辅助性预防措施——制度设计的核心不是「最好的情况」而是「最坏的情况」

单一防线无论多坚固都可能被击穿，因此需要多层独立的防御——每一层都假设前一层已经失效。这种「纵深防御」思维不仅是制度设计原则，更是一种根本性的安全哲学：系统安全性不取决于最强的环节，而取决于最弱的环节被多少层其他环节所保护。