证据与时间线¶
调查的目标不是收集最多截图，而是建立一条别人可以复查的事实链。
建立时间线¶
- 固定调查对象：Account、Ticket、Symbol、问题与时间范围。
- 明确每个时间的来源和时区；统一换算为 Server Time。
- 按顺序排列客户请求、Order、Decision、Execution、开/平仓、Tick、Event、Alarm。
- 每条证据注明页面、ID、精确时间和查询条件。
- 标记已确认、未确认、推测；缺失数据不能写成零或正常。
- 只有共同事实支持时才扩大 Scope。
| 证据 | 常见来源 | 最低记录要求 |
|---|---|---|
| 账户与交易历史 | MT4/MT5 Account / History | Account、Ticket、Symbol、时间、Volume、Open/Close、P/L |
| 订单链 | Edge Order / Decision / Execution | 稳定 ID、Status、关键价格与相关行 |
| 市场背景 | Ticks / Events | Symbol/Taker、查询窗口、时区、Bid/Ask/Spread、事件时间 |
| 客户行为 | Closed Orders / 历史样本 | 样本期、总笔数、Holding Time、手数、盈亏、集中度 |
| 系统背景 | Alarm / System / Audit | Rule/事件、开始与恢复时间、Scope；权限不可见时升级 |
Scope 判断¶
从最小范围开始：Single Order → Single Account → Multiple Accounts → Symbol / Time Window → System Wide。每次扩大都写出依据。一个账户有多笔短时交易，不自动证明其他账户相关；一个时间接近的告警，也不自动证明它导致订单结果。
标准 Investigation Result¶
Investigation Summary
Account:
Ticket:
Symbol:
Time Window:
Issue:
Evidence
- Holding Time:
- Lots:
- Profit/Loss:
- Entry/Exit:
- Tick:
- Spread:
- Event:
- Similar Orders:
- Related Accounts:
Scope
Single Order / Single Account / Multiple Accounts / System Wide
Junior Assessment
Normal / Watch / Suspicious / Unable to Confirm
Action
Continue Monitoring / Escalate / Handover
Evidence Summary 示例¶
复核 Account 9022001 在 14:00–16:00 Server Time 的 XAUUSD Closed Orders。共 22 笔，其中 18 笔盈利订单的 Holding Time 低于 3 分钟；常用手数由历史 0.5–2 lots 上升至 20 lots。活动集中在事件窗口附近。尚未确认关联账户、IP/Device 或资金流。当前 Assessment 为 Suspicious，已升级 Senior / Risk 复核；不作违规结论。
下一步：升级与交班。