2010年闪崩事件：一个抛售算法如何引发高频交易的死亡螺旋

这不是一次临时起意的恐慌性平仓，而是一项预先设计好的执行计划。问题在于，程序被赋予了一个非常明确的成交量目标，却没有同步设置足够的价格约束。它要做的不是判断市场是否还能承受卖压，而是根据前一分钟的成交量，计算自己下一分钟应该卖出多少。

目标是：每一分钟参与市场成交量的9%。

在正常市场里，按成交量参与的执行算法有其合理性。大额订单如果一次性全部打进市场，往往会迅速推高冲击成本，也会让其他交易者察觉到资金动向。将订单拆分，按照市场当时的成交节奏逐步执行，可以降低单笔订单对价格的直接冲击。

但任何执行算法都有一个前提：市场的流动性必须足够稳定，历史成交量必须仍然能够代表当前的承接能力。一旦市场进入快速下跌状态，成交量本身就可能变成危险的反馈信号。成交越多，程序越认为市场能够继续承接；程序卖得越多，成交量和卖压又越大。

那天下午，市场就是从这里开始失去平衡的。

道琼斯工业平均指数随后出现日内接近千点的剧烈下跌，最低点出现在约14点47分前后。标普500指数、纳斯达克指数和大量个股同时承受冲击。部分证券的成交价格一度明显偏离闪崩前一分钟的参考价，极端情况下，偏离幅度超过60%。短短几十分钟内，原本仍能运转的市场撮合机制，被一连串相互强化的自动化行为推入了流动性真空。

这并不是一个简单的故事：某个坏算法按下按钮，市场便立刻崩溃。更准确的说法是，一套缺少价格保护的卖出逻辑，撞上了高频交易策略、跨市场套利、做市商撤单和交易所机制之间的多个脆弱环节。每个参与者都在执行局部上看似合理的动作，最后却共同构成了一条向下加速的链条。

失控的执行逻辑：当算法只懂“量”，不懂“价”

Waddell & Reed在那一天使用的，并不能简单归类为某种VWAP衍生算法。更准确地说，它是一套按市场成交量参与的自动化执行算法：程序持续观察市场成交量，再按照预设的参与比例分批卖出目标头寸。

这个区别很重要。

成交量加权平均价格是一个价格基准或执行目标的概念；而按成交量参与，则更像是一种交易节奏控制方式。前者关注最终成交价格相对于市场成交分布的位置，后者关注订单在市场总成交量中的占比。两者在实际交易系统中可能结合使用，但不能因为程序参考了市场成交量，就直接把它称为VWAP的变体。

这套程序的出发点并不异常。大型基金需要处理期货头寸时，通常不会把所有订单集中在同一秒完成。拆分订单、控制参与率、避免过于明显地冲击盘口，都是常见的执行思路。真正危险的地方，在于执行逻辑把“完成多少订单”放在了“以什么价格成交”之前。

程序持续参考前一分钟的实际成交量，并据此决定下一分钟的卖出规模。市场越活跃，它能够卖出的数量就越大；而当市场下跌引发更多交易时，活跃本身又会被程序解释为更强的承接能力。

这里缺失的不是一个简单的按钮，而是一整套对异常状态的判断：

• 当价格在很短时间内快速偏离基准时，是否降低参与率；
• 当买方深度急剧下降时，是否暂停或转为被动挂单；
• 当期货价格与现货市场出现异常背离时，是否重新评估执行条件；
• 当成交量主要来自高频策略之间的短线换手时，是否还能把它视为有效流动性；
• 当订单簿出现连续撤单、报价跳动和价差扩大时，程序是否有退出机制。

如果这些条件没有进入执行逻辑，成交量就不再是可靠的“市场容量”指标。它可能只是市场处于压力状态的结果。

算法最危险的时刻，不是它完全失去规则，而是它仍在准确执行一条已经不适合当前市场的规则。

在这次事件中，卖出程序并没有主动判断“市场是否合理”。它只是在完成自己的局部任务：维持预设的成交量参与比例。价格下跌并不会自动让程序停止，反而可能通过提高市场成交量，给程序提供继续卖出的依据。

