月末信号出来了，订单也发了，屏幕却一直转圈。你点“暂停”，再点一次“撤单”，账户里随后多出几股。明明已经要求停止，为什么风险还在增加？
因为请求、确认和成交是不同事件。运行准备要证明的，不是按钮存在，而是在信息不完整时仍能找回发生过什么。本篇给出两次完整的合成事故记录，你可以照着重走，并找出哪一步仍不能恢复交易。
三种“通过”，别合成一个绿灯
读完后，你应能区分研究、前瞻模拟与真实实施准备；合并部分成交、现金、费用与开放订单；完成一次数据中断和一次订单异常的T09记录。所有案例都用给定资料，不要求手写代码或发送真实订单。
研究结论回答规则与证据能支持什么；前瞻模拟观察冻结后按时间发生的信号、目标和异常；真实实施还要确认具体账户、权限、费用、数据与订单通道。在纸上算对事故处理，不代表任何软件已经完成这些验证。
也没有统一的“模拟一个月即可上线”。月频策略一个月可能只遇到一次判断，没有订单，更没见过部分成交或断网。观察需要覆盖相关决策与故障条件，并与研究窗口匹配；盈利次数不能替代可恢复性。
G80的独立教学政策仍是月末回撤8%复核、12%暂停新增并提交缩减申请，故障可随时阻断新增。本篇不新设日内价格止损，也不把运行演练当作扩大资金的授权。G57负责心理执行预案，这里只核对运行事实和恢复条件。
先固定一张能被检查的事实卡
下面另设 C3-52-v1运行演练，全部为合成事件，不是C2真实长期回测或CoTrading功能实测。美元模拟账户SIM-A起点现金1000、无持仓、无出入金。虚构资产X按股计量，买入每股佣金0.10美元，无最低费、税费或其他成本，不加杠杆。
为便于定位故障，冻结一条独立教学规则：D0月末收盘价高于20美元，生成X持有10股目标，否则持有0股；D1预定窗口才处理新增买单，买入限价20美元。本例D0、D1为连续两个给定正常交易日，全部时间UTC，D0收盘21:00、D1执行窗口14:30。它不是美股固定全年开收盘时间表。
内部规则只接受账户SIM-A、资产X、单位“股”、数量10，最多预占201美元。读取与下单权限分开，无转账权限；模拟撤销交易凭据不影响另一条经授权的只读核对渠道。所有这些条件都是题目事实，不是某个券商的默认能力。
同一个目标还要有稳定标识，本例用“V1-D0-X”。重试先查此标识对应的原订单，不直接换新标识再发。标识只是帮助对账，是否真正阻止重复提交，还要在具体工具里测试，不能凭命名就宣布实现安全。
演练一：价格有数，时间却错了
D0的21:05，数据接口返回X收盘19美元，时间戳却是D−1的21:00。本轮需要D0收盘，数据内容不属于决策时点。处理记录应写“数据过期、目标未生成、订单为零”，保留原响应；不能把19视作最新价，就宣布本月目标为现金。
此时暂停的是依赖这批数据的新增决策。无持仓账户仍现金1000，并不是刚执行了卖出。若原本已有持仓，就须保留其数量与风险，不能用一个“暂停”状态把它抹掉。数据为空、时区混用和单位改变也要在进入信号前检查。
21:20，题目给定经核对的D0收盘22美元到达，时间戳21:00，账户和单位一致。保存新批次与原过期批次的关系，重算可得10股目标；仍只允许在D1窗口处理，不回填D0已经过去的价格，也不伪造一笔当时未发生的成交。
该次记录可以关闭为“数据故障已在演练资料中核清、恢复目标计算”。它没有证明实际数据商发生故障时也能恢复，更没有恢复任何真实交易权限。完成的证据是两批输入、时点检查、目标版本和零订单账本，而不是一句“重试成功”。
演练二：暂停之后，还有成交
D1窗口的给定市场价格为20美元。先做两项预检：一份草案把账户写成SIM-B，另一份把数量单位写成“美元”。两项都被本演练的检查规则拒绝，未送出订单。只有SIM-A、10股、限价20的目标通过，记录为订单O1；最高现金占用10×20加1美元费用，共201美元。
接下来完整事件按下表发生。表内“确认”均为题目提供的证据内容，读者是在练习核对，不是作者实际连接券商得到的回报。
| D1时间 | 已给事件 | 处理状态 |
|---|---|---|
| 14:30 | O1受理，随后成交4股，每股20，费用0.40 | 现金919.60，持仓4，余单6 |
| 14:31 | 原接口失联，成交回报无法刷新 | 阻断新增，O1状态待核，不重复发单 |
| 14:32 | 相同目标再次触发，拟生成O2 | 本演练记录拒绝重复，O2未送出 |
| 14:35 | 经独立渠道发O1撤单请求，收到请求回执 | 撤销待确认，余单仍占额度 |
| 14:36 | 原自动通道交易权限撤销已确认 | 原通道不能新下单；O1未确认终结 |
| 14:37 | 独立只读成交记录显示O1再成交2股，费用0.20 | 累计成交6，余单4 |
