运用形式化方法,构造了一个小而安全的操作系统微内核