銀行に、以前から少し不便だと思っていたことがある。

窓口にはまだ現金がある。
しかし、それはごく一部にすぎない。
より大きな金額を扱うには、職員は金庫や次の確認手順を待たなければならない。
当初、私はこれは単にすべてを遅らせるための手続きだと思っていた。
後になって、理解した。
銀行が守っているのは、窓口の現金ではない。
本当に何か問題が起きた場合に、システムがどれだけ影響を受けるかという限界を守っているのだ。
システムは全資産を最も便利な場所に置くわけではない。
より重要な部分を、積極的により深い保護層に配置する。
ニュートン・プロトコルが私にとって意味を持ち始めるのはこの時だ。
私が注目したのは、システムがリスクにどう対応するかではない。
どのようにリスクが、事故が発生する前からアーキテクチャによって制限されているかだ。
自律システムは、事故にうまく対応するからといって信頼できるようになるわけではない。
最初からアーキテクチャがエラーを大きな損失に変えにくくしている場合に、より信頼できるようになる。
それは単なる保護層ではない。
設計上の選択である。
ニュートンは制御層を追加し、利便性を少し犠牲にすることを受け入れている。
その代わりに、予期せぬことが起きた場合、被害範囲は事前に制限されており、システムが後で対処する必要はない。
信頼できるシステムは、リスクに反応することから始まるわけではない。
リスクが発生しても、結果が可能な限り最小限に抑えられるように設計することから始まる。