10.3.2 安全模型分析