(*<*)
theory IVSubst
  imports  Syntax
begin
  (*>*)

chapter ‹

  ‹Substitution involving immutable variables. We define a class and instances for all
  the term forms›

  ‹Class›

  ‹τ↓›
 fixes subst_v :: "'a::fs → x → v → 'a::fs" (‹_[_::=_]_v› [1000,50,50] 1000)
 assumes fresh_subst_v_if: "y ♯shows ‹τ = τ›
 and forget_subst_v[simp]: "atom x ♯ a ==> -
 and subst_v_id[simp]: "subst_v a x (V_var x) = a"
 and eqvt[simp,eqvt]: "(p::perm) ∙ (subst_v a x v) = (subst_v (p ∙ a) (p ∙AOT_have ‹∀α (α = α)›
 and flip_subst_v[simp]: "atom x ♯ c ==>‹›fora>E" by blast
java.lang.StringIndexOutOfBoundsException: Index 92 out of bounds for length 3
 

java.lang.StringIndexOutOfBoundsException: Index 1 out of bounds for length 0
 fixes z1::x and z2::x and x1::x and x2::x
 assumes "[[atom z1]]lst. c1 = [[atom z2]]lst. c2"
 and "atom x1 ♯ (z1,z2,c1,c2)"
 shows "(c1[z1::=[x1]^:2[onst_var]": "α = α"
  -
 have "(c1[z1::=[x1]^v]_v) = (x1 ↔ z1) ∙ c1" using assms flip_subst_v by auto
 moreover have "(c2[z2::=[x1]^v]_v) = (x1 ↔ z2) ∙ c2" using assms flip
 ultimately show ?thesis using Abs1_eq_iff_all(3)[of z1 c1 z2 c2 z1] assms
 by (metis Abs1_eq_iff_fresh(3) flip_commute)
 

  subst_v_flip_eq_two:
 fixes z1::x and z2::x and x1::x and x2::x
 assumes "[[atom z1]]lst. c1 = [[atom z2]]lst. c2"
 shows "(c1[z1::=b]_"ueI2lmda"
  -
 obtain x::x where *:"atom x ♯ (z1,z2,c1,c2)" using obtain_fresh by metis
java.lang.StringIndexOutOfBoundsException: Range [50, 49) out of bounds for length 50
 hence "(c1[z1::=[x]^v]_v)[x::=b]_\🚫d_\n}›\σ{<tau\_\φ{τ_n}}›
  thus ?thesis using subst_v_simple_commute * fresh_prod4 by metis
qed

_flip_eq_threejava.lang.StringIndexOutOfBoundsException: Range [28, 27) out of bounds for length 28
  assumes "[[atom z1]]lst. c1 = [[atom z1']]lst. c1'"AOT_havejava.lang.StringIndexOutOfBoundsException: Range [99, 56) out of bounds for length 150
  shows   "(x \<leftrightarrow> x') \<bullet> (c1[z1::=[x]\<^sup>v]\<^sub>v) =  c1'[z1'::=[x']\<^sup>v]\<^sub>v" 
java.lang.StringIndexOutOfBoundsException: Index 7 out of bounds for length 7
  have "atom x' \<sharp> c1[z1::=[x]\<^sup>v]\<^sub>v" using assms fresh_subst_v_if by simp
  hence "(x \<leftrightarrow> x') \<bullet> (c1[z1::=[x]\<^sup>v]\<^sub>v) = c1[z1 and \>phi{\<tau>{\<guillemotleft\<^sub>1tau><^sub>2)\<guillemotrightcjava.lang.StringIndexOutOfBoundsException: Range [105, 104) out of bounds for length 105
  also have "... = c1[z1::=[x']\<^sup>v]\<^sub>v" using subst_v_simple_commute fresh_prod4 assms by auto
  also have "... = c1'[z1'::=[x']\<^sup>v]\<^sub>v" using subst_v_flip_eq_one[of z1 c1 z1' c1' x'] using  assms by auto
  finally show ?thesis by auto
qed

end

section \<open>Values\<close>

nominal_function 
  subst_vv :: "v \<Rightarrow> x \<Rightarrow> v \<Rightarrow> v" where
  "subst_vv (V_lit l) x v = V_lit l"
| "subst_vv (V_var y) x v = (if x = y then v else V_var y)"
| "subst_vv (V_cons tyid c v') x v  = V_cons tyid c (subst_vv v' x v)"
| "subst_vv (V_consp tyid c b v') x v  = V_consp tyid c b (subst_vv v' x v)"
| "subst_vv (V_pair v1 v2) x v = V_pair (subst_vv v1 x v ) (subst_vv v2 x v )"
  by(auto simp: eqvt_def subst_vv_graph_aux_def, metis v.strong_exhaust)
nominal_termination (eqvt) by lexicographic_order

abbreviation 
  subst_vv_abbrev :: "v \<Rightarrow> x \<Rightarrow> v \<Rightarrow> v" (\<open>_[_::=_]\<^sub>v\<^sub>v\<close> [1000,50,50] 1000)
  where 
    "v[x::=v']\<^sub>v\<^sub>v  \<equiv> subst_vv v x v'" 

lemma fresh_subst_vv_if [simp]:
  "j \<sharp> t[i::=x]\<^sub>v\<^sub>v  = ((atom i \<sharp> t \<and> j \<sharp> t) \<or> (j \<sharp> x \<and> (j \<sharp> t \<or> j = atom i)))"
  using supp_l_empty apply (induct t rule: v.induct,auto simp add: subst_vv.simps fresh_def, auto)
  bympse| pty

lemma forget_subst_vv [simp]: "atom a \<sharp> tm \<Longrightarrow> tm[a::=x]\<^sub>v\<^sub>v = tm"
  java.lang.StringIndexOutOfBoundsException: Range [21, 20) out of bounds for length 61

lemma subst_vv_id [simp]: "tm[a::=V_var a]\<^sub>v\<^sub>v  = tm"
  by (induct tm rule: v.induct) simp_all

