• size( α(s). elems ) < α(s).bound    ⇒   length( s.items ) < s.limit

  • s′ = 〈 s.items ·i, s.limit 〉    ⇒   α(s′) =       〈 α(s).elems \uplus {i}, α(s).bound 〉


slide: Behavioral subtypes -- proof obligations