Два типа системных рисков

Когда вы настраиваете систему, полезно помнить, что произойдет, если она не будет работать. Исходя из того, какова цена такого отказа, можно поработать над повышением устойчивости системы.

В большинстве случаев то, что система «не работает» — не катастрофа. Если тостер не работает, это не такая уж большая проблема. Вы можете сделать тост через несколько дней, а пока есть мягкий хлеб. С другой стороны, если вы отправляетесь на Марс, то скорее всего будете рады нескольким дополнительным баллонам с кислородом, даже если стоимость их доставки будет достаточно высока.

Мы можем совершить две ошибки, когда организуем некую систему:

1. Слишком оптимистично оцениваем надежность системы, и при этом существует нарратив о том, что издержки жизни без системы минимальны. Я бы поместил текущее состояние нашей интернет-инфраструктуры в эту категорию.
2. Мы слишком пессимистично оцениваем вероятность и цену неудачи. Из-за этого мы чересчур много внимания уделяем техническим характеристикам или платим за излишества гораздо больше, чем нужно. Спасательные жилеты в самолетах — отличный тому пример. Так же как и попытка избавиться от всех до единой опечаток. В этом также одна из причин, по которой медицина так дорого нам обходится... последние 0,01% — самая дорогая часть.

Полезный навык в принятии управленческих решений — способность описывать устойчивость и цену неудачи неэмоциональным образом. Особенно когда это так трудно сделать.