2.4.3 Lipner完整性模型