程序Bug导致了天大的损失,要枪毙程序员吗?

  号外!号外!走过,路过,不要错过!日本 IT 业的狗血八卦继续独家放送啦!!

  2015 年 9 月 3 日,随着东京最高法院驳回瑞穗证券的上诉,维持二审的原判结果,一个长达 10 年的诉讼终于画下了句号。这个判例将对 IT 行业产生深远的影响:如果程序的 bug 导致了巨大的经济损失,应该由谁来承担?用户?运营商?还是系统开发商?

  bug:计算机程序里的错误

  今天故事的主角是,瑞穗(みずほ)证券,东京证券交易所(下文简称东证),和富士通。

  各位富士通的同学,雷子真的不是富士通黑啊。你们公司行业内第一,项目多,所以卦点就多啊!要是又一次伤害了你们的感情,看下图能原谅我不……

  嗯,该说的也都说过了,下面正式开始。

 (一)瑞穗证券的乌龙指事件

  如果时光能够倒流,让瑞穗证券的交易员田中君(化名)穿越回 2005 年 12 月 8 日东证开盘前的那几分钟,田中君会不会选择把自己那根乌龙指给掰断呢?

  乌龙指(fat finger):是指股票交易员、操盘手、股民在交易的时候,不小心敲错了价格、数量、买卖方向等。

  正是由于田中君的一次错误输入,让他所在的瑞穗证券遭受了超过 400 亿日元的天价损失。虽然日元那面额画得跟冥币似的,400 亿日元也还是相当值些银子滴(按照当时的汇率,约为人民币 27 亿元)。

  这天,是日本公司J-Com 首次公开上市(IPO)的日子。上午9:27,距离开盘还有几分钟。田中君接到一位客户的委托:“以 61 万日元的价格,卖出 1 股J-Com 的股票”。田中君接到委托后,在瑞穗证券的交易终端上,错误地输入了“以每股 1 日元的价格,卖出 61 万股”。

  指令发出后,瑞穗证券的交易软件检查到这是一个异常的交易订单,给出了一个警告的对话框。可是,像瑞穗证券交易员这种级别的操盘手,玩的就是不按套路出牌,每天这种警告对话框见得太多了好么。田中君甚至都没有好好读一下对话框里的内容,就按下了确定按钮。于是,这个巨大的卖单就挂在了东证的交易盘口上。

  2 分钟后,田中君发现了这个错误,赶紧试图通过交易软件撤销这笔卖单。可是连续输入 3 次撤单指令,都被东证的交易系统拒绝了(后来查明是由于交易系统的 bug 所致)。

  田中君又迅速给交易所的负责人打电话,要求将这个卖单撤下。交易所的人表示:“我们无权操作,这个问题只能你们自己想办法”。

  这时盘口交易已经开始。这个巨大的卖单首先将开盘价定在了 67.2 万日元,然后又依次将所有买单成交,最终将J-Com 的股价钉死在跌停价 57.2 万日元上。(与天朝不同,日本的涨跌停价并不是严格的按照 10% 来计算,而是根据开盘价确定出一个整数的价格范围)

  此刻市场内一片大乱。散户们被这个巨大空单吓得惊慌失措,以为J-Com 公司出了什么问题,纷纷跟风抛售。而一些机构和大户已经猜到是出了乌龙指,迅速在跌停价买进。一些有节操的机构,例如德意志证券,买了几手后觉得实在是太不厚道,自觉停止了抢购。而大部分机构纷纷表示:节操才多少钱一斤,有便宜不占王八蛋啊!抢得不亦乐乎。

  可能有同学不太懂股票交易,大概就是下面这种赶脚。

  本来,客户的委托是下面这样的……

  然而,手残的田中君把数字输入错了……

  但是,股票价格有涨跌幅限制。所以页面发布以后,系统又自动把价格改成了下面这样……

  就算是 57 万,也是非常便宜了好么!大妈,不,大户们迅速围观,争相爆买……

  在股市这个游戏规则里,只要你卖出的股票有人接了,那成交后就必须把货交给买家才行。可是,J-Com 的股票一共才发行了 14000 多股,大部分还由公司高管持有,真正在市场上流通的也就 3000 多股。61 万股,让瑞穗上哪里去弄?总不能自己在家里画啊!