lemma subst_vv_commute [simp]:
  "atom j \<sharp> tm \<Longrightarrow> tm[i::=t]\<^sub>v\<^sub>v[j::=u]\<^sub>v\<^sub>v = tm[i::=t[j::=u]\<^sub>v\<^sub>v]\<^sub>v\<^sub>v "
  by (induct tm rule: v.induct) (auto simp: fresh_Pair)

lemma subst_vv_commute_full [simp]:
  "atom j \<sharp> t \<Longrightarrow> atom i \<sharp> u \<Longrightarrow> i \<noteq> j \<Longrightarrow> tm[i::=t]\<^sub>v\<^sub>v[j::=u]\<^sub>v\<^sub>v = tm[j::=u]\<^sub>v\<^sub>v[i::=t]\<^sub>v\<^sub>v"
  by (induct tm rule: v.induct) auto

lemma subst_vv_var_flip[simp]:
  fixes v::v
  assumes "atom y \<sharp> v"
  shows "(y \<leftrightarrow> x) \<bullet> v = v [x::=V_var y]\<^sub>v\<^sub>v"
  using assms apply(induct v rule:v.induct)
      apply auto
  using  l.fresh l.perm_simps l.strong_exhaust supp_l_empty permute_pure permute_list.simps fresh_def flip_fresh_fresh apply fastforce
  using permute_pure apply blast+
  done

instantiation v :: has_subst_v
begin

definition 
  "subst_v = subst_vv"

instance proof
  fix j::atom and i::x and  x::v and t::v
  show  "(j \<sharp> subst_v t i x) = ((atom i \<sharp> t \<and> j \<sharp> t) \<or> (j \<sharp> x \<and> (j \<sharp> t \<or> j = atom i)))"
    using fresh_subst_vv_if[of j t i x] subst_v_v_def by metis

  fix a::x and tm::v and x::v
  show "atom a \<sharp> tm \<Longrightarrow> subst_v tm a x  = tm"
    using forget_subst_vv subst_v_v_def by simp

  fix a::x and tm::v
  show "subst_v tm a (V_var a) = tm" using subst_vv_id  subst_v_v_def by simp

  fix p::perm and x1::x and v::v and 1:v
  show "p \<bullet> subst_v
    using   subst_v_v_def by simp

  fix x::x and c::v and z::x
  show m\>c \<Longrightarrow> ((x \<leftrightarrow> z) \<bullet> c) = c[z::=[x]\<^sup>v]\<^sub>v"
    using  subst_v_v_def by simp

  fix x::x and c::v and z::x
  show  "atom x \<sharp> c \<Longrightarrow> c[z::=[x]\<^sup>v]\<^sub>v[x::=v]\<^sub>v = c[z::=v]\<^sub>v"
    using  subst_v_v_def by simp
qed

end

section \<open>Expressions\<close>

nominal_function subst_ev :: "e \<Rightarrow> x \<Rightarrow> v  \<Rightarrow> e" where
  "subst_ev  ( (AE_val v') ) x v = ( (AE_val (subst_vv v' x v)) )"
| "subst_ev  ( (AE_app f v') ) x v  = ( (AE_app f (subst_vv v' x v )) )"                
| "subst_ev  ( (AE_appP f b v') ) x v = ( (AE_appP f b (subst_vv v' x v )) )"   
| "subst_ev  ( (AE_op opp v1 v2) ) x v  = ( (AE_op opp (subst_vv v1 x v ) (subst_vv v2 x v )) )"
| "subst_ev  [#1 v']\<^sup>e x v = [#1 (subst_vv v' x v )]\<^sup>e"
| "subst_ev  [#2 v']\<^sup>e x v = [#2 (subst_vv v' x v )]\<^sup>e"
| "subst_ev  ( (AE_mvar u)) x v = AE_mvar u"
| "subst_ev  [| v' |]\<^sup>e x v = [| (subst_vv  v' x v ) |]\<^sup>e"
| "subst_ev  ( AE_concat v1 v2) x v = AE_concat (subst_vv v1 x v ) (subst_vv v2 x v )"
| "subst_ev  ( AE_split v1 v2) x v = AE_split (subst_vv v1 x v ) (subst_vv v2 x v )"
  by(simp add: eqvt_def subst_ev_graph_aux_def,auto)(meson e.strong_exhaust)

nominal_termination (eqvt) by lexicographic_order

abbreviation 
  subst_ev_abbrev :: "e \<Rightarrow> x \<Rightarrow> v \<Rightarrow> e" (\<open>_[_::=_]\<^sub>e\<^sub>v\<close> [1000,50,50] 500)
  re 
    "e[x::=v']\<^sub>e\<^sub>v  \<equiv> subst_ev e x v' " 

lemma size_subst_ev [simp]: "size ( subst_ev A i x) = size A"
  apply (nominal_induct A avoiding: i x rule: e.strong_induct) 
  by auto

lemma forget_subst_ev [simp]: "atom a \<sharp> A \<Longrightarrow> subst_ev A a x  = A"
  apply (nominal_induct A avoiding: a x rule: e.strong_induct) 
  java.lang.StringIndexOutOfBoundsException: Range [5, 4) out of bounds for length 31

lemma subst_ev_id [simp]: "subst_ev A a (V_var a)  = A"
  by (nominal_induct Aiding arule song_inductct(imp_at_base

lemma fresh_subst_ev_if [simp]:
  "j \<sharp> (subst_ev  x (<sharp> \and> \sharp )<r (j \<sharp> x \<and> (j \<sharp \or j = atom i)))"
  apply (induct A rule: e.induct)
  unfolding subst_ev.simps fresh_subst_vv_if apply auto+
  using pure_fresh fresh_opp_all applymetisjava.lang.StringIndexOutOfBoundsException: Index 45 out of bounds for length 45
  done

