障发生在14:50（距收盘10分钟）对账的时间窗口极短，而“已成未报”的客户在收盘前不知道成交状态的风险更高。处置的重心可能转向优先恢复回报（哪怕牺牲部分新开仓），并准备收盘后的对账和次日开市前的客户沟通。尾盘故障的“时间压力”方向不同：不是“尽快恢复交易”，而是“尽快让客户知道成交状态”客户投诉是否集中在“撤单”是，撤单通道与回报链路共用异常路径如果客户投诉集中在“无法开仓”而非“无法撤单”对账的优先级从“已成未报”略微向“状态不明”倾斜——因为无法开仓的客户最关心的是“我的委托到底提交成功了没有”。投诉的内容反映了客户最需要确认的状态类别，可以用于指导对账的顺序四、简化版：人员精简、系统依赖第三方供应商的中小证券公司/分支机构简化版适用于：无专职大规模技术团队、集中交易系统或网上交易系统依赖第三方供应商（或上级机构统一提供）、灾备能力有限的中小证券公司、证券分支机构或期货公司营业部。简化版不追求精细的故障域界定和分层恢复编排，追求的是用一张清单快速决定“哪些操作必须停、哪些可以继续、什么时候必须求助和报告”。4.1红黄绿场景清单替代实时判断每季度更新一次。将本机构可能面临的故障场景按“处置权限和紧迫性”标注颜色。颜色场景特征故障期间的默认动作红（最高紧迫，立即上报）集中交易系统或网上交易系统全部客户无法交易；或盘中出现“已成未报”且范围不明；或交易所/登记结算接口中断影响开市立即报告上级技术部门和负责人，同时按规则七评估监管报告。不自行尝试重启核心系统或切换灾备（超出本层级能力）。保持客户告知准备黄（受限处置，上报+监控）部分客户/部分节点无法交易，其他正常；行情中断但交易通道正常；第三方终端故障但自有通道正常报告上级技术部门，在等待指导的同时：隔离可界定的故障部分（如停止故障节点的接入），引导客户使用可用通道，记录受影响客户和委托。不自行进行系统重启或参数修改绿（可自主处置）单一客户终端故障；查询功能异常但交易正常；非交易时段的一般性系统告警按常规运维流程处理，记录处置过程。不因“绿区”而跳过向客户的必要告知（如果客户可感知）4.2现场处置精简卡（可打印携带）发现交易系统异常后，按以下顺序，不跳步：报：向负责人/上级技术部门报告“什么系统、什么现象、影响多少客户、是否在交易时段”。不等待“查清楚”再报；盘中故障的监管报告从“发现”起算。判交易时段：现在距离开市/收市还有多少分钟？这个数字决定了后续动作的紧迫性。限制作业：如果故障可界定在特定节点/客户（如“只有某营业部的客户不行”），停止该节点的新委托接入（隔离），引导客户使用其他通道；如果故障不可界定，不自行隔离或重启，保持系统现状并保全日志，等待上级指导。记状态：对故障期间客户提交的委托，逐笔记录：客户、时间、委托内容、系统显示状态、客户是否已被告知“状态待确认”。这是后续对账和客户沟通的唯一依据。客户告知：通过可用渠道告知客户“某功能暂时不可用，请使用X通道，或等待通知”。不承诺恢复时间，不代客户做交易决策。4.3案例：分支机构现场交易终端故障的手工受理与状态记录背景：某证券营业部（无专职IT），盘中10:30发现现场交易终端全部无法登录，客户无法在营业部现场下单。该营业部的客户也可以通过公司App交易，App当时正常。处置过程：营业部负责人没有让员工反复尝试登录或自行重启终端，按精简卡执行：①报告上级技术部门和分公司，说明“现场终端全部无法登录，App正常，涉及现场客户约15人”；②引导现场客户使用公司App或电话委托进行交易，在营业部内张贴/口头告知替代方式；③对坚持要求通过营业部通道交易的客户，手工记录其交易需求（客户、时间、证券代码、方向、数量、价格），但不代客户在App上下单（避免因代操作产生责任不清），而是指导客户自行在App操作；④对因终端故障而无法及时交易的客户，记录其反映的情况（如“想在10:35买入某股票，因终端无法登录未成交”），为后续可能的客户沟通留存依据。