这就形成了一个典型的正反馈回路：

1. 大额卖单进入E-mini期货市场；

2. 期货价格下跌，市场波动加剧；

3. 趋势跟踪和其他自动化策略开始增加卖出；

4. 市场成交量放大；

5. 按成交量参与的算法据此提高卖出规模；

6. 更大的卖压再次推动价格下跌。

这条链条的核心问题，不是算法“看错了一个数字”，而是它把市场结果当成了市场承受能力。成交量增加，只说明更多订单在成交，并不说明市场还有足够的真实买方。尤其在极端行情中，高成交量可能来自同一批策略之间的快速转手，也可能来自做市商在撤退前后对库存的急速调整。

计划完成度不能替代风险边界

人类交易者在亏损扩大时，会受到沉没成本、目标执念和损失压力的影响。程序没有情绪，却可能把类似的偏差固化成一条无法自我修正的规则。

当系统只问“还剩多少订单没有完成”，却不问“当前价格和流动性是否仍然允许继续执行”，它就会把任务完成度变成唯一的锚点。无论市场条件如何变化，程序都倾向于沿着原定路径继续推进。

这不应被称作行为经济学中的某个特殊术语。更朴素、也更准确的理解是：系统把订单完成目标置于市场状态判断之上，导致执行逻辑缺少必要的状态切换。

在量化交易里，这种问题并不罕见。模型在回测中表现稳定，往往是因为历史数据里的成交量、价格和盘口深度仍然保持了某种关联。但实盘中的市场状态会发生突变。平时有效的成交量信号，在流动性骤然萎缩时可能变成反向信号；平时可以忽略的延迟，在多个策略同时行动时可能迅速放大。

因此，执行算法至少要区分几种不同的市场状态：

• 正常状态下，按照参与率执行；
• 波动扩张时，降低订单参与度；
• 买方深度快速消失时，暂停主动成交；
• 价格偏离、价差扩大或跨市场关系异常时，转入人工或更高层级的风控流程；
• 市场恢复后，再根据新的流动性条件重新计算剩余订单。

这些机制并不能保证市场永远不会发生闪崩，但可以避免一套固定比例的规则在环境已经改变后仍然机械加速。

高频交易的“烫手山芋”效应：14秒内的流动性崩塌

如果只有一套大额卖出算法，事件可能仍然只是一次严重的执行失误。真正让价格运动变得剧烈的，是大量高频交易策略在同一时间对市场状态作出相似反应。

高频交易并不是一个单一策略。它包括做市、套利、短线库存管理、统计交易以及各种基于订单簿变化的自动化策略。很多策略并不试图预测一个资产未来几小时或几天的方向，它们只关心非常短的时间窗口：当前买卖价差是否足以覆盖风险，订单能否迅速成交，库存是否需要立即降低。

在平稳市场中，这类策略能够提供连续报价。买方和卖方之间存在价差，做市商通过快速撮合和控制库存获得收益。市场参与者也因此习惯把高频交易机构视为流动性的提供者。

但做市并不等于无条件承接风险。

当价格突然快速移动，报价一侧的风险会迅速扩大。一个挂在订单簿上的买单，可能在成交后的极短时间内就面临明显浮亏。做市系统因此会提高报价要求、扩大买卖价差、减少挂单数量，甚至暂时撤出市场。这些动作从单个交易者的风险管理角度看完全可以理解，却会让其他参与者看到更薄的订单簿和更差的成交条件。