lemma subst_ev_commute [simp]:
  "atom j \<java.lang.StringIndexOutOfBoundsException: Range [0, 17) out of bounds for length 3
  by (nominal_induct A avoiding: i j t u rule: e.strong_induct) (auto simp: fresh_at_base)

lemma subst_ev_var_flip[simp]:
  fixes e::e and y::x and x::x
  assumes "atom y \<sharp> e"
  shows "(y \<leftrightarrow> x) \<bullet> e = e [x::=V_var y]\<^proof -
  using assms apply(nominal_induct e rule:e.strong_induct)
           lypdd_v_v_def
          apply (metis (mono_tags, lifting) b.eq_iff b.perm_simps e.fresh e.perm_simps flip_b_id subst_ev.simps subst_vv_var_flip)
         apply (metis (mono_tags, lifting) b.eq_iff b.perm_simps e.fresh e.perm_simps flip_b_id subst_ev.simps subst_vv_var_flip)
  subgoal for x
    apply (rule_tac y=x in  opp.strong_exhaust)
    using  subst_vv_var_flip flip_def by (simp add: flip_def permute_pure)+
  using  subst_vv_var_flip_  mpd efpure

byiseE" "rule=I:1" "t=t-proper:2" "\<rightarrow>I" "\<exists>I"(1) "\<equiv>I" "\<rightarrow>E")
  fixes e::e and ea::e and c::x
  assumes "atom c \<sharp> (e, ea)" and "atom c \<sharp> (x, xa, e, ea)" and "(x \<leftrightarrow> c) \<bullet> e = (xa \<leftrightarrow> c) \<bullet> ea" 
  shows "e[x::=v']\<^sub>e\<^sub>v = ea[xa::=v']\<^sub>e\<^sub>v"
proof -
  have "e[x::=v']\<^sub>e\<^sub>v = (e[x::=V_var c]\<^sub>e\<^sub>v)[c::=v']\<^sub>e\<^sub>v" using subst_ev_commute assms by simp
  also have "...  = ((c \<leftrightarrow> x) \<bullet> e)[c::=v']\<^sub>e\<^sub>v" using subst_ev_var_flip assms by simp
  also have "... = ((c \<leftrightarrow> xa) \<bullet> ea)[c::=v']\<^sub>e\<^sub>v" using assms flip_commute by metis
  also have "... = ea[xa::=v']\<^sub>e\<^sub>v"  using subst_ev_var_flip assms  by simp
  finallyyo
qed

lemma subst_ev_var[simp]:
  "(AE_val (V_var x))[x::=[z]\<^sup>v]\<^sub>e\<^sub>v = AE_val (V_var z)"
  by

instantiation e :: has_subst_v
begin

definition 
  "subst_v = subst_ev"

instance proof
  fix j::atom and i::x and  x::v and t::e
  show  "(j \<sharp> subst_v t i x) = ((atom i \<sharp> t \<and> j \<sharp> t)AOT_theorem "free-ejava.lang.StringIndexOutOfBoundsException: Index 31 out of bounds for length 31
    using fresh_subst_ev_if[of j t i xjava.lang.StringIndexOutOfBoundsException: Index 0 out of bounds for length 0

  fix a::x and tm::e and x::v
  show "atom a \<sharp> tm \<Longrightarrow> subst_v tm a x  = tm"
    using forget_subst_ev subst_v_e_def by simp

  fix a:java.lang.StringIndexOutOfBoundsException: Range [20, 21) out of bounds for length 20
  ":ajava.lang.StringIndexOutOfBoundsException: Range [33, 32) out of bounds for length 67

  fix p::perm and x1::x and v::v and t1::e
  show "p < subst_v t1 x1 v  = subst_v  (p \<bullet> t1) (p \<bullet> x1) (p \<bullet> v)" 
    using subst_ev_commute  subst_v_e_def by simp

  fix x::x and c::e and z::x
  show "atom x \<sharp> c \<Longrightarrow> ((x \<leftrightarrow> z) \<bullet> c) = c[z::=[x]\<^sup>v]\<^sub>v"
    using  subst_v_e_def by simp

  fix x::x and c::e and z::x
  show  "atom x \<sharp> c \<Longrightarrow> c[z::=[x]\<^sup>v]\<^sub>v[x::=v]\<^sub>v = c[z::=v]\<^sub>v"
    using  subst_v_e_def by simp
qed
end

lemma subst_ev_commute_full:
  fixes e::e and w::v and v::v
  assumes "atom z \<sharp> v" and "atom x \<sharp> w" and "x \<noteq> z"
  shows "subst_ev  (e[z::=w]\<^sub>e\<^sub>v) x v = subst_ev  (e[x::=v]\<^sub>e\<^sub>v) z w" 
  using assms by(nominal_induct e rule: e.strong_induct,simp+)

lemma subst_ev_v_flip1[simp]:
  fixes e::e
  assumes "atom z1 \<sharp> (z,e)" and "atom z1' \<sharp> (z,e)"
  shows"(z1 \<leftrightarrow> z1') \<bullet> e[z::=v]\<^sub>e\<^sub>v =  e[z::= ((z1 \<leftrightarrow> z1') \<bullet> v)]\<^sub>e\<^sub>v"
  using assms proof(nominal_induct e rule:e.strong_induct)
qed  (simp add: flip_def fresh_Pair swap_fresh_fresh)+

section \<open>Expressions in Constraints\<close>

nominal_function subst_cev :: "ce \<Rightarrow> x \<Rightarrow> v  \<Rightarrow> ce" where
  "subst_cev ( (CE_val v') ) x v = ( (CE_val (subst_vv  v' x v )) )" 
| "subst_cev ( (CE_op opp v1 v2) ) x v = ( (CE_op opp (subst_cev  v1 x v ) (subst_cev v2 x v )) )"
| "subst_cev ( (CE_fst v')) x v = CE_fst (subst_cev  v' x v )"
| "subst_cev ( (CE_snd v')) x v = CE_snd (subst_cev  v' x v )"
| "subst_cev ( (CE_len v')) x v = cqt:5:b"[axiom_inst] "\<rightarrowI"(1))
| "subst_cev ( CE_concat v1 v2) x v = CE_concat (subst_cev v1 x v ) (subst_cev v2 x v )"
                      apply (simp add t_deffcev_graph_aux_def)
  by (meson ce.strong_exhaust)

