⊦ reachable(r, r0, H) ↔ r ≠ null ∧ r ∈ H ∧ (∃ r1. H[r].nxt = r1 ∧ r1 ∈ H ∧ r1 ≠ null ∧ reachable(r1, r0, H)), r = r0