Lối ra không phải chọn một bên, mà là thiết kế cho cả hai cùng đúng
Điều khiến vấn đề này khó chịu là nó bị trình bày như một lựa chọn nhị phân: hoặc an toàn, hoặc an ninh. Cách đặt vấn đề đó sai ngay từ đầu. Một công trình được thiết kế đúng không hy sinh bên nào cả.
Chìa khóa nằm ở nguyên tắc phân cấp mệnh lệnh, được quyết định từ khâu thiết kế chứ không phải khâu đấu dây. Nguyên tắc đó nói rằng: trong điều kiện bình thường, lệnh an ninh cai quản cánh cửa. Nhưng ngay khi hệ báo cháy xác nhận sự cố, một tín hiệu ưu tiên được kích hoạt, và tín hiệu đó luôn thắng, không thương lượng, cho đúng nhóm cửa nằm trên đúng lộ trình thoát nạn. Không nhả bừa toàn bộ để rồi tạo ra một lỗ hổng an ninh trên diện rộng. Chỉ nhả đúng những gì cần nhả, đúng lúc cần nhả.
Bên dưới nguyên tắc đó là những lớp bảo hiểm vật lý, để dù điện tử có phản bội thì con người vẫn có đường ra. Một thanh đẩy thoát hiểm mở được bằng chính sức của người đang chạy. Một nút phá kính khẩn cấp cắt nguồn khóa tức thì cho ai cần. Những thiết bị này không phụ thuộc vào việc phần mềm có chạy đúng hay không, và đó chính là lý do chúng tồn tại. Đây là loại thiết kế mà một đơn vị hiểu cả hai thế giới, an ninh và thoát nạn, mới dựng được trọn vẹn, thay vì để hai đội ghép hai nửa lại rồi cầu cho chúng khớp.
Và có một phép thử không thể thiếu: diễn tập. Kích hoạt báo cháy giả lập, rồi kiểm chứng bằng mắt và bằng đồng hồ rằng đúng những cánh cửa cần nhả đã nhả, trong đúng khoảng thời gian cho phép, và biên bản ghi nhận được điều đó theo cách mà cơ quan chức năng chấp nhận. Một hệ thống chỉ thật sự tồn tại khi nó đã được chứng minh trong điều kiện gần với thật nhất, chứ không phải khi nó nằm im trên hồ sơ.
