безопасный при одном отказе