说得很好，single point of failure！系统设计要假设人性是恶的，要假设各种恶劣条件

还能正常运行的才是“好”的系统。

这里对设计的目标没有任何道德判断，只看设计的目标有没有达成，即使目标是“共党江山永不倒，集体领导改革开放”。