设计原则3——故障安全化