Если <math>F_{0}F0=F</math>, то <math>M=M*</math>, Fs=Fs* <math>\forall</math> S и O, для которых Fs* (S)<Fo*(O), read <math>\notin</math>M [S,O] <br /> Смысл введения перечисленных ограничений ограничений и их отличия от условий теоремы Белла-Лападула состоит в следующем: нельзя изменять одновременно состояния более одного компонента, при переходе возникает новое отношение доступа или уровень О, или уровень S. <br /> Функция перехода является безопасной, когда она изменяет только 1 из компонент состояния и изменения не приводят к изменению состояния системы.