| 14:40 | 独立订单记录确认剩4股撤销，累计成交仍6 | 开放数量0，模拟持仓6已核清 |
关键停顿在14:35。“已收到撤单请求”没有说明那6股一定没再成交。SEC提醒应确认原订单实际撤销，也提醒在不确定成交时重复发送可能造成双倍交易。[1] 因此14:37多出的2股不能当作系统幽灵单删掉，必须纳入原O1账本。
撤交易权限也不是撤订单，更不是清仓。题设中它限制原通道的新动作，但已经受理的O1仍按给定事件继续到14:40才终结。真实服务的权限变更与订单行为需要分别核对；若失去查询权限，也要有事前确认可用的人工或只读核对路径，不能把“连不上”理解成“什么都没发生”。
把六股与每一美元重新接起来
第一笔花80美元加0.40费用，现金1000降至919.60；第二笔再花40加0.20，现金变879.40。最终持仓6股，按20估值120美元，权益999.40，正好等于1000减去0.60总费用。没有价格收益、没有外部出入金，也没有从权益重复扣佣金。
第一笔成交后，余6股需预占120加0.60，共120.60美元；可再承诺现金为919.60减120.60，即799美元。又成交2股后，余4股预占80.40，现金879.40减它仍为799。直到14:40确认余单撤销，才释放80.40，现金可承诺额回到879.40。
预占不是已发生费用，释放也不是账户盈利。不能既把余单当全部成交扣现金，又额外保留同一订单的全部预占。最终数量6、未成交撤销4，加起来应回到原订单10；若对不上，就保留差额并继续阻断新增，不能用AI补齐缺失成交。
什么证据才允许往下走
D1的14:50，本演练给出恢复材料：正确的新数据批次、O1逐笔成交和终态、零开放订单清单、SIM-A现金及持仓快照、原交易权限撤销结果、错误账户与单位两项拒绝记录、重复触发未送单记录。它们使上述999.40权益可以被独立复算。
据此，本次恢复决定只允许只读观察和继续模拟诊断；原自动交易权限仍撤销，既有6股仍保留。原故障修复、恢复下单保护、资金政策复查与实际工具验收没有证据，不能升级成“可实盘”。即使模拟账本已核清，原策略是否还希望持有10股，也不意味着立刻补买4股。
NIST的网络安全框架要求按最小权限管理授权，恢复时验证完整性、确认正常状态并完成记录。[2] 这里据此设计恢复证据顺序，不将它当成交易系统认证，更不把本文合成处理写成CoTrading已经实现的自动控制。
若要在真实工具上验证，应记录工具与规则版本，从隔离模拟环境重走导入、触发、故障、查询、导出和恢复，再核对实际产生的状态。工具不能导出订单或区分撤单请求与确认时，相关运行能力就仍未通过；换一张漂亮截图不能补上。
改一条成交回报，再查一次
先解释：为什么14:36撤权后，14:37仍有成交，不能单凭时间顺序判定账本错误？答案应指出权限范围、原订单已受理、撤单尚未确认与独立成交证据是不同事实。若实际服务规则不清楚，先列待核，不能假设权限撤销会自动结束旧订单。
再做独立变式：O1第一笔仍为4股，但失联期间实际又成交3股，全部每股20、费用仍每股0.10；随后仅剩3股确认撤销，没有其他事件。请计算最终现金、持仓、权益，以及撤销确认前的预占现金。
第二笔花60加0.30，现金919.60降到859.30；累计持仓7股，市值140，权益999.30。剩3股预占60.30，可再承诺资金仍799；确认撤销后才释放60.30。若直接沿用原例879.40与6股，正好漏掉1股及0.10费用，应回到逐笔记录修正。
留下能重走的T09，不只写“异常已解决”
你的T09至少保存策略和资金政策版本、账户身份与权限范围、数据批次及有效时间、信号和目标、订单及成交标识、故障发现时刻、每项请求与确认、已成交和开放数量、费用与现金、恢复证据及允许的下一状态。将两次演练和变式分开保存，不覆盖事故原始记录。
自检时，过期数据没有产生有效新信号，错误账户和单位没有被AI修成一笔未经核对的订单，撤权没有代替撤单确认，暂停没有冒充清仓。再遮住答案，从1000美元开始重算原例和变式；任何差额都要能指到一笔事件。
小结：把请求、确认和既有风险分别留证
持续监控的重点，是让信号、权限、订单和账户在同一时间线上对得上。研究有效不代表通道可靠，模拟无异常也不代表故障已演练；暂停之后仍需查清旧风险。
把“要求停”“确认停”和“还能做什么”分别留证，才有依据谈下一次恢复。
参考资料
- SEC Investor.gov，Online Investing。核查2026-10-29，支持核对实际成交与撤单状态、避免重复订单。
2. NIST，The NIST Cybersecurity Framework (CSF) 2.0，2024-02-26。核查2026-10-29，PR.AA-05、RC.RP-05/06支持最小权限与恢复验证记录的一般原则；本文订单状态和内部预占为独立教学设计。