4.4.1 系统模型与安全模型