В банке есть одна вещь, которая раньше всегда казалась мне немного неудобной.

У кассира всё ещё есть деньги.
Но это лишь очень малая часть.
Для работы с крупными суммами сотрудникам приходится ждать сейфа или следующих этапов подтверждения.
Поначалу я думал, что это просто процесс, который всё затягивает.
Позже я понял.
Банк защищает не деньги на стойке.
А предел того, насколько сильно может пострадать система, если что-то действительно пойдёт не так.
Система не размещает все активы в самом удобном месте.
Она активно помещает самую важную часть в ещё более глубокий уровень защиты.
Именно тогда Протокол Newton начал обретать для меня смысл.
Что меня поразило — не то, как система реагирует на риски.
А то, как риск ограничивается уже на уровне архитектуры, ещё до того, как произойдёт любой инцидент.
Автономная система становится надёжной не только потому, что хорошо справляется с инцидентами.
Она становится надёжнее, когда с самого начала её архитектура затрудняет превращение ошибки в крупную потерю.
Это не просто уровень защиты.
Это дизайнерское решение.
Newton соглашается добавить уровни контроля и пожертвовать некоторым удобством.
Взамен, когда происходит неожиданное, масштаб ущерба уже ограничен заранее, вместо того чтобы оставлять системе разбираться потом.
Надёжная система начинается не с реакции на риск.
Она начинается с проектирования, при котором даже когда риск реализуется, последствия ограничиваются минимально возможным уровнем.