在闪崩最剧烈的阶段，监管机构还原出一个关键现象：短短14秒内，超过27,000张E-mini合约在高频交易公司之间快速换手，约占该时段总成交量的49%。这里的重点不在于每一次成交是否“虚假”，而在于这些交易并没有带来等比例的新增长期承接。大量合约被快速买入又卖出，市场看起来非常活跃，实际能够吸收持续卖压的能力却没有同步增加。

这就是所谓“烫手山芋”效应的直观含义：每个参与者都愿意短暂接手，但都不愿意长期持有。当价格继续向不利方向移动，接手者又迅速寻找下一个承接者。交易次数不断增加，风险却没有消失，只是在不同账户之间高速转移。

虚假的流动性与真实的承接能力

盘口上的流动性至少有两种含义。

第一种是屏幕上显示出来的流动性：某个价位有多少挂单，买卖两侧相距多远，过去几秒钟成交了多少。

第二种是压力到来时仍然愿意存在的流动性：当价格快速下跌，订单是否还在，报价是否能够继续更新，交易者是否愿意把库存留在账上。

平时，两者看上去差别不大。极端行情中，它们可能完全分离。屏幕上不断变化的报价并不能保证市场真的有足够的买方。一个报价可以在成交前撤掉，做市商可以在风险超过模型阈值时迅速收缩库存，套利者也可能因为跨市场关系失真而暂时停止交易。

因此，成交量和盘口深度都不能脱离环境单独解释。对于执行算法来说，最危险的误判就是把“有很多成交”理解为“市场可以继续承接更多订单”。

高频交易策略之间的相互反应，还会让行情形成自我强化。某个策略检测到价格快速下跌，于是降低买入报价；另一个策略观察到买方变薄，开始减少库存；第三个策略把新的下跌解释为趋势信号，继续卖出。每个动作都可能只影响极小的时间片，但它们在毫秒级别连续发生，最终会让整个订单簿失去厚度。

人类交易者通常需要时间确认行情、修改指令、评估新闻，甚至只是离开屏幕几秒钟。自动化策略没有这样的停顿。它们不断读取最新报价，再按照规则更新动作。反馈回路越短，系统越容易在尚未确认原因之前就已经完成多轮自我强化。

这并不意味着高频交易天然等于市场操纵，也不意味着所有高频交易机构都在同一方向上行动。关键在于，在流动性危机中，许多策略的目标会从“赚取价差”转向“尽快降低风险”。当系统性撤单同时发生，原本分散的个体决策就会产生类似集体撤退的效果。

高频交易可以搬运流动性，却不能保证在任何风暴中都留下流动性。

跨市场传导机制：从E-mini期货到现货市场的流动性枯竭

E-mini标普500期货与股票现货市场之间存在紧密联系。指数套利者会比较期货和现货篮子的相对价格。当两者出现偏离时，他们可能买入相对便宜的一侧，同时卖出相对昂贵的一侧，以捕捉价差。

这种机制在正常情况下有助于维持两个市场的价格联系。期货下跌而现货相对坚挺时，套利交易会推动现货卖出、期货买入；期货上涨而现货滞后时，交易方向则可能相反。

问题是，套利机制只能在两个市场都具有足够流动性时发挥稳定作用。如果期货市场先出现剧烈价格运动，现货市场的套利卖单就可能成为新的压力来源。套利者并不是在表达对某家公司基本面的判断，他们只是在执行相对价格关系。但对单只股票的订单簿来说，这些订单仍然是真实的卖出压力。

当大量成分股同时出现卖单，股票市场的流动性提供者也会重新评估风险。做市商面对的不是某一只股票的普通波动，而是整个指数篮子与期货市场同时失序。此时，继续按照原有价位报价，可能意味着在价格快速变化时接到大量无法及时对冲的库存。

于是，做市商可能：

• 减少报价数量；
• 拉宽买卖价差；
• 降低报价的有效期限；
• 暂时撤掉部分买单；
• 等待期货和现货之间的关系恢复后再重新报价。

从单个机构的角度看，这是风险控制；从整个市场的角度看，却意味着可见的承接力在同一时间减少。

监管报告记录显示，在闪崩高峰阶段，E-mini的买方市场深度一度降至约5800万美元，不足当天早些时候水平的1%。这不是说市场完全没有交易，而是说在当时可见价格附近，愿意继续承接卖单的深度极其有限。

