版本迁移

迁移步骤

1. 把散落在 guard 中的鲁棒性声明提取为 robust { ... } 块；
2. 为每个影响提交的未知量补齐 variable 声明与不确定性；
3. 为不可逆操作补齐 accountable 与 rollback；
4. 把硬编码阈值改为 invariant field；
5. 运行 rcl robust <file> 确认四项证书均为 1。

不要混用版本语法：0.93.4 编译器不识别 robust 块；0.94 文档中的结论也不适用于 0.90.0。