Es gibt etwas in der Bank, das ich früher immer ein wenig umständlich fand.
An der Kasse liegt immer noch Geld.
Aber nur ein sehr kleiner Teil.
Für größere Beträge müssen die Mitarbeiter auf den Tresor oder die nächsten Bestätigungsschritte warten.
Zuerst dachte ich, das sei nur ein Prozess, der alles verzögert.
Später habe ich es verstanden.
Was die Bank schützt, ist nicht das Geld am Schalter.
Sondern die Grenze dessen, wie stark das System beeinträchtigt werden kann, falls wirklich etwas schiefgeht.
Das System bewahrt nicht das gesamte Vermögen an dem Ort auf, der am bequemsten ist.
Es bringt den wichtigsten Teil vorsorglich in einer noch tiefer liegenden Schutzebene unter.
Da begann das Newton-Protokoll für mich Sinn zu ergeben.
Bemerkenswert fand ich nicht, wie das System auf Risiken reagiert.
Sondern dass das Risiko bereits durch die Architektur begrenzt wird, noch bevor überhaupt ein Vorfall eintritt.
Ein autonomes System wird nicht allein dadurch zuverlässig, dass es gut mit Vorfällen umgeht.
Es wird zuverlässiger, wenn seine Architektur von Anfang an dafür sorgt, dass sich ein Fehler nur schwer in einen großen Verlust verwandeln kann.
Es ist nicht nur eine Schutzebene.
Es ist eine Designentscheidung.
Newton nimmt zusätzliche Kontrollebenen in Kauf und verzichtet dafür auf ein wenig Komfort.
Im Gegenzug ist der mögliche Schaden bereits im Voraus begrenzt, wenn etwas Unerwartetes passiert, statt das System erst danach damit umgehen zu lassen.
Ein zuverlässiges System beginnt nicht damit, auf Risiken zu reagieren.
Es beginnt mit der Planung, damit die Folgen selbst dann, wenn ein Risiko eintritt, auf das kleinstmögliche Maß beschränkt bleiben.