3.6 有限可靠性（fail safe）结构