4.3.1 系统模型与安全模型