| □ Inpf = Inpf', (Ry(m)(S', S'') ∧ (GInv(S') → GInv(S''))) -+-> (last ⊃ Po(m)(S);(Gr(m)(S, S') ∧ ¬ blocked) ∧ (GInv(S) → GInv(S'))), [:S, Outf | SEQ#(m, Inpf(m); S, Outf(m))], GInv(S), Pr(m)(S) ⊦ (Ry(m)(S', S'') ∧ (GInv(S') → GInv(S''))) -+-> (last ⊃ Po(m)(S) ∧ GInv(S);Gr(m)(S, S') ∧ ¬ blocked ∧ (GInv(S) → GInv(S'))) |
(Ry(m)(S', S'') ∧ (GInv(S') → GInv(S''))) -+-> (last ⊃ Po(m)(S);(Gr(m)(S, S') ∧ ¬ blocked) ∧ (GInv(S) → GInv(S'))), GInv(S) ⊦ (Ry(m)(S', S'') ∧ (GInv(S') → GInv(S''))) -+-> (last ⊃ Po(m)(S) ∧ GInv(S);Gr(m)(S, S') ∧ ¬ blocked ∧ (GInv(S) → GInv(S')))