这一区别非常关键。市场仍然可以成交，并不代表市场仍然健康。只要买卖双方的报价还存在，撮合引擎就能继续产生价格；但当订单簿变薄，少量订单就可能推动价格跨越多个价位。成交价格于是开始脱离此前的连续路径，出现跳跃式变化。

价格脱离参考，不等于资产失去价值

闪崩期间，超过300只证券出现了超过20,000笔极端成交。这些成交价格被记录为偏离闪崩前一分钟参考价60%以上。这里必须准确表述：这是相对于参考价格或此前价格的偏离，不是相对于证券“真实价值”的测量。

“真实价值”并不是一个可以在几秒钟内直接观测的统一数字。即使在正常市场中，股票价格也会受到预期、风险溢价、资金流向和信息变化的影响。闪崩期间真正能够确认的是，部分成交价严重偏离了事件发生前的市场参考水平，随后市场价格又快速回到相对正常的区间。

一些证券还出现了极端的成交价，例如接近1美分或达到10万美元的报价。此类价格并不能直接解释为这些公司的基本面价值突然变成了零，或者在几分钟内上涨到难以想象的水平。它们更多反映了极端订单簿条件下的报价、撮合和保护机制失灵。

在流动性正常时，市场价格像一条连续的曲线。买卖双方在相邻价位提供足够订单，单笔交易很难把价格推到非常遥远的位置。流动性枯竭后，订单簿中间可能出现大段空白，系统只要找到一个仍然有效的报价，就可能在那里完成成交。价格仍然是撮合结果，却已经不再具备通常意义上的指示功能。

下面这条时间线只保留可以帮助理解传导过程的关键节点，时间采用约数，避免把一场快速变化的市场事件误写成精确到每一分钟的线性剧本：

这条链条里，没有一个单独环节能够解释全部结果。只有把执行算法、期货市场、高频交易、指数套利、股票做市和交易所规则放到同一张图里，才会看到真正的问题：系统中的每个局部机制都在放大别的机制造成的压力。

市场不是被一道墙一次性推倒的，而是被一连串小幅度的自动反应连续击穿的。

虚假挂单与占位报价：市场操纵与极端价格异常的真相

2015年，英国交易员Navinder Singh Sarao因涉嫌在E-mini标普500期货市场实施幌骗交易而被逮捕，并受到美国方面的刑事指控。相关指控认为，他曾通过反复挂出并撤销并不打算真正成交的大额订单，制造订单簿压力，影响其他市场参与者的判断。

幌骗交易的基本逻辑并不神秘：交易者在自己真正想执行的订单之外，放置一批主要用于影响市场观感的订单；当其他参与者根据订单簿变化作出反应后，再迅速撤掉这些订单。它利用的是市场对可见订单的信任。

但Sarao案件不能被倒推成2010年闪崩的单一解释。2010年的联合调查报告发布在前，Sarao后来受到的指控和案件发展在后。后续指控可以帮助人们理解订单簿操纵的风险，却不能被说成是2010年最终报告对他的定性，也不能据此断言他是那场闪崩的根本原因或决定性原因。

更稳妥的结论是：幌骗行为可能增加某一市场时刻的噪声和压力，但2010年闪崩是多种市场机制同时失灵或相互放大的结果。把复杂的系统性事件归结为一个后来受到指控的交易者，既不符合时间顺序，也无法解释高频换手、流动性撤退和跨市场传导为何会同时发生。