终端于11:10恢复，营业部逐笔核对上午的客户记录，确认没有通过营业部通道产生的状态不明委托。五、微型版：10人以下无专职技术人员的证券营业部/服务点微型版适用于：10人以下、无专职技术人员、交易系统完全由上级机构或第三方提供、仅承担客户接待和现场引导职能的证券营业部、服务点或代理网点。微型组织不具备任何系统操作或状态判断能力。微型版的目标不是“维持交易”，而是在系统不可用时，不代客户做决定、不制造新的状态问题、并为客户和上级留下可追溯的记录。5.1核心原则：停报、引导、不代操作、留痕停报：发现交易终端或系统异常，停止尝试（不反复登录、不重启、不插拔网络设备），立即报告上级技术部门/分公司。引导：告知客户“当前通道不可用，建议使用[替代通道]”，不替客户做“等一等”或“换一种方式”的决定。客户自行选择。不代操作：不用自己的设备或账号代客户下单、撤单或查询。即使客户口头请求，也引导客户自行操作或通过官方客服渠道。代操作会使交易责任和状态归属变得不可追溯。留痕：记录异常发生时间、影响范围（哪些客户、哪些业务）、已告知客户的替代方式、客户反映的诉求（尤其是“因无法交易可能遭受损失”的陈述）。记录的目的不是承诺补偿，而是让后续处理有事实基础。5.2一张纸的处置卡你不操作系统，你只做以下四件事：停手：不反复登录、不重启终端、不插拔网线。报告：打电话给上级技术部门/分公司，说清楚“哪个系统/终端、什么现象、现在是否在交易时段、影响了多少客户”。引导：告诉客户可用的替代通道（如公司App、电话委托、其他营业部），让客户自己决定是否使用。记录：在纸上或备忘录记下：时间、客户（可脱敏记录）、业务需求、系统显示的错误、你告知了客户什么、客户说了什么（尤其是关于损失的陈述）。微型版唯一可能被授权的“操作”：如果上级明确指示“可以引导客户通过X方式办理”，且指示中说明了具体方式，按指示引导。任何需要你登录系统代替客户操作、或对客户的交易指令做出“能不能成交”“什么时候能好”判断的动作，都不在微型版的范围内。5.3案例：营业部交易终端中断的“不代客操作”处置背景：某证券营业部（5名员工），盘中交易终端突然无法登录。一位老年客户非常着急，要求营业部员工“用你们的电脑帮我卖掉，我不会用手机”。正确处置：员工没有用自己的账号或设备代客户下单。她做了三件事：①报告上级技术部门（“现场终端全部无法登录，App可用，有客户需要帮助”）；②对老年客户，指导其使用手机App（如果客户有）或告知其可以通过电话委托（如果公司提供），必要时帮助客户拨打客服电话，但不代替客户在电话中下达指令；③记录客户的需求（“客户要求卖出某股票，因终端故障未能通过营业部通道操作，已指导其使用App/电话委托”），并请客户确认记录内容。六、矛盾场景分析：证券系统故障中的真实两难6.1矛盾一：盘中“先恢复交易”与“先查根因”矛盾的表现：盘中系统异常，客户在等待，业务在损失。一种选择是先尝试恢复交易（重启、回滚、切换），让客户能下单；另一种选择是先查清根因，避免“恢复了但问题还在”。前者可能使状态更乱，后者可能错过交易窗口。矛盾的实质：这是“时间窗口的不可再生性”与“恢复动作可能扩大状态污染”之间的权衡。证券交易的每一分钟都在产生后果，但“恢复”如果建立在未查清的根因上，可能把局部问题扩散为全局问题。权衡建议：“恢复”和“查因”不是二选一，而是分层并行。对于可界定的故障域（如特定节点的回报链路异常），可以在隔离故障域的同时恢复正常部分的交易，查因在故障域内进行。对于不可界定的故障域，查因的优先级上升，因为“恢复什么”本身就不清楚。“先恢复”的对象应该是“不产生新状态”的功能：查询、撤单不产生新的成交，恢复它们的风险远低于恢复新开仓。在根因未查清时，优先恢复查询和撤单，新开仓保持限制，是兼顾时间压力和状态安全的路径。不以“客户在催”作为跳过状态验证的理由。客户的催促是真实的，但“让客户在一个状态不可信的系统上交易”产生的纠纷，通常比“让客户多等几分钟”更难处理。