银行里有件事，以前我总觉得有点不方便。

柜台上仍然有钱。
但这只是一小部分。
处理更大金额时，工作人员需要等待金库，或等待接下来的确认步骤。
起初，我以为这只是为了拖慢一切的流程。
后来我明白了。
银行保护的并不是柜台上的钱。
而是万一真的出了问题时，系统可能被影响的上限。
系统并不会把所有资产放在最方便的位置。
它会主动把最关键的部分放到更深一层的保护之中。
也正是在这时，Newton 协议开始对我来说变得有意义。
让我觉得值得注意的不是系统如何对风险作出反应。
而是风险在架构层面就已经被限制住了——在任何事故发生之前。
一个自治系统并不会仅仅因为处理事故处理得好就变得可信。
当它从一开始就把架构设计成：让错误很难演变成重大损失时，它才会更值得信赖。
这不仅仅是一层保护。
这是一种设计选择。
Newton 接受增加控制层级，同时放弃一点便利性。
作为交换，当意外发生时，损害范围在事先就已经被限定了，而不是等到系统事后再去应对。
可靠的系统并不是从应对风险开始的。
它从一开始就着手设计：即使风险发生，后果也要被限制在尽可能小的水平。