4.3 安全模型