свойство системы не приводить к аварии при возникновении отказа