必须能够防止在交通行为过程中发生的可能导致严重后果的人的失误;应能防止一个部件或元件的故障引起其他部件或元件的故障，以避免事故的发生;运行过程中可能会产生高于正常水平的能量释放，应采取措施使系统能够承受这种释放