兜町システム王国の興亡
1円の朝と、鐘が鳴らなかった日
この記事は、東京証券取引所の売買システムをめぐる2つの大事件——2005年のジェイコム株大量誤発注事件と、2020年の史上初「終日全銘柄売買停止」——を軸に、日本の株式市場がシステムとともに歩んだ興亡を、歴史書体裁のブラックコメディとして描いたものである。年月日・金額・判決内容はすべて公式発表と報道記事から取ったが、章題や皮肉めいた語り口はフィクション的である旨、あらかじめ断っておく。
拍手で閉じた立会場
1.1 兜町という国号
東京・日本橋兜町（かぶとちょう）。東京証券取引所が建つこの一角は、1878年の東京株式取引所の設立以来、日本の証券市場の代名詞であり続けてきた。ニューヨークの「ウォール街」に対する、日本の「兜町」である。
1.2 1999年4月30日、市場は人の声を失った
その兜町の風景が変わったのは、1999年4月30日である。この日、東証は立会場を閉鎖した。1世紀あまり続いた「人が声と手で売買する市場」は拍手とともに幕を下ろし、すべての注文はコンピュータシステムの中で突き合わされることになった。
市場は、人の声を失った。かわりに、人間には聞こえない速度で動く沈黙を手に入れた。
王国は、この沈黙を「進歩」と呼んだ。実際、進歩だった。ただしこのとき王国は、まだ知らなかった。立会場から人がいなくなるということは、「何かおかしいぞ」と叫ぶ人間も、そこからいなくなるということだった。
予兆——止まった午前
2.1 2005年11月1日、開かなかった朝
2005年11月1日の朝、王国は開かなかった。
売買システムの不具合により、東証の全銘柄が朝から売買できなくなったのである。原因は、前月に行われたシステムの能力増強作業に潜んでいた不具合だった。売買が再開されたのは午後になってからで、王国は「取引所が丸ごと止まる」という経験を初めてした。
2.2 「半日で直った」という安心
このとき、王国の民の多くはこう考えた。「まあ、こういうこともある。半日で直ったのだから大したものだ」と。
本当の事件は、その37日後に来た。
1円で61万株を売った朝
3.1 9時27分56秒の入力
2005年12月8日、午前9時27分56秒。
みずほ証券の担当者は、この日マザーズ市場に新規上場した人材サービス会社「ジェイコム」の株を、顧客の注文どおり「61万円で1株」売るつもりだった。
端末に打ち込まれたのは、「1円で61万株」だった。
61万株。それはジェイコムの発行済株式数1万4,500株の約42倍である。この世に存在しない株を、存在しない量だけ、1円で売る注文だった。端末には警告が表示されたが、注文は市場に放たれた。
3.2 取り消せない注文
誤りに気づいたみずほ証券は、直ちに取消注文を出した。ところが、東証の売買システムはこれを受け付けなかった。特定の条件下で取消処理が機能しないプログラム上の不具合——のちの裁判で認定される「バグ」——が、システムの中で6年間、誰にも気づかれずに眠っていたのである。
取消は、何度執行しても効かなかった。注文は生き続け、最終的に発行済株式数の約48倍にあたる70万株の売買が成立した。
3.3 解け合いと407億円
存在しない株が売買されてしまった以上、通常の決済は不可能である。日本証券クリアリング機構は「解け合い」による強制決済を裁定し、1株91万2,000円での現金決済となった。みずほ証券の損失は、407億円にのぼった。
なお、この混乱の中で誤発注に乗じて売買し、約20億円の利益を得た当時27歳の個人投資家がいた。ハンドルネームから「B・N・F」、報道では「ジェイコム男」と呼ばれ、この事件を象徴する人物のひとりとなった。
10年裁判——バグは罪か、判断は罪か
4.1 約414億円の請求
407億円は、誰が払うべきなのか。
みずほ証券は「取消注文を受け付けなかった東証のシステムに原因がある」として、2006年10月27日、東証を相手取り訴訟費用を含む約414億円の損害賠償を求めて東京地裁に提訴した。誤発注をしたのは自分たちだが、取り消せなかったのはそちらのせいだ、という理屈である。
2009年12月4日、東京地裁は東証に約107億円の支払いを命じた。過失割合は「東証7対みずほ3」。誤発注そのものはみずほの過失だが、異常な売買が成立し続けているのに売買停止の措置を取らなかった東証の責任の方が重い、という判断だった。
4.2 バグは重過失ではない
興味深いのは、裁判所が「バグそのものは重過失ではない」と判断したことである。プログラムに誤りが混入すること自体は、注意していても避けきれない。しかし、目の前で異常事態が進行しているのに市場を止めなかった人間の判断の遅れは、重過失である——。
2015年9月3日、最高裁が双方の上告を退け、東証の約107億円の賠償が確定した。事件から、実に10年が経っていた。
光速の王国——arrowheadの時代
5.1 2ミリ秒の世界
誤発注事件の反省も踏まえ、東証は売買システムを根本から作り直した。2010年1月4日、新システムが稼働する。名を「arrowhead（アローヘッド）」といった。
arrowheadの登場で、王国の風景はまた変わった。ミリ秒単位の売買が可能になったことで、HFT（High Frequency Trading：高頻度取引。コンピュータのプログラムが人間を介さず、1秒間に何千回という単位で自動的に売買を繰り返す取引手法）が市場の主役に躍り出たのである。
立会場の場立ちが消えてから11年。今度は、注文を出す側からも人間が消え始めた。王国の売買の過半は、機械と機械の対話になった。
5.2 それでも「切り替わらない」
しかし、速くなった王国にも、古い呪いは残っていた。
