证据与时间线

调查的目标不是尽可能多地收集截图，而是建立一条可由他人复查的事实链。

建立时间线

01固定对象Account、Ticket、Symbol、问题与时间范围

→

02对齐 Server Time明确每个时间点的来源和时区，并统一换算

→

03建立 Timeline按顺序排列客户请求、Order、Decision、Execution、开/平仓、Tick、Event、Alarm

→

04记录 Evidence注明页面、ID、精确时间和查询条件

→

05区分事实与未知标记已确认、未确认、推测；缺失数据不能写成零或正常

→

06判断 Scope只有在共同事实支持时才扩大范围

证据	常见来源	最低记录要求
账户与交易历史	MT4/MT5 Account / History	Account、Ticket、Symbol、时间、Volume、Open/Close、P/L
订单链	Edge Order / Decision / Execution	稳定 ID、Status、关键价格与相关行
市场背景	Ticks / Events	Symbol / Taker、查询窗口、时区、Bid / Ask / Spread、事件时间
客户行为	Closed Orders / 历史样本	样本期、总笔数、Holding Time、手数、盈亏、集中度
系统背景	Alarm / System / Audit	Rule / 事件、开始与恢复时间、Scope；因权限不足而无法查看时，应升级

Scope 判断

从最小范围开始：

Single Order→ Single Account→ Multiple Accounts→ Symbol / Time Window→ System Wide

Expand only when evidence supports it.

每次扩大都写出依据。一个账户有多笔短时交易，不自动证明其他账户相关；一个时间接近的告警，也不自动证明它导致订单结果。

标准 Investigation Result

INVESTIGATION WORK TEMPLATE

Investigation Summary
Account:
Ticket:
Symbol:
Time Window:
Issue:

Evidence
- Holding Time:
- Lots:
- Profit/Loss:
- Entry/Exit:
- Tick:
- Spread:
- Event:
- Similar Orders:
- Related Accounts:

Scope
Single Order / Single Account / Multiple Accounts / System Wide

Junior Assessment
Normal / Watch / Suspicious / Unable to Confirm

Action
Continue Monitoring / Escalate / Transfer for Follow-up

Evidence Summary 示例

下一步：升级与交班。