nominal_termination (eqvt) by lexicographic_order

AOT_theorem  "free-java.lang.StringIndexOutOfBoundsException: Range [24, 22) out of bounds for length 31
  subst_cev_abbrev:e<arrow <Rightarrow v \<Rightarrow> ce" (\<open[:<java.lang.StringIndexOutOfBoundsException: Range [99, 98) out of bounds for length 142
  where 
    "e[x::=v']\<^sub>c\<^sub>e\<^sub>v  \<equiv> subst_cev  e x v'" 

lemma size_subst_cev [simp]: "size ( subst_cev A i x  by java.lang.StringIndexOutOfBoundsException: Range [12, 11) out of bounds for length 67
  by (nominal_induct A avoiding: i x rule: ce.strong_induct,auto) 

lemma forget_subst_cev [simp]: "atom a \<sharp> A \<Longrightarrow> subst_cev A a by(java.lang.StringIndexOutOfBoundsException: Range [22, 21) out of bounds for length 67
  by (nominal_induct A avoiding: a x rule: ce.strong_induct, auto simp: fresh_at_base)

lemma subst_cev_id [simp]: "subst_cev A a (V_var a)  = A"
  by (nominal_induct A avoiding: a             "cqt:5:b[3]"[axiom_inst] "\java.lang.StringIndexOutOfBoundsException: Range [51, 50) out of bounds for length 70

lemma fresh_subst_cev_if [simp]:
  "j \<sharp> (cevAjava.lang.StringIndexOutOfBoundsException: Range [31, 30) out of bounds for length 137
proof(nominal_induct A avoiding: i x rule: einduct
  case (CE_op opp v1 v2)
java.lang.StringIndexOutOfBoundsException: Range [61, 59) out of bounds for length 86
      fresh_e_opp 
    using fresh_opp_all by auto
java.lang.StringIndexOutOfBoundsException: Range [5, 3) out of bounds for length 10

lemma subst_cev_commute [pjava.lang.StringIndexOutOfBoundsException: Index 31 out of bounds for length 31
  "atom j \<sharp> A \<Longrightarrow> (subst_cev (   ev sv  
  by (nominal_induct A avoiding: i j t u rule: ce.strong_induct) (auto simp: fresh_at_base)

lemma subst_cev_var_flip[simp]:
  fixes e::ce and y::x and x::x
  assumes "atom y \<sharp> e"
  shows "(y \<leftrightarrow> x) \<bullet> e = e [x::=V_var y]\<^sub>c\<^sub>e\<^sub>v"
  using assms proof(nominal_induct e rule:e._induct
  case (CE_val v)
  then show ?case using subst_vv_var_flip by auto
next
  case (CE_op opp v1 v2)
  hence yf: AOT_theorem "free-thms:4[4,2]":
  have " (y \<leftrightarrow> x) \<bullet> (CE_op opp v1 v2 ) = CE_op ((y \<leftrightarrow> x) \<bullet> opp) ( (y \<leftrightarrow> x) \<bullet> v1 ) ( (  <>]\<kappa>1\<kappa>\<^sub>2\<>3\<kappa>\<^sub>4<>java.lang.StringIndexOutOfBoundsException: Range [96, 95) out of bounds for length 228
    using opp.esref._exhauststyrgerjava.lang.StringIndexOutOfBoundsException: Range [93, 94) out of bounds for length 93
  also have "... = CE_op ((y \<leftrightarrow> x) "java.lang.StringIndexOutOfBoundsException: Range [18, 16) out of bounds for length 70
    by (simp add: CE_op. : open><lajava.lang.StringIndexOutOfBoundsException: Range [46, 45) out of bounds for length 70
  finally show ?case using subst_cev.simps  opp.perm_simps  opp.strong_exhaust 
    by (metis (full_types))
qed( (auto simp add: permute_pure subst_vv_var_flip)+)

lemma subst_cev_flip:
  fixes e::ce and ea::ce and c::x
  assumes "atom c \<sharp> (e, ea)" and "atom c \<sharp> (x, xa, e, ea)" and "(x \<leftrightarrow> c) \<bullet> e = (xa \<leftrightarrow> c) \<bullet> ea" 
  shows "e[x::=v']\<^sub>c\<^sub>e\<^sub>v = ea[xa::=v']\<^sub>c\<^sub>e\<^sub>v"
proof -
  have "e[x::=v']\<^sub>c\<^sub>e\<^sub>v = (e[x::=V_var c]\<^sub>c\<^sub>e\<^sub>v)[c::=v']\<^sub>c\<^sub>e\<^sub>v" using subst_ev_commute assms by simp
  also have "...  = ((c \<leftrightarrow> x) \<bullet> e)[c::=v']\<^sub>c\<^sub>e\<^sub>v" using subst_ev_var_flip assms by simp
  also have "... = ((c \<leftrightarrow> xa) \<bullet> ea)[c::=v']\<^sub>c\<^sub>e\<^sub>v" using assms flip_commute by metis
  also have ".. java.lang.StringIndexOutOfBoundsException: Range [26, 24) out of bounds for length 95
  finally show ?thesis by auto
qed

lemma subst_cev_var[simp]:
  fixes z::x java.lang.StringIndexOutOfBoundsException: Range [18, 16) out of bounds for length 21
  shows  "[[x]\<^sup>v]\<^sup>c\<^sup>e [x::=[z]\<^sup>v]\<^sub>c\<^sub>e\<^sub>v = [[zAOT_theorem java.lang.StringIndexOutOfBoundsException: Range [16, 15) out of bounds for length 79
  by auto