2012年2月2日、相場情報を配信するサーバーが故障し、待機系への切り替えに失敗。株式222銘柄、ETF（上場投資信託）12銘柄などを含む241銘柄が半日売買停止となった。2018年10月9日には、証券会社側の設定ミスで同一のIPアドレス（ネットワーク上の住所）から大量の電文が流れ込み、平時の1,000倍の負荷で接続回線の1本がダウンした。
装置が壊れることは、想定されていた。壊れたときに「自動で切り替わるはず」の仕組みが切り替わらないことは、想定の外にあった。
鐘が鳴らなかった日——2020年10月1日
6.1 午前7時4分の故障
2020年10月1日、午前7時4分ごろ。
取引開始のおよそ2時間前、arrowheadの中枢で異変が起きた。相場情報などを共有する「共有ディスク装置」の1号機で、メモリ周辺の機器が故障したのである。
装置は2台構成だった。1号機が壊れたら、2号機へ自動で切り替わる——はずだった。切り替わらなかった。装置の設定値が、メーカーである富士通のマニュアルの記載から想定される挙動と異なっており、自動切替が働かない状態になっていたのである。マニュアルの記載は実機の仕様変更に追随しておらず、東証側のテストでもこの穴は検出できていなかった。
6.2 止まった王国に、再開の手順書はなかった
相場情報が配信できないまま、午前9時が来た。取引開始の時刻に、取引が始まらなかった。東証は全銘柄の売買停止を決定し、そのまま一度も再開できずに1日が終わった。1999年のシステム化以降、史上初の「終日全銘柄売買停止」である。東証のシステムを利用する名古屋・札幌・福岡の各証券取引所も、連鎖して止まった。
王国が積み上げてきた「止まらない」という誇りは、この日、装置1台ぶんの設定値とともに崩れた。しかも王国には、「止まった市場を当日中にどう再開するか」の明確なルールが存在しなかった。止まらない前提の王国に、止まった日の手順書はなかったのである。
称賛された謝罪会見
7.1 神対応と呼ばれた夕方
その日の夕方、東証は記者会見を開いた。宮原幸一郎社長、日本取引所グループ（JPX：東証などを傘下に持つ持株会社）の横山隆介CIO（Chief Information Officer：最高情報責任者）らが登壇した。
異例だったのは、その会見の「評判」である。宮原社長らが経営判断を、横山CIOが技術面を説明する役割分担が明確で、CIOは記者からの技術的な質問に、専門用語をかみ砕きながら理路整然と即答した。SNSやIT業界では「神対応」とまで呼ばれ、謝罪会見が称賛されるという、日本の企業史でも珍しい光景が生まれた。
7.2 別々の帳簿
障害の翌日、10月2日に売買は再開された。技術的な収拾は、迅速だったと言ってよい。
しかし、帳簿はそれで閉じなかった。2020年11月30日、金融庁は東証とJPXに対し、金融商品取引法に基づく業務改善命令を出した。そして同じ日、宮原社長は引責辞任した。
「止めない」から「戻れる」へ
8.1 レジリエンスへの改宗
2020年の障害後、東証は市場関係者を集めた「再発防止策検討協議会」を設置し、2021年3月に報告書をまとめた。そこで打ち出された方針転換は、王国の思想史における静かな革命だった。
「決して止めない」を目指すのを、やめたのである。
正確に言えば、止まらない努力は続ける。しかしそれ以上に、「止まっても速やかに再開できること」——レジリエンス（resilience：回復力・復元力）——を設計の中心に据えた。障害時に売買をどう再開するかのルールを、証券会社を巻き込んで事前に整備した。止まった日の手順書を、止まる前に書いたのである。
8.2 arrowhead4.0
2024年11月5日には、この思想を織り込んだ第4世代システム「arrowhead4.0」が稼働した。取引情報をメモリ上で三重化して複数サーバで並行動作させ、障害時には秒単位でサーバを切り替える。あわせて取引終了時刻は70年ぶりに延長され、王国の1日は15時30分までになった。
1日およそ5兆円が行き交う王国は、いまもミリ秒より速い沈黙の中で開き続けている。
誰も悪くない王国だった
9.1 悪人のいない歴史
この王国の歴史を振り返って不思議なのは、悪人がひとりも出てこないことである。
誤発注をした担当者は、故意ではなかった。毎日何十回と表示される警告は、毎日何十回と「問題ない」ことを確認するための儀式になっており、その儀式は事件の朝も、いつもどおり執り行われただけだった。
取消を受け付けなかったバグは、6年前から静かに眠っていた。テストで見つからなかったのは、誰かが手を抜いたからではない。「発行済株式数の42倍を1円で売る」という事態を想定したテストケースを書ける人間が、いなかっただけである。
2020年の設定値も同じだ。現場はマニュアルどおりに設定した。マニュアルの方が実機に追いついていなかった。マニュアルを疑ってテストせよ、と言うのは簡単だが、マニュアルを疑い始めたシステム運用は、聖典を疑い始めた教団と同じで、どこにも着地できない。
つまりこの王国は、全員がそれぞれの持ち場で、おおむね真面目に働いた朝に、止まったのである。
9.2 仕組みの強さと、人間の緊張感は反比例する
完璧に近い仕組みを作るほど、人はそれが完璧であることを前提に暮らし始める。警告は読み飛ばされ、切替装置は試されないまま年を取り、再開手順は「使う日が来ない書類」として書かれない。仕組みの強さと、人間の緊張感は、残酷なことに反比例する。
だからこの王国が最後にたどり着いた答え——「止まらないことを誇るのではなく、戻り方を先に決めておく」——は、システム設計の話でありながら、ほとんど人間についての洞察である。失敗を想定することは、敗北主義ではない。それは、人間が運用するものすべてに対する、最低限の礼儀なのだ。