  没有办法,瑞穗证券只好发出了反向买入的决定,开始和其他人一起抢购筹码。这样一来,J-Com 的股价又被拉高到涨停价 77.2 万日元,一直持续到当天的交易结束。在当天的交易中,瑞穗证券一共损失了约 270 亿日元。

  受到影响的不仅仅是J-Com 的股价。瑞穗证券直到当天收盘后,才向外界披露了这一乌龙指事件。而在当天的交易过程中,市场上已经有传闻,一家证券公司搞出了乌龙指,将有重大亏损。由于不知道是哪家券商出了问题,所有券商股票都惨遭抛售。

  这下证券公司都哭了,纷纷发表声明:股东老爷们,真的和我没关系啊……然并卵。其中最惨的是J-Com 上市的主要发行商——日兴证券,股价一度狂跌了8%。而这股不安情绪也影响了所有投资者。当天收盘时,日经指数大跌了 301 点。

 (二)事后收场

  首先是成交单的交割问题。不存在的股票怎么交割啊?虽然瑞穗证券通过回购,抢回了大部分的卖单,但还是有 9 万多股被其他机构和散户买走了。根据规则,瑞穗必须在 3 天之内交货(日本的交割日是T+3)。前面说过,市场上一共才流通了 3000 多股J-Com 的股票,这 9 万多股真是逼死瑞穗证券也拿不出来啊。

  最后经过协商,买卖双方同意用现金来结算。清算的价格定在了每股 91 万日元——这是瑞穗证券敲下乌龙指前一刻的股票价格。这次现金交割又让瑞穗证券雪上加霜,损失扩大到 400 多亿。

  至于当事人田中君,似乎并没有受到太严厉的惩罚。瑞穗证券至今也没有公布当事人的真实姓名,只知道是一名男性证券经纪人。事件发生时,正赶上日本公司要发年终奖。就因为田中君的一个错误操作,一下子把公司一整年的利润都给干掉了,让瑞穗证券所有员工的年终奖都泡了汤。有传闻,田中君成了瑞穗证券里“最讨厌的人排行榜”的 No.1。

  那些趁火打劫的机构大户也受到了指责。事后查明,共有 22 家机构在此次乌龙指事件中获利。其中瑞士银行,摩根斯坦利,日兴证券,雷曼兄弟,瑞士信贷,野村证券这六家机构,从这次事件中一共瓜分了 168 亿,占瑞穗证券损失的 40% 还多。

  尽管这钱来的不太光彩,可毕竟是按照市场规则赚来的,所以金融监管部门只能从道德层面对这些公司进行谴责而已。有人提议,让这些公司把赚到的钱吐出来。这些公司表示:这样做,等于把公司的利润白白送给别人,没法向自己的股东交代啊。

  后来在各方的调节下,一部分获利的证券公司同意把钱拿出来,成立一个保护投资者利益的基金,这是后话了。

  在这次事件中,东证交易所受到了最多的质疑。首先瑞穗证券在意识到错误挂单后,曾经多次发出取消的指令,但都被交易所的系统所拒绝,这显然不符合系统的交易规则。其次,在瑞穗证券与东证负责人取得了联系的情况下,东证方面仍然放任这笔卖单继续执行,有监管不力之嫌。事后,东证社长鶴島琢夫引咎辞职。

  瑞穗证券方面认为,正是由于东证的过错,才让自己蒙受了 400 亿日元的损失。这个错误理应由东证来买单。东证的观点是:你自己乌龙指敲错了指令,凭啥赖在我身上?对此,瑞穗证券回击:取消交易指令发出之前的那段时间,产生的损失自己认了。但是还没成交的卖单为啥不让人家撤销?

  两个公司之间扯来扯去,也没把这个问题谈拢。于是,2006 年 9 月,瑞穗一纸诉状,把东证以及交易系统的开发商——富士通告上法庭。就这样,漫长的诉讼开始了。

 (三)法庭诉讼

  对于这个案件,事实已经很清楚了:由于交易所的系统 bug,在特定的条件下,会发生不能撤单的现象。经过详查得知,这个 bug 是富士通的技术人员在 2000 年某次程序修改时,不小心埋进去的。

  本来,程序修改后必须经过严格的回归测试,来验证对其他业务流程有没有影响。可是不仅富士通忽略了这个测试,东京证券交易所在系统验收测试(UAT)的时候,也疏忽了这方面的内容。结果,炸弹在这个时间点被引爆了。(下图是包含了 bug 的 cobol 代码)

  围绕着这个事实,第一个争论点是:东证和富士通,应该为瑞穗证券的损失负责吗?