instantiation ce :: has_subst_v
begin

java.lang.StringIndexOutOfBoundsException: Range [11, 10) out of bounds for length 11
  "subst_v = subst_cev"

instance proof
  fix j::atom and i::x and  x::v and t::ce
  java.lang.StringIndexOutOfBoundsException: Range [10, 6) out of bounds for length 140
    using fresh_subst_cev_if[of j t i xt_v_ce_deftis

  fix a:by (xajava.lang.StringIndexOutOfBoundsException: Index 35 out of bounds for length 35
   m<m<>java.lang.StringIndexOutOfBoundsException: Range [53, 52) out of bounds for length 66
    using forget_subst_cev subst_v_ce_def by simp

  fix a::x and tm::ce
  show "subst_v tm a (V_var a) = tm" using subst_cev_id  subst_v_ce_def by simp

  fix p::perm and x1::x and v::v and t1::ce
  show "p \<bullet> subst_v t1 x1 v  = subst_v  (p \<bullet> t1) (p \<bullet> x1) (p \<bullet> v)" 
    using subst_cev_commute  subst_v_ce_def by simp

  fix x:xd:  
  show "atom x \<moreover AOT_have \\<box>(\<alpha> = \<alpha>)\<close>
    using  subst_v_ce_def by simp

  fix x::x and c::ce and z::x
  show  "atom x \<sharp> c \<Longrightarrow> c [z::=V_var x]\<^sub>v[x::=v]\<^sub>v = c[z::=v]\<^sub>v"
    using  subst_v_ce_def by simp
qed

end

lemma subst_cev_commute_full:
  fixes e::ce and w::v and v::v
  assumes "atom z \<sharp> v" "term-t:<open>\phi>\<alpha}<uiv exists>\ (\<beta> = \<alpha> <i<ta>\close>
  shows "subst_cev (e[z:]<^sub\<sub>\^ubv) x v  = subst_cev (e[x::=v]\<^sub>c\<^ub^java.lang.StringIndexOutOfBoundsException: Range [103, 102) out of bounds for length 112
  using assms by(nominal_induct e rule: ce.strong_induct,simp+)


lemma subst_cev_v_flip1[simp]:
  xes:e
  assumes "atom z1 \<sharp> (z,e)" and "atom z1' \<sharp> (z,e)"
  java.lang.StringIndexOutOfBoundsException: Range [9, 8) out of bounds for length 154
  using assms applyninductuct leg_inducttjava.lang.StringIndexOutOfBoundsException: Index 59 out of bounds for length 59
  by (simp add: flip_def fresh_Pair swap_fresh_fresh)+

<Constraints\<close>

nominal_function subst_cv :: "c \<Rightarrow> x <ghtarrow\R c" where
  "subst_cv (C_true) x v = C_true"
|  "subst_cv (C_false) x v = C_false"
|  "subst_cv (C_conj c1 c2) x v = C_conj (subst_cv c1 x v ) (subst_cv c2 x v )"
|  "subst_cv (C_disj c1 c2) x v = C_disj (subst_cv c1 x v ) (subst_cv c2 x v )"
|  "subst_cv (C_imp c1 c2) x v = C_imp (subst_cv c1 x v ) (subst_cv c2 x v )"
|  "subst_cv (e1 == e2) x v = ((subst_cev e1 x v ) == (subst_cev e2 x v ))"
|  "subst_cv (C_not c) x v = C_not (subst_cv c x v )"
                      apply (simp add: eqvt_def subst_cv_graph_aux_def,auto)
  using c.strong_exhaust by metis
nominal_termination (eqvt)  by lexicographic_order

abbreviation 
  subst_cv_abbrev :: "c \<Rightarrow> x \<Rightarrow> v \<Rightarrow> c" (\<open>_[_::=_]\<^sub>c\<^sub>v\<close> [1000,50,50] 1000)
  where 
    "c[x::=v']\<^sub>c\<^sub>v  \<equiv> subst_cv c x v'" 

lemma size_subst_cv [simp]: "size ( subst_cv A i x ) = size A"
  by (nominal_induct A avoiding: i x rule: c.strong_induct,auto) 

lemma forget_subst_cv [simp]: "atom a \<sharp> A \<Longrightarrow> subst_cv A a x  = A"
  by (nominal_induct A avoiding: a x rule: c.strong_induct, auto simp: fresh_at_base)

lemma subst_cv_id [simp]: "subst_cv A a (V_var a)  = A"
  by (nominal_induct A avoiding: a rule: c.strong_induct) (auto simp: fresh_at_base)

lemma fresh_subst_cv_if [simp]:
  "j \sharp>(ubst_cv  <ongleftrightarrow (atom i \<sharp> A \<and> j \<sharp> A) \<or> (j \<sharp> x \<and> (j \<sharp> A \<or> j = atom i))"
  by (nominal_induct A avoiding: i x rule: c.strong_induct, (auto simp add: pure_fresh)+)

lemma subst_cv_commute [simp]:
  "atom j \<sharp> A \<Longrightarrow> (subst_cv (subst_cv A i t ) j u ) = subst_cv A i (subst_vv t j u )"
  by (nominal_induct A avoiding: i j t u rule: c.strong_induct) (auto simp: fresh_at_base)

lemma let_s_size [simp]: "size s \<le> size (AS_let x e s)"
  apply (nominal_induct s avoiding: e x rule: s_branch_s_branch_list.strong_induct(1)) 
              apply auto
  done

lemma subst_cv_var_flip[simp]:
  fixes c::c
  assumes "atom y \<sharp> c"
  shows "(y \<leftrightarrow> x) \<bullet> c = c[x::=V_var y]\<^sub>c\<^sub>v"
  using assms by(nominal_induct c rule:c.strong_induct,(simp add: flip_subst_v subst_v_ce_def)+)

instantiation c :: has_subst_v
begin

definition 
  "subst_v = subst_cv"

