12.2 人机系统的容错设计