占位报价为什么会制造如此极端的成交

“占位报价”并不等于交易者认真认为某只股票只值1美分，或值10万美元。它通常是市场参与者在极端情况下用于保持报价系统运行、但并不期待在正常环境下成交的远离市场价格。问题在于，当正常报价大量撤出，而交易规则仍允许订单继续寻找对手方时，占位报价可能进入可成交范围。

一旦真实的买卖价位之间出现巨大空洞，系统并不会像人一样停下来问：这个价格是否符合公司基本面？撮合引擎只会根据当时有效的订单和规则执行交易。价格因此可能出现看起来荒谬的结果。

这揭示了两个常被混在一起的问题。

第一，市场操纵是主动行为，涉及交易者是否故意制造虚假供需、误导其他参与者。第二，极端成交可能是流动性枯竭和机制边界共同造成的异常结果，并不自动证明每一笔交易背后都有操纵意图。

当然，两者可能相互影响。虚假挂单会改变订单簿的外观，快速撤单会加剧其他交易者对市场深度的误判；而当市场已经脆弱时，任何看似很小的订单簿变化都可能产生更大的价格效果。但分析时仍然要区分动机、行为和结果，不能只因为价格极端，就给所有异常成交贴上同一种标签。

2010年闪崩带来的一个重要教训，是价格并不总能在短时间内承担“价值信号”的功能。在大多数交易日，价格仍然是供需、预期和风险定价的综合结果；在极端的几秒钟里，价格可能更多反映哪个订单还留在簿上、哪一方暂时退出，以及撮合系统如何处理剩余订单。

这也是为什么仅凭一张分时图，很难判断某次极端波动究竟发生了什么。看到一根长阴线，并不能直接推出“主力出货”；看到成交量放大，也不能直接推出“真实买盘进场”；看到价格瞬间触及极端水平，更不能直接把它当作资产价值的重新发现。

对交易者而言，这种不确定性并不意味着所有行情都无法分析，而是提醒我们把观察对象从K线表面扩展到市场微观结构：

• 报价是否连续，还是在多个价位同时消失；
• 买卖价差是否突然扩大；
• 成交量来自持续的新订单，还是来自高频换手；
• 期货和现货是否同步，还是出现异常偏离；
• 多个交易场所的价格是否一致；
• 极端价格是否很快被回补；
• 交易所是否启动了暂停、限制或错单处理程序。

这些信息不会让交易者预知每一次闪崩，但能够帮助判断行情究竟是新的信息冲击，还是流动性结构突然断裂。

监管反思：闪崩后金融市场微观结构的制度性重构

2010年闪崩之后，美国证券交易委员会与商品期货交易委员会发布联合调查报告，对事件的触发因素、市场传导和极端成交进行了系统梳理。后续的监管调整并不是围绕某一个算法写出一条万能规则，而是试图在多个层面增加市场的缓冲空间。

这些变化大致可以从几个方向理解。

个股价格波动的临时保护

针对个股快速上涨或下跌，监管和交易所逐步建立了更系统的价格带与暂停机制。后来形成的个股涨跌限制框架，会根据参考价格和波动情况限制订单进入可成交区间；当价格快速触及边界时，市场会进入短暂的冷静阶段。

它的意义不在于判断某只股票究竟值多少钱，而在于防止订单簿短暂失序时，极端价格立即扩散成连续成交。系统先争取一点时间，让报价重新出现，让参与者确认市场状态，也让交易所判断是否存在明显的错单或异常行为。

全市场熔断机制的分层

全市场熔断机制则针对指数层面的快速下跌。以标普500指数为参考，日内跌幅达到不同档位时，会触发不同级别的暂停或限制交易安排。7%、13%和20%分别对应不同层级的处理方式。

这种机制是一道系统级安全阀。它不能消除卖压，也不能改变投资者的判断，但可以避免所有市场在最短时间内同时进入无序撮合。暂停交易让不同类型的参与者获得重新评估的时间，也避免期货、现货和衍生品市场在极短时间内互相追赶。

