極端「插針」下的自動熔斷：條件、狀態機與復歸

插針行情會在毫秒級撕裂訂單簿，導致市價止損以極差價格成交，甚至觸發連鎖強平。熔斷的目的不是預測插針（那幾乎不可能），而是在可觀測的異常信號出現時，強制進入保守模式，讓系統有時間「降速、降曝險、等人類確認」。

一、信號設計：多指標投票，避免單點誤判

常見輸入包括：短窗內價格變動超過 N 倍 ATR、買賣價差瞬間放大、深度驟降、成交量暴衝、資金費率與基差異常。實務上建議採「投票機制」：例如三個指標中至少兩個同時超標才進入 Throttle，避免噪音觸發。
信號源應與策略主路徑解耦：熔斷用獨立時間序列與獨立計算頻率，避免與策略共用同一個「可能被策略污染」的中間狀態。

二、狀態機（建議最小集合）

• Normal：常規交易；完整下單頻率與倉位上限。
• Throttle：限頻、限倉或只允許平倉；可能伴隨擴大滑價保護。
• Halt：撤銷未成交單、停止開新倉；僅允許人工定義的減倉路徑。
• Recovery（可選）：冷卻計時結束後，逐步恢復（例如先只允許 maker）。

狀態轉移必須寫入不可抵賴日誌：時間戳（單調時鐘）、觸發值、閾值版本、帳戶、策略版本、操作者（若人工）。

Normal --(spike_score>=T1)--> Throttle --(spike_score>=T2)--> Halt
   ^___________________________________________|
                (manual ack + cooldown)

三、閾值怎麼定：用分位數而不是拍腦袋

建議以歷史 tick 或 1s bar 建立指標的長期分位數，讓閾值隨市場體制缓慢漂移。每年至少一次回顧：若 Throttle 觸發過於頻繁，可能不是市場變了，而是閾值過緊；反之亦然。

四、復歸與壓力測試

熔斷後復歸應具備冷卻時間與手動覆核門檻（尤其是 Halt）。建議以歷史極端行情與合成壓力案例定期演練：

• 行情來源延遲 200ms–2s；
• 部分成交後斷線；
• 回報順序錯亂。

五、與交易所規則的對齊

不同交易所對市價單、條件單與強平規則不同；熔斷策略必須在可成交性與風險上限之間取捨。若你完全依賴市價止損，在插針時可能等於把定價權交給極薄深度。

六、組織層面：誰能解除 Halt？

建議明確寫入 on-call 與授權矩陣：誰能解除、需要幾人覆核、是否允許遠端操作、以及事故後必須產出的事後報告欄位（時間線、損失、根因分類）。

本文為風控架構教育，實作須符合交易所規範與內部合規。