9.2 容错设计模型