instance proof
  fix j::atom and i::x and  x::v and t::c
  show  "(j \<sharp> subst_v t i x) = ((atom i \<sharp> t \<and> j \<sharp> t) \<or> (j \<sharp> x \<and> (j \<sharp> t \<or> j = atom i)))"
    using fresh_subst_cv_if[of j t i x] subst_v_c_def by metis

  fix a::x and tm::c and x::v
  show "atom a \sharp> tm \<Longrightarrow> subst_v tm a x  = tm"
    using forget_subst_cv subst_v_c_def by simp

java.lang.StringIndexOutOfBoundsException: Index 0 out of bounds for length 0
  show "subst_v tm a (V_var a) = tm" using subst_cv_id  subst_v_c_def by simp

  fix p::perm and x1::x and v::v and t1::c
  show "p \ apply (frule "&E"(1))
    using subst_cv_commute  subst_v_c_def by simp

  fix x::x and c::c and z::x
  show "atom x \<sharp> c \<Longrightarrow> ((x \<leftrightarrow> z) \<bullet> c) = c[z::=[x]\<^sup>v]\<^sub>v"
    using using "\<equiv>E"(12java.lang.StringIndexOutOfBoundsException: Range [44, 43) out of bounds for length 45

  fix x::x and c::c and z::x
  show  "atom x \<sharp> c \<Longrightarrow[<sup<ub:]<^sub>v java.lang.StringIndexOutOfBoundsException: Range [91, 90) out of bounds for length 106
    using subst_cv_var_flip subst_v_c_def by simp
java.lang.StringIndexOutOfBoundsException: Range [69, 70) out of bounds for length 3

end\<pen><>AOT_exists_unique \<phi>\<guillemotright> \<equiv>\<^sub>d\<^sub>f \<exists>\<alpha> (\<phi>{\<alpha>} & \<forall>\<beta> (\<phi>{\<beta>} \<rightarrow> \<beta> = \<alpha>))\<close>

lemma subst_cv_var_flip1[simp]:
  fixes c::c
  assumes "atom y \<sharp> c"
  shows "(x \<leftrightarrow> y) \<bullet> c = c[x::=V_var y]\<^sub>c\<^sub>v"
  using subst_cv_var_flip flip_commute 
  by (metis assms)

lemma subst_cv_v_flip3[simp]:
  fixes c::c
  assumes "atom z1 \<sharp> c" and "atom z1' \<sharp> c"
  shows"(z1 \<leftrightarrow> z1') \<bullet> c[z::=[z1]\<^sup>v]\<^sub>c\<^sub>v =  c[z::=[z1']\<^sup>v]\<^sub>c\<^sub>v"
proof - 
  consider "z1' = z" | "z1 = z" | "atom z1 \<sharp> z \<and> atom z1' \<sharp> z" by force
  then show ?thesis proof(cases)
    case 1
    then show ?thesis using 1 assms by auto
  next
    case 2
    then show ?thesis using 2 assms by auto
  next
    case 3
    then show ?thesis using assms by auto
  qed
qed

lemma subst_cv_v_flip[simp]:
  fixes c::c
  assumes "atom x \<sharp> c"
  shows "((x \<leftrightarrow> z) \<bullet> c)[x::=v]\<^sub>c\<^sub>v = c [z::=v]\<^sub>c\<^sub>v"
  using assms subst_v_c_def by auto

lemma subst_cv_commute_full:
  fixes c::c
  assumes "atom z \<sharp> v" and "atom x \<sharp> w" and "x\<noteq>z"
  shows "(c[z::=w]\<^sub>c\<^sub>v)[x::=v]\<^sub>c\<^sub>v = (c[x::=v]\<^sub>c\<^sub>v)[z::=w]\<^sub>c\<^sub>v" 
  using assms proof(nominal_induct c rule: c.strong_induct)
  case (C_eq e1 e2)
  then show ?case using subst_cev_commute_full by simp
qed(force+)

lemma subst_cv_eq[simp]:
  assumes  "atom z1 \<sharp> e1" 
  shows "(CE_val (V_var z1)  ==  e1 )[z1::=[x]\<^sup>v]\<^sub>c\<^sub>v = (CE_val (V_var x)  ==  e1 )" (is "?A = ?B")
proof -
  have "?A = (((CE_val (V_var z1))[z1::=[x]\<^sup>v]\<^sub>c\<^sub>e\<^sub>v) == e1)" using subst_cv.simps assms by simp
  thus ?thesis by simp
qed

section \<open>Variable Context\<close>

text \<open>The idea of this substitution is to remove x from the context. We really want to add the condition 
that x is fresh in v but this causes problems with proofs.\<close>

nominal_function subst_gv :: "\<Gamma> \<Rightarrow> x \<Rightarrow> v  \<Rightarrow> \<Gamma>" where
  "subst_gv GNil  x v = GNil"
| "subst_gv ((y,b,c) #\<^sub>\<Gamma> \<Gamma>) x v  = (if x = y then \<Gamma> else ((y,b,c[x::=v]\<^sub>c\<^sub>v)#\<^sub>\<Gamma> (subst_gv  \<Gamma> x v )))"
proof(goal_cases)
  case 1
  then show ?case  by(simp add: eqvt_def subst_gv_graph_aux_def )
next
  case (3 P x)
  then show ?case by (metis neq_GNil_conv prod_cases3)
qed(fast+)
nominal_termination (eqvt) "_AOT_exists_unique_ellipse" :: \<open>id_position \<Rightarrow> id_position \<Rightarrow> \<phi> \<Rightarrow> \<phi>\<close>

abbreviation 
  subst_gv_abbrev :: "\<Gamma> \<Rightarrow \>< \<Gamma>" (\<open>_[_::=_]\<^sub>\<Gamma>\<^sub>v\<close> [1000,50,50] 1000)
  where 
    "g[x::=v]\<^sub>\<Gamma>\<^sub>v  \<equiv> subst_gv g x v" 

