23.3.1 不变式断言