8.5.1 不变式断言