恢复的速度不应以牺牲状态可信度为代价。6.2矛盾二：灾备切换的“快”与“切换后状态不可信”矛盾的表现：灾备切换可以在较短时间内恢复交易能力，但灾备可能缺少故障期间的数据，切换后需要补录和对账。不切换，故障系统上的恢复可能更慢，但状态是连续的。矛盾的实质：这是“恢复速度”与“状态连续性”之间的权衡。灾备的设计目标是“快速接管”，但“接管”不等于“无损接管”。权衡建议：切换的决策依据是“灾备此刻是否可信”，不是“灾备是否存在”或“演练是否成功过”。如果灾备的数据同步缺口（RPO）和实时健康状态无法在盘中快速确认，切换的收益不确定，代价（双系统对账）确定。“不切换、在故障系统上分层恢复”是合法选择，前提是故障域可界定且分层恢复能控制风险。如果选择切换，切换后的第一动作不是“全面开放”，而是“抽样对账”。抽样通过后再扩大开放范围。“灾备切换成功”的判据是“状态一致”，不是“系统启动”。无论切换与否，决策记录必须包含“放弃了什么”。选择切换，记录放弃了“状态连续性”换取了“恢复速度”；选择不切换，记录放弃了“恢复速度”换取了“状态可控”。没有记录的决策，在复盘时无法被检验。6.3矛盾三：故障期间“手工接单”与“状态一致性”矛盾的表现：系统不可用时，客户仍然有交易需求。手工接单（电话委托、纸质记录）可以维持部分服务，但手工记录的订单在系统恢复后补录时，可能与系统内的残留状态或市场价格变化产生冲突。矛盾的实质：这是“服务连续性”与“订单状态可追溯性”之间的权衡。手工接单的订单在故障期间的市场价格可能与恢复后的价格不同，客户可能对成交价格产生争议。权衡建议：手工接单只适用于“不依赖系统实时状态”的业务类型。例如，接收客户的撤单请求（记录“客户要求撤销某委托”）是相对安全的，因为撤单不产生新的成交；接收新开仓委托的风险高，因为需要确认资金/持仓、需要与市场价格匹配，手工记录难以保证这些条件在补录时仍然成立。如果必须手工接收新开仓委托：记录客户的明确指令（代码、方向、数量、价格类型、有效期），并向客户说明“该委托将在系统恢复后提交，成交价格以实际提交时的市场情况为准”。不承诺“会以你刚才看到的价格成交”。手工记录必须有唯一编号和客户确认。没有客户确认的手工记录，在后续争议中无法作为依据。6.4矛盾四：行情/交易中断时“继续开市”与“申请临时停牌/暂停交易”矛盾的表现：当证券公司的系统故障影响到大量客户的交易能力时，市场本身可能仍在正常运行。一种选择是让能交易的客户继续交易，另一种选择是申请暂停交易或临时停牌，以保护无法交易的客户不因信息不对称或流动性缺失而受损。矛盾的实质：这是“市场连续性”与“公平性”之间的权衡。继续开市使能交易的参与者保持市场功能，但无法交易的客户可能因无法及时操作而受损；暂停交易保护了无法交易者，但中断了市场功能，且“暂停”的决策权和适用范围不完全在证券公司手中。权衡建议：申请暂停交易/临时停牌的决策，不是证券公司单方面可以做出的。它需要与交易所沟通，由交易所根据规则决定。证券公司的角色是及时、准确地向交易所报告故障的影响范围和预计持续时间，使交易所有信息做出判断。在交易所未暂停交易期间，证券公司的责任是“让无法交易的客户知情”：通过客户告知说明“当前某通道不可用，市场仍在交易，请您知悉无法通过该通道操作的风险”。知情后的客户自行承担其交易决策的后果，不知情的客户则可能产生合理的投诉。不将“申请暂停”作为首选或唯一选项。在故障域可界定、部分客户仍可交易的情况下，申请全市场暂停的代价可能远超保护范围。优先通过分层恢复和替代通道引导来减少无法交易的客户数量，暂停交易是在影响范围足够大且无法通过其他手段缓解时的最后选项。七、演练、证据链与整改闭环7.1演练频次、形式与“交易时段窗口”科目监管底线：证券基金经营机构应当根据应急预案定期组织关键岗位人员开展应急演练，演练频率不低于每年一次，并确保应急演练在两年内覆盖全部重要信息系统；应急演练应当形成报告，保存期限不得少于五年。