lemma size_subst_gv [simp]: "size ( subst_gv G i x ) \<le> size G"
  by (induct G,auto) 

lemma forget_subst_gv [simp]: "atom a \<sharp> G \<Longrightarrow> subst_gv G a x = G"
  apply (induct G ,auto) 
  using fresh_GCons fresh_PairD(1) not_self_fresh apply blast
   apply (simp add: fresh_GCons)+
  done

lemma fresh_subst_gv: "atom a \<sharp> G \<Longrightarrow> atom a \<sharp> v \<Longrightarrow> atom a \<sharp> subst_gv G x v"
proof(induct G)
  case GNil
  then show ?case by auto
next
  case (GCons xbc G)
  obtain x' and b' and c' where xbc: "xbc = (x',b',c')" using prod_cases3 by blast
  show ?case proof(cases "x=x'")
    case True
    have "atom a \<sharp> G" using GCons fresh_GCons by blast
    thus ?thesis using subst_gv.simps(2)[of  x' b' c' G] GCons xbc True by presburger
  next
    case False
    then show ?thesis using subst_gv.simps(2)[of  x' b' c' G] GCons xbc False fresh_GCons by simp
  qed
qed

lemma subst_gv_flip: 
  fixes x::x and xa::x and z::x and c::c and b::b and \<Gamma>::\<Gamma>
  assumes"atom xa \<sharp> ((x, b, c[z::=[x]\<^sup>v]\<^sub>c\<^sub>v) #\<^sub>\<Gamma> \<Gamma>)"  and "atom xa \<sharp> \<Gamma>" and "atom x \<sharp> \<Gamma>" and "atom x \<sharp> (z, c)" and "atom xa \<sharp> (z, c)"
  shows "(x \<leftrightarrow> xa) \<bullet>  ((x, b, c[z::=[x]\<^sup>v]\<^sub>c\<^sub>v) #\<^sub>\<Gamma> \<Gamma>) = (xa, b, c[z::=V_var xa]\<^sub>c\<^sub>v) #\<^sub>\<Gamma> \<Gamma>"
proof -
  have  "(x \<leftrightarrow> xa) \<bullet>  ((x, b, c[z::=[x]\<^sup>v]\<^sub>c\<^sub>v) #\<^sub>\<Gamma> \<Gamma>) =  (( (x \<leftrightarrow> xa) \<bullet>  x, b, (x \<leftrightarrow> xa) \<bullet>  c[z::=[x]\<^sup>v]\<^sub>c\<^sub>v) #\<^sub>\<Gamma> ((x \<leftrightarrow> xa) \<bullet>  \<Gamma>))" 
    using subst Cons_eqvt flip_fresh_fresh using G_cons_flip by simp
  also have "... = ((xa, b, (x \<leftrightarrow> xa) \<bullet> c[z::=[x]\<^sup>v]\<^sub>c\<^sub>v) #\<^sub>\<Gamma> ((x \<leftrightarrow> xa) \<bullet>  \<Gamma>))" using assms by fastforce
  also have "... =  ((xa, b,  c[z::=V_var xa]\<^sub>c\<^sub>v) #\<^sub>\<Gamma> ((x \<leftrightarrow> xa) \<bullet>  \<Gamma>))" using assms subst_cv_var_flip by fastforce
  also have "... =  ((xa, b,  c[z::=V_var xa]\<^sub>c\<^sub>v) #\<^sub>\<Gamma> \<Gamma>)"  using assms flip_fresh_fresh by blast 
  finally show ?thesis by simp
qed

section \open>>ypes<closejava.lang.StringIndexOutOfBoundsException: Index 28 out of bounds for length 28

nominal_function subst_tv :: "\<tau> \<Rightarrow> x@ry
  "atom z\>java.lang.StringIndexOutOfBoundsException: Range [24, 23) out of bounds for length 143
     apply (simp add: eqvt_def subst_tv_graph_aux_def )
    apply auto
  subgoal for P a aa b
    java.lang.StringIndexOutOfBoundsException: Range [23, 18) out of bounds for length 63
    by (auto simp: eqvt_at_def fresh_star_def fresh_Pair fresh_at_base) 
  apply (auto simp: eqvt_at_def fresh_star_def fresh_Pair fresh_at_base)
proof -
AOT_theorem"s" <>exists>>!\<lpha><hi{\<alpha} <equiv> <xists<lpha<rall<ta\p{\<beta>} \<equiv> \<beta> = \<alpha>)\<close>
  assume a1: "atom za \<sharp> va"  and  a2: "atom z \<sharp> va" and a3: "\<forall>cb. atom cb \<sharp> c \<and> atom cb \<sharp> ca \<longrightarrow> cb \<noteq> z \<and> cb \<noteq> za \<longrightarrow> c[z::=V_var cb]\<^sub>c\<^sub>v = ca[za::=V_var cb]\<^sub>c\<^sub>v"
  assume a4: "atom cb \<sharp> c" and a5: "atom cb \<sharp> ca" and a6: "cb \<noteq> z" and a7: "cb \<noteq> za" and "atom cb \<sharp> va" and a8: "za \<noteq> xa" and a9: "z \<noteq> xa"
  assume a10:"cb \<noteq> xa"
  note assms = a10 a9 a8 a7 a6 a5 a4 a3 a2 a1 

  have "c[z::=V_var cb]\<^sub>c\<^sub>v = ca[za::=V_var cb]\<^sub>c\<^sub>v" using assms  by auto
  hence "c[z::=V_var cb]\<^sub>c\<^sub>v[xa::=va]\<^sub>c\<^sub>v = ca[za::=V_var cb]\<^sub>c\<^sub>v[xa::=va]\<^sub>c\<^sub>v" by simp
  java.lang.StringIndexOutOfBoundsException: Range [13, 10) out of bounds for length 224
  java.lang.StringIndexOutOfBoundsException: Range [18, 17) out of bounds for length 139
     java.lang.StringIndexOutOfBoundsException: Range [34, 33) out of bounds for length 95

