在设计( )装置时，必须使其在发生任何故障时，都不使人员暴露在危险之中。