真正的可靠性不是"不出错"，而是"出错后能恢复"

Tanenbaum 在讨论死锁时指出，与其试图完美预防死锁（实践中不可能），不如设计检测和恢复机制。微内核的设计哲学也体现了这一点——不追求驱动程序零 bug，而是追求 bug 发生时能自动重启驱动而非崩溃系统。**工程可靠性的真相是：错误是不可避免的，系统设计的目标不是消除错误，而是让错误变得可承受**。这个洞察与 Nassim Taleb 的"反脆弱"理念高度共振。