核心机构应当组织与信息系统和网络通信设施相关联主体开展网络安全应急演练，每年至少一次，并于演练后15个工作日内报告证监会。“交易时段窗口”科目的设计要点：演练场景必须包含“盘中故障”，而不仅是“非交易时段系统宕机”。非交易时段的恢复演练检验的是“技术恢复能力”，盘中故障演练检验的是“时间压力下的顺序判断和状态对账能力”。两者不可互相替代。注入“不顺利”环节：灾备的数据同步缺口、订单状态对账发现“已成未报”、外部依赖（交易所网关/第三方终端）同时异常、客户投诉集中爆发。观察参与者是否按规则三（故障域判断）、规则四（订单对账）、规则五（灾备切换前提）和规则六（停止线）处理。评估重点不是“恢复用时”。恢复用时受故障复杂度和演练设置影响，不同场景之间不可比。评估的重点应是：是否在故障域不可界定时停止了贸然隔离；是否在对账完成前限制了新开仓；灾备切换前是否验证了状态可信度；报告是否在“可能构成事件”时即启动，而非等待分钟数走完阈值。7.2证据链台账的最低要求每次真实故障处置和演练，应形成并归档：发现与初始判断记录：发现时间、交易时段位置、故障域可界定程度、初始响应级别及依据；报告记录：证监会及派出机构的报告时间、内容、续报记录、后续更正；隔离与恢复决策记录：隔离的范围和依据、分层恢复的顺序和依据、灾备切换的评估结论和“切换/不切换”的理由；订单状态对账记录：四类状态（已报未成/已成未报/部成待撤/状态不明）的逐类对账结果，以交易所/登记结算数据为权威来源的比对记录；证据保全记录：故障期间的日志、内存、连接状态的保全方式和位置（不以“恢复”为由删除）；客户影响记录：受影响客户范围、客户投诉内容、客户告知的时间和内容、替代通道引导的记录；整改事项：暴露的隐患（灾备验证不足、外部依赖单点、对账流程缺失、报告流程卡点），责任人、时限、验证方式。证据链的功能：监管对证券系统故障的追责，不仅看“故障是否发生”，还看“报告是否准确、处置是否按预案、证据是否保全”。德邦证券的罚单将“事件报告信息不准确”和“未严格按照应急预案处置流程”作为独立的违规事由列出。华金期货的罚单将“未妥善保护事件现场和相关证据”导致“无法确定真实原因”作为处罚依据。没有台账，即使故障本身有客观原因，处置过程中的合规缺陷仍然独立成立。7.3整改闭环的操作方法整改事项必须同时包含对象、时限、验证方式。不合格写法合格写法差别“加强灾备切换能力”“在X月X日前，完成一次盘中时段、与当前客户规模匹配的灾备切换演练，验证灾备与交易所回报链路的独立性、数据同步缺口（RPO）的补录方案；演练后记录切换后抽样对账的通过率”合格写法指向盘中场景、独立链路验证和抽样对账的可测量结果“完善订单状态对账”“在X月X日前，明确‘已成未报’的发现机制（监控规则）和补录流程（以交易所数据为准），并在下一次演练中注入‘已成未报120笔’场景，测量从故障发现到对账完成的时间”合格写法有可注入的场景和可测量的时间“提升报告及时性”“在X月X日前，将‘可能构成网络安全事件’的判定标准转化为值班人员的可执行清单（哪些信号触发报告），并测量从信号出现到首次报告发出的时间；对超时的环节，修正内部审批链或预授权规则”合格写法针对证券报告的真实难点——在分钟数走完阈值之前报告“可能构成”的事件八、常见误判与纠正误判一：以“还没到分级阈值”为由延迟响应和报告。分级阈值是事后定级的依据，不是先期响应的启动条件。纠正：按规则一的初始判据和规则七的“可能构成即报告”启动响应和报告，不等待分钟数走完阈值。误判二：把“系统恢复登录”当作恢复完成，直接全面开放交易。订单状态可能尚未对账，“已成未报”和“状态不明”的委托仍然存在。纠正：按规则四逐类对账，分层恢复，状态未对账前限制新开仓。误判三：灾备“能用”就切换，不验证状态可信度。灾备可能缺少故障期间的数据，切换后状态与交易所侧不一致。纠正：按规则五验证灾备的实时健康、数据同步缺口和链路独立性，切换后先抽样对账再扩大开放。误判四：外部依赖故障只“协调”不行动。故障