oving）来证明关键的软件子系统的正确性。因此，当单一的有特点的特性可以作为关键点被分离出，而此特性可被数学评估时，安全的解析解（closed form solution）才会有效。在这种正确性证明不存在时，严谨的代码审查（code review）和单元测试（unit testing）是最好的保证模块安全的方式。设计时应使用纵深防御（Defense in depth），即当多于一个子系统被误用时，系统的完整性和其存储的信息才会受损。当对一种安全措施的破坏不会使得对另一种措施的破坏变成更容易时，纵深防御