对自动化交易风险的重新认识

闪崩之后，监管重点之一是要求市场参与者更加重视自动化交易的风险控制、系统测试、监控和异常响应。这里不能简单概括为“监管部门要求所有自动化执行程序都必须设置统一的价格边界和时间窗口”。现实中的规则通常针对不同市场、不同机构和不同类型的交易活动，要求也并不完全相同。

但行业层面的方向非常明确：自动化程序不能只在正常行情里被验证，也必须考虑极端波动、通信异常、流动性中断、订单重复发送以及跨市场价格失真的情况。一个程序即使没有违反某条具体规则，也可能因为风险设计不足而造成严重市场影响。

对机构而言，风险控制至少包括以下几层：

• 订单数量限制，防止程序在短时间内发送超出预期规模的指令；
• 价格偏离监控，避免订单进入明显异常的价位；
• 参与率上限，防止成交量放大时程序被动加速；
• 波动和深度监控，在市场状态改变时切换执行模式；
• 独立的“停止交易”权限，让风控系统不必依赖原策略自行纠错；
• 事后日志和可追溯机制，确保能够还原程序为何在某一时刻作出某个动作。

这些并不是保证市场永远稳定的魔法按钮。它们的作用，是让系统在异常状态下有机会从“继续执行”切换到“先确认再执行”。

幌骗交易与订单簿透明度

2010年之后，美国法律和执法实践进一步强化了对幌骗等操纵行为的打击。后来针对Sarao的指控，也是在这一法律和监管背景下展开的。

但禁止幌骗并不意味着订单簿从此完全透明。自动化市场中，订单可以在极短时间内出现和撤销，监管者需要结合订单生命周期、成交关系、交易者的历史模式和市场影响来判断行为性质。单个撤单并不自动等于操纵，持续、反复、带有误导目的的挂撤行为才需要重点审查。

对市场参与者来说，重要的不是看到一笔大单就立即相信它，而是观察这笔订单是否真正参与成交、是否在关键时刻反复撤回、是否与同一账户的其他订单形成配合。订单簿是信息来源，却不是绝对可靠的事实本身。

错单处理与事后修复

闪崩期间出现的极端成交，也推动交易所和监管机构完善错单处理机制。对于明显偏离参考价格、并且发生在异常市场状态下的交易，需要有更清晰的审查、取消或调整流程。

这类机制必须在两种风险之间保持平衡。一方面，极端成交可能损害投资者，尤其是那些使用正常限价单、却因为市场深度突然消失而成交在异常价格的参与者。另一方面，如果事后过于随意地取消交易，市场参与者又会失去对成交最终性的信任。

因此，错单处理通常需要参考价格、偏离幅度、市场状态、交易时间和相关规则，而不是简单规定“只要价格看起来离谱就全部取消”。

监管修复并不等于市场已经安全

闪崩之后建立的保护机制，改变了市场面对快速波动的方式，却没有消除自动化交易的根本矛盾：市场速度越来越快，而系统理解因果关系的能力并没有同步提升。

算法能够在毫秒级别读取报价和发送订单，却不知道价格为什么下跌。它可以识别波动率扩大，却不一定知道这是新闻冲击、技术故障、套利失衡，还是另一套算法造成的连锁反应。它可以依据盘口深度调整报价，却无法保证盘口上的每一层深度都是真正愿意承担风险的流动性。

因此，监管和交易系统设计的目标不应是消灭波动。没有波动，就没有价格发现，也没有风险转移。更现实的目标，是让剧烈波动发生在一个仍然可观察、可解释、可暂停的框架中。

这也解释了为什么市场微观结构中的一些细节如此重要：最小价格变动单位、撮合优先级、交易场所之间的信息传递、做市商义务、订单类型和暂停规则，看起来都不像宏观金融新闻，却决定了极端行情中价格如何移动。

