第4章笔记：安全、可靠性与生命安全系统

将安全工程、网络安全和伦理义务放进同一风险闭环。

七节依赖

1. 威胁、脆弱性、风险与伤害：$risk=likelihood\times consequence$；任务：建立资产—威胁—控制—剩余风险表；边界：只列漏洞评分会遗漏业务和人身后果。
2. 安全默认、最小权限与纵深防御：$privilege=min(required)$；任务：缩小服务账号权限并增加独立控制层；边界：单点防护失效时必须仍有边界。
3. 安全开发与负责任披露：$discover\to verify\to coordinate\to disclose$；任务：制定包含修复时限的漏洞披露计划；边界：立即公开和无限期压制都可能增加伤害。
4. 可靠性、可用性与故障安全：$A=MTBF/(MTBF+MTTR)$；任务：区分故障停止、故障安全和故障运行；边界：高可用不等于输出一定安全。
5. 生命安全系统与冗余：$P_{dual}=P_1{P}_2(independent)$；任务：检查冗余是否真正独立；边界：共同原因失效会击穿名义双重冗余。
6. 滥用案例与双用途：$misusecase=actor+goal+path+harm$；任务：为正常功能编写对抗性滥用案例；边界：用户协议不能阻止技术上容易的滥用。
7. 上线闸门与停止权：$ship⟺evidence\ge threshold$；任务：定义谁能因安全证据不足停止发布；边界：没有明确停止权的评审容易沦为形式。

交付

提交事实/未知表、六类利益相关者、义务地图、五个选项、指标与限制、反方意见、上线/停止门槛、申诉补救和复核日期。