异常处理原则：「电梯永远不会坏」