2.1 安全模型假设