rustのnull安全？はクリティカルコンテキストでも保証されるんか？