平时，订单优先级可能只是影响几分钱的成交顺序；极端行情中，它可能决定某个订单是否在流动性消失前成交。平时，跨市场信息延迟可能几乎没有感觉；极端行情中，几毫秒的差异可能让一个市场先跌，另一个市场再根据这个价格追跌。平时，做市商撤掉一部分报价只是普通库存管理；极端行情中，大量机构同时撤退，就会让市场突然失去承接。

这是一种系统工程问题，不是单一参与者的道德问题。把所有责任都推给某个算法、某个高频交易公司或某个交易者，当然容易讲故事，却无法帮助我们理解下一次风险会从哪里出现。

尾声：边界、机器，以及交易者必须保留的判断

2010年闪崩已经过去多年，但它仍然值得被反复研究，因为它把量化交易中最容易被忽略的事实暴露得非常彻底：

一个策略即使目标明确、执行稳定、回测良好，也可能在市场状态改变后成为风险放大器。

按成交量参与的算法没有“情绪”，却可能因为缺少状态识别而持续加速。高频交易策略没有“恐惧”，却可能在风险阈值被触发后集体撤退。套利者没有“看空某家公司”的主观意图，却可能把期货市场的压力传导到股票现货。交易所没有“相信某个极端价格”的判断，却会按照有效订单和既定规则继续撮合。

最终，所有这些没有主观意图的局部动作，叠加成了一个具有巨大破坏力的结果。

对于做量化交易的人来说，最直接的教训不是简单地给策略加一个止损参数。更重要的是，要重新审视策略与市场之间的关系。策略使用的每一个输入，都可能在极端行情中改变含义：

• 成交量不一定代表可持续的买方需求；
• 价差扩大不一定意味着更好的交易机会，也可能意味着流动性正在消失；
• 价格偏离不一定是套利机会，也可能是参考市场已经失真；
• 高换手不一定代表市场活跃，也可能只是风险在策略之间快速转移；
• 稳定的回测曲线不一定代表系统健壮，也可能只是历史样本没有覆盖真正的流动性断裂。

一个更成熟的执行系统，应该知道什么时候继续，什么时候减速，什么时候暂停，什么时候把决定交还给更高层级的风控。所谓自动化，并不是让机器永远不需要人，而是把人的判断提前写进边界、条件和例外处理中。

对于普通交易者，教训也并不复杂。看到极端行情时，不要急着把每一次下跌解释成主力洗盘，也不要因为成交量放大就认定有资金在积极承接。先观察价格是否连续、盘口是否稳定、期货与现货是否同步、交易所是否已经启动保护机制。

我们无法提前知道下一次异常波动会从哪一套程序开始，也无法保证自己的订单永远不会遇到流动性突然消失。但我们可以在交易之前明确几件事：愿意承受多大的损失，订单在什么条件下必须停止，系统出现什么异常时必须切断交易，哪些价格即使能够成交也不应当被接受。

市场不是一台只要输入参数就会稳定输出结果的机器。它更像由无数策略、订单和风险限制共同组成的动态系统。平静时，它给人一种秩序井然的错觉；压力积累到一定程度，任何一个局部规则都可能改变整体状态。

2010年闪崩留下的真正遗产，不是某个神秘的操纵术，也不是一条可以包治百病的监管规则，而是一个关于边界的提醒：没有价格边界的执行逻辑，会把成交目标变成加速器；没有流动性承诺的高频报价，会在关键时刻迅速消失；没有异常状态识别的自动化系统，会把市场的反馈误认为市场的许可。

下一次盘口打开时，机器仍然会按照程序工作，交易者仍然会面对不断跳动的数字。真正重要的是，在程序启动之前，在订单送入市场之前，我们是否已经想清楚：什么情况下继续执行，什么情况下必须停下来。

因为在极端行情里，最稀缺的从来不是更快的下单速度，而是一个能够及时说出“到此为止”的边界。

Related reading: 骑士资本4.4亿美元崩盘始末：遗留代码激活引发的量化灾难.