  起初,东证还想耍赖,把错误全部推在富士通身上。东证主张:就算是交易系统的 bug 导致了瑞穗证券的损失,那也是富士通的错。因为我的系统需求里面,是明确规定了可以撤单的。富士通开发的程序没有符合我的需求,才导致了这样的结果。

  对于东证的这个主张,东京地方法院判定:这个系统的主要责任人是东证。富士通只是东证的系统供应商,属于连带责任人。无论是主要责任人还是连带责任人,如果被证明犯有重大过失,都应该做出赔偿。

  那么,程序的 bug 算是“重大过失”吗?这很难说。一个系统里有没有隐藏的 bug,是没法从理论上证明的。就算是测试再彻底,也会有测不到的 bug 流出来。所以在法律上,通常不会把所有因为 bug 导致的损失都归罪给程序开发商。否则的话,世界上最大的 bug 生产商——微软,早就赔得连内裤都不剩了。

  这就带出了本案第二个争论焦点:什么样的 bug 才算是“重大过失”?法院给出了判断的标准——这个 bug 是不是很容易被发现。

  于是,控辩双方都找来了由资深程序猿和攻城狮组成的砖家组,在法庭上撕成一团。

  穗瑞砖家组:卧槽,这个 bug 简直太明显了好么?连这个都测不粗来,请问贵司人员的编程,都是音乐老师教的吗?

  富士通砖家组:異議あり!这么复杂的条件组合,你特么能一下子就找出 bug 来啊!你们败吹牛逼了行不行!

  双方的砖家团吵来吵去,谁也说服不了谁,干脆,在法官面前开始 review 起程序代码来了。

  而此刻的法官,表情是很镇静的……

  但是在法官的心里,简直有一万匹草泥马奔腾而过啊!

  争辩到最后,一脸懵逼的法官表示:你们说得好像都挺有道理的……但是意见相反,所以也不能判定成容易发现…….富士通就不用赔了!

  最终,东京地方法院判定:程序 bug 并不能算是重大过失,由这部分导致的损失无需赔偿。但是,在瑞穗证券电话联络东证交易所后,东证未能履行中止异常交易的职责,属于重大过错方。另一方面,事情的起因是由于瑞穗证券的乌龙指,所以瑞穗证券也不能完全免责。从电话联络那个时间点以后产生的损失,由东证承担 70%,107 亿日元。

  瑞穗证券和东证都对这个审判结果表示不满,上诉到东京最高法院。2015 年 9 月 3 日,东京最高法院驳回上诉,维持原判结果。长达 10 年的诉讼终于尘埃落定。

 (四)深远影响

  看到这里,程序猿和攻城狮应该是松了一口气吧,终于不用为自己写的 bug 而买单了。

  但是且慢!根据这个判例,“bug 是否很容易被检测出来”这一点,将会成为今后类似诉讼的判断基准。一旦被判定成重大过失,程序猿们可真是欲哭无泪了。

  现在问题来了:身为程序猿,谁也不能保证自己的代码里没有 bug。该如何做,才能避免陷入到这种境地中呢?

  雷子觉得,既然无法从理论上证明程序里所有的 bug 都被检测出来,那么,一些行业内公认的指标,例如测试时的 case 密度,bug 密度等,很可能会成为测试是否充分的判断依据。(对,就算没有 bug 我们也要制造出来!)

  此外,bug 对应得是否充分,也会成为判断的重要基准。一个 bug 被发现后,有没有进行深刻的挖掘也是很重要的,即所谓的“横展開”。看到这个词,估计很多同行会做噩梦吧!这个话题很大,雷子今后另起文章和各位同行探讨。

  还有一点不要忘记,无论是测试结果也好,还是 bug 的对应结果也好,

  要留证据!

  要留证据!

  要留证据!

  重要的事情说三遍。

  本案也让东证认识到,旧交易系统的老朽化以及 bug 过多等缺陷。随着近年来程序化交易的盛行,旧系统已经越来越无法满足现代证券交易的需要。比起伦敦和纽约等地的证券交易所来,当时东证系统的响应时间要慢 100 倍啊。

  以瑞穗证券乌龙指事件为契机,导出了 2010 年金融行业的重大项目——东证次世代的交易系统“arrowhead”的构建。这个新系统,依然由富士通负责开发。

  法庭上撕得面(ji)红(chi)耳(bai)赤(lian),回过头来该干啥干啥——东证和富士通,还真是一对好基友啊!

  本文一部分图片来自网络

回到

顶部