Há uma coisa no banco que antes eu sempre achei um pouco inconveniente.

O caixa ainda tem dinheiro.
Mas é apenas uma parte bem pequena.
Para lidar com valores maiores, os funcionários precisam esperar pelo cofre ou pelos próximos passos de confirmação.
No começo, eu pensei que isso era só um processo para atrasar tudo.
Mais tarde, eu entendi.
O que o banco está protegendo não é o dinheiro no balcão.
Mas sim o limite do quanto o sistema pode ser afetado se algo realmente der errado.
O sistema não coloca todo o patrimônio no lugar mais conveniente.
Ele posiciona proativamente a parte mais importante em uma camada de proteção ainda mais profunda.
É quando o Protocolo Newton começa a fazer sentido para mim.
O que achei notável não foi como o sistema reage a riscos.
Foi como o risco é limitado já pela arquitetura, antes mesmo de qualquer incidente acontecer.
Um sistema autônomo não se torna confiável apenas porque lida bem com incidentes.
Ele se torna mais confiável quando, desde o início, a arquitetura dele torna um erro difícil de se transformar em uma grande perda.
Não é só uma camada de proteção.
É uma escolha de design.
Newton aceita adicionar camadas de controle e abrir mão de um pouco de conveniência.
Em troca, quando o inesperado acontece, o escopo dos danos já é limitado de antemão, em vez de deixar o sistema lidar depois.
Um sistema confiável não começa reagindo ao risco.
Começa projetando para que, mesmo quando o risco acontecer, as consequências se limitem ao menor nível possível.