OP的安全模型