2008年金融危机引来了一片尖酸刻薄的互相指责之声，若说达成了什么一致意见，那就是应该把金融体系建设得更加安全。必须用某种方式引入一些规则，防止银行业再次崩溃。
为了让复杂的体系更加安全，比较直接的方法就是采取一些安全措施。在安全工程学领域，詹姆斯·里森因提出了应对事故的瑞士奶酪模式而声名远扬。他把一系列安全体系想象成一摞瑞士多孔干奶酪片，正如每一片奶酪都有孔洞一样，每种安全策略都有缺陷；但是当把足够多的奶酪片一层层叠到一起时，这些孔洞肯定不会连接到一起。因此有人认为，只要把金融体系中的安全策略像叠瑞士奶酪片一样一个个叠加到一起，就可以高枕无忧了。不幸的是，事情并非想象的那么简单。里森这样的安全专家很清楚，每个增添的安全措施也可能意外地出现差错。
1638年，伽利略谈到的一个例子就体现了这一原则。当时的泥瓦匠会把石柱放倒水平堆放，再用两堆石头架起石柱两端让它离开地面。由于自身的重量，石柱经常会从中间折断。“解决方案”就是在中间再加一堆石头来增强支撑力，但是这种做法根本不管用。因为两端的支撑点会稍微下沉，而石柱就像跷跷板一样依靠中间的支撑点，最后仍旧从中折断，再把两端也折断。
阿尔法钻井平台灾难也是一个例子。维修活动和旨在防止工程师疲劳加班的规定相冲突，导致了灾难的发生；而防止潜水员被吸入灭火抽水泵的安全设施让灾难进一步升级。1966年，底特律附近的费米（Fermi）核反应堆发生部分熔毁，6.5万人的生命危在旦夕。核电厂被关闭，几个星期后反应堆压力外壳冷却下来，人们终于找到了罪魁祸首：反应堆中心翻涌的冷却剂冲开了一点锆防辐射层，面积约压扁的啤酒罐大小，它阻碍了冷却剂的流通。这个防辐射层是根据美国核能管理委员会（Nuclear Regulatory Commission）的明确规定，为了确保安全才在最后一刻安装上的。
这些例子中的问题在于安全体系带来了新的出错方式，工程师称之为新的失败模式。金融危机中存在的正是这一问题：不是由于缺乏安全体系，而是因为安全体系的存在才让事态进一步恶化。
再看一下信用违约掉期（credit default swap，简称CDS），在金融危机中起了主要作用的就是它。信用违约掉期合约是一种保险，主要用来防范无法偿还的贷款。1994年，摩根大通集团和欧洲复兴开发银行签订了第一份这样的合约。摩根大通付给欧洲复兴开发银行一笔费用，作为交换，欧洲复兴开发银行担保一旦石油巨头埃克森公司拖欠48亿美元的贷款，它就负责赔偿损失，而埃克森拖欠48亿美元贷款这种事情几乎难以想象。狭义上看，这笔交易很合理：欧洲复兴开发银行拥有大量的闲置资金，想要寻找一些低风险的收入，而摩根大通的资金用途多多，但根据银行管理规定，公司必须留出10亿美元以防埃克森公司的贷款发生变故。这份信用违约掉期合约把风险转嫁给了欧洲复兴开发银行，也解放了摩根大通的资金。监管机构明确批准了这个合约，他们认为这是控制风险的安全之举。
这些违约掉期合约会带来两个方面的问题。首先，一些投机行上了保险，银行因此信心十足地增持其股份。监管机构批准了这些合约，负责评估这些风险的信用评级机构也没有提出异议。详细记载危机过程的约翰·兰切斯特（John Lanchester）诙谐地说：“就好像人们把发明安全带看成是可以趁机醉酒驾驶一样。”确实如此，有证据表明，安全带和安全气囊的确刺激着驾驶员采取更危险的举动，心理学家称之为风险补偿。最重要的是，信用违约掉期合约制造了一个安全边际，让银行更愿意铤而走险。和安全带和危险驾驶这个比喻中出现的结果一样，无辜的旁观者成了受害者。
