L'approccio cintura e bretelle (belt and suspenders in americano, belt and braces in inglese britannico) è una filosofia di progettazione e ingegneria in cui si applicano due protezioni indipendenti alla stessa potenziale anomalia, così che il sistema rimanga protetto anche se uno dei meccanismi cede del tutto.
La locuzione riprende il gesto quotidiano di indossare sia una cintura sia le bretelle: ognuna delle due basterebbe a tenere su i pantaloni; insieme, lo garantiscono. L'espressione è tipicamente americana — l'inglese britannico preferisce belt and braces — ma il significato è identico.
Dove la si incontra
Ingegneria safety-critical. Nell'aviazione, nel nucleare, nei dispositivi medici e nei sistemi di controllo industriale, la ridondanza non è un lusso — è un requisito. Un sistema di controllo del volo avrà in genere più canali indipendenti, ciascuno capace di pilotare l'aereo da solo. Un interruttore automatico e un fusibile sullo stesso circuito. Una valvola di sicurezza indipendente a valle di quella principale. La filosofia è esplicita: non scommettere la vita del sistema sull'affidabilità di una singola protezione.
Software e sistemi distribuiti. Il pensiero cintura-e-bretelle si manifesta come programmazione difensiva: valida sul client e ancora sul server; autentica al perimetro e ancora al confine del servizio; fai il backup su storage primario e su una posizione secondaria. Il punto è che qualsiasi singolo controllo può fallire — per una race condition, una configurazione errata, un componente compromesso — e il sistema dovrebbe sopravviverci.
Diritto e contratti. Gli avvocati sovrappongono protezioni ridondanti non perché si aspettino che tutte siano necessarie, ma perché non possono sapere in anticipo quale reggerà in tribunale. Una clausola che richiede il consenso scritto, seguita da una clausola che invalida qualsiasi modifica orale — due formulazioni che dicono la stessa cosa in modo diverso, per coprire il caso in cui una venga ritenuta ambigua o inapplicabile.
Medicina. I regimi terapeutici combinano talvolta due meccanismi che agiscono sullo stesso agente patogeno o sulla stessa condizione. Un paziente che assume due antiretrovirali di classi diverse rimane protetto se uno smette di funzionare per resistenza. Il pensiero cintura-e-bretelle in farmacologia è una delle ragioni per cui la terapia combinata è diventata lo standard di cura per l'HIV.
Il costo
Il design cintura-e-bretelle non è gratuito. Aggiunge complessità, onere di manutenzione e nuova superficie di attacco — un secondo sistema può cedere a modo suo, e l'interazione tra due protezioni può generare guasti che nessuna delle due causerebbe da sola. Può anche alimentare la falsa sicurezza: la convinzione che due protezioni siano così più sicure di una da rendere il sistema complessivo invulnerabile. In pratica, i guasti correlati — entrambe le protezioni che condividono una dipendenza comune — erodono quella protezione più di quanto la maggior parte dei progettisti si aspetti.
La disciplina consiste nel sapere quando la ridondanza è saggezza e quando è teatro. Nei sistemi safety-critical, la risposta è di solito chiara: propendi per la ridondanza, accetta il costo e progetta ogni livello il più indipendente possibile. Nelle decisioni quotidiane, la stessa logica vale in modo più silenzioso — tieni un backup, conserva una copia, pianifica per l'ipotesi che l'assunzione sia sbagliata.