和伽利略提到的石柱、费米反应堆的锆防辐射层一样，违约掉期合约用非常微妙的方式助长了危机，因为它引入了导致事物出错的全新、意外的方式。违约掉期合约既让金融体系更加复杂，又让体系内部的耦合更加紧密。原本不相关的机构最终也被卷了进来，谁也预料不到的新因果关系链不断涌现。
债券保险行业也是个很好的例子(24)。银行创造出复杂的住房抵押关联债券，然后让所谓的单线担保公司和美国国际集团（AIG）这样的大型普通保险公司提供信用违约掉期保险。这种做法似乎对双方而言都很明智：对保险公司而言，这种做法有利可图，而且看起来万无一失；而对投资者而言，他们也大可放心，因为有坚如磐石的保险公司在背后做保障。
不过，就像我们看到的伦敦超额赔款市场灾难一样，即使有保险这样堪称典范的安全体系保驾护航，也会出现意想不到的风险。潜伏的危险来自信用评级，这是由信用评级机构设计出来评估债券风险的一种措施。如果承保方为某一债券投保，这种债券自然就继承了承保人的信用评级。像AIG这样的保险公司信用评级很高，所以如果它为某一债权投保，即使债券本身的风险很大，也会获得很好的信用评级。
不幸的是，这个过程反过来也能行得通。如果一家保险公司错误地为太多高风险债券投了保险，它简直就像是为破产敞开了大门，保险公司也难以保全原本优秀的信用评级。随着自身的信用评级被调低，它投保的所有债券的信用评级都会相应下调，这正是AIG和很多单线担保公司的命运。如果大量债券同时被降级，按照法律要求，银行就要被迫同时出售这些债券，因为根据一些貌似合理的规定，银行不得持有太多的高风险债券。不用说金融专家，连一般人也能看明白，正是安全体系和安全监管的组合造就了导致债券价格大跌的因素。
这样一来，银行虽然能避开金融危机的主要源头，比如次级房贷市场，但还是最终被推到了破产的境地。银行会悄无声息地持有由中级风险债券组成的合理的金融产品，保险公司为这些债券上了保险。但是由于为次级房贷产品投保，保险公司惹火上身，银行持有的金融组合产品的信用等级也随之下调，不是因为产品本身的质量问题，而是因为其承保人惹上了麻烦。按照法律规定，银行必须变卖资产，与此同时，其他银行也在变卖资产。就像是一位登山运动员的安全带和一队鲁莽的登山队员连在一起，他小心翼翼地翻越一座悬崖后突然发现，自己被安全带拖进了深渊。保险公司及其信用违约掉期合约起的就是这种安全带的作用。
信用违约掉期合约不仅不能降低风险，反而成功地放大了风险，风险膨胀的程度让人难以置信。其他的金融安全体系也与此类似，例如臭名昭著的债务担保证券（collateralised debt obligation，简称CDO），它将高风险次级房贷的资金流量重新包装，以分割风险、让风险更易辨别，被分割的部分有些风险很大，有些则非常安全。但此举却把一些风险放大到超乎想象的程度，次级房贷让损失变成了两倍，而重新包装的金融流程又让损失成平方增长，变成预期损失的4倍、16倍、256倍甚至6.5万倍（这些数字仅用来进行说明情况，不是很精准，但能形象地描述债务担保证券）。在这两种情况下，安全体系让投资人和银行掉以轻心，但更重要的是，它们把小问题转变成了大灾难。如果有人咨询工业安全专家，他们可能会听到这样的警告：这种出人意料的结果其实很正常。
当然，设计更合理的安全措施可能会发挥不同的作用，但是一次次的工业灾难表明：打造安全措施不像看起来那么简单，安全措施往往会“反咬一口”。看来化解工业灾难或金融灾难都不能像鲁布·戈德堡（Rube Goldberg）的设计一样，用复杂的手段解决简单的问题，那么到底该采用什么方法呢？