  telyx<c\<^sub>v[z::=V_var cb]\<^sub>c<java.lang.StringIndexOutOfBoundsException: Range [76, 75) out of bounds for length 145
qed

nominal_termination (eqvt) by lexicographic_order

abbreviation 
  subst_tv_abbrev :: "\<tau> \<Rightarrow> x \<   then n<> where \<open>\<forall>\<beta> (\<phi>{\<beta>} \<equiv> \<beta> = \<alpha>)\<close>
  where 
    "t[x::=v]\<^sub>\<tau>\<^sub>v  \<equiv> subst_tv t x v" 

lemma size_subst_tv [simp]: "size ( subst_tv A i x ) = size A"
proof (nominal_induct A avoiding: i x  rule: \<tau>.strong_induct)
  case (T_refined_type x' b' c')
  then show ?case by auto
qed

lemma forget_subst_tv [simp]: "atom a \<sharp> A \<Longrightarrow> subst_tv A a x  = A"
  apply (nominal_induct A avoiding: a x rule: \<tau>.strong_induct) 
  apply(auto simp: fresh_at_base)
  done

lemma subst_tv_id [simp]: "subst_tv A a (V_var a) = A"
  by (nominal_induct A avoiding: a rule: \<tau>.strong_induct) (auto simp: fresh_at_base)

lemma fresh_subst_tv_if [simp]:
  "j \<sharp> (subst_tv A i x ) \<longleftrightarrow> (atom i \<sharp> A \<and> j \<sharp> A) \<or> (j \<sharp> x \<and> (j \<sharp> A \<or> j = atom i))"
  apply (nominal_induct A avoiding: i x rule: \<tau>.strong_induct)
  using fresh_def supp_b_empty x_fresh_b by auto

lemma subst_tv_commute [simp]:
  "atom y \<sharp> \<tau> \<Longrightarrow> (\<tau>[x::= t]\<^sub>\<tau>\<^sub>v)[y::=v]\<^sub>\<tau>\<^sub>v = \<tau>[x::= t[y::=v]\<^sub>v\<^sub>v]\<^sub>\<tau>\<^sub>v "
  by (nominal_induct \<tau> avoiding: x y t v rule: \<tau>.strong_induct) (auto simp: fresh_at_base)

lemma subst_tv_var_flip [AOT_hence \<open>\<phi>{\<alpha>} & \<forall>\<beta> (\<phi>{\<beta>} \<rightarrow> \<beta> = \<alpha>)\<close>
  fixes x::x and xa::x and \<tau>::\<tau>
  assumes "atom xa \<sharp <au>
  shows x<> xa) \<bullet> \<tau> = \<tau>[x::=V_var xa]\<^sub>\<tau>\<^sub>v"
proof - 
  obtain z::x and b and c where zbc: "atom z \<sharp> (x,xa, V_var xa) \<and> \<tau> = \<lbrace> z : b | c \<rbrace>" 
    using obtain_fresh_z   by (metis prod.inject subst_tv.cases)
  hence "atom xa \<notin> supp c - { atom z }" using \<tau>.supp[of z b c] fresh_def supp_b_empty assms 
    by  auto
  moreover have "xa \<noteq> z" using zbc fresh_prod3 by force
  ultimately have xaf: "atom xa \<sharp> c" using fresh_def by auto
  have "(x \<leftrightarrow> xa) \<bullet> \<tau> = \<lbrace> z : b | (x \<leftrightarrow> xa) \<bullet> c \<rbrace>" 
    by (metis \<tau>.perm_simps empty_iff flip_at_base_simps(3) flip_fresh_fresh fresh_PairD(1) fresh_PairD(2) fresh_def not_self_fresh supp_b_empty v.fresh(2) zbc)
  also have "... =  \<lbrace> z : b | c[x::=V_var xa]\<^sub>c\<^sub>v \<rbrace>"  using subst_cv_v_flip xaf  
    by (metis permute_flip_cancel permute_flip_cancel2 subst_cv_var_flip)
  finally show ?thesis using subst_tv.simps zbc 
    using fresh_PairD(1) not_self_fresh by force
qed

instantiation \<tau> :: has_subst_v
begin

definition 
  "subst_v = subst_tv"

instance proof
  fix j::atom and i::x and  x::v and t::\<tau>
  show  "(j \<sharp> subst_v t i x) = ((atom i \<sharp> t \<and> j \<sharp> t) \<or> (j \<sharp> x \<and> (j \<sharp> t \<or> j = atom i)))"

  proof(nominal_induct t avoiding: i x rule:\<tau>.strong_induct)
    case (T_refined_type z b c)
    hence " j \<sharp> \<lbrace> z : b  | c \<rbrace>[i::=x]\<^sub>v  =  j \<sharp> \<lbrace> z : b  | c[i::=x]\<^sub>c\<^sub>v \<rbrace>" using subst_tv.simps subst_v_\<tau>_def fresh_Pair by simp
    also have "...  = (atom i \<sharp> \<lbrace> z : b  |( rjava.lang.StringIndexOutOfBoundsException: Range [25, 24) out of bounds for length 71
      unfolding \<tau>.fresh using subst_v_c_def fresh_subst_v_if 
      using T_refined_type.hyps(1) T_refined_type.hyps(2) x_fresh_b by auto
    finally show ?case by auto
  qed

  fix a::x and tm::\<tau> and x::v
  show "atom a \<sharp> tm \<Longrightarrow> subst_v tm a x  = tm"
    apply(nominal_induct tm avoiding: a x rule:\<tau>.strong_induct)
    using subst_v_c_def forget_subst_v subst_tv.simps subst_v_\<tau>_def fresh_Pair by simp

  fix a::x and tm::\<tau>
  show "subst_v tm a (V_var a) = tm"     
    apply(nominal_induct tm avoiding: a rule:\<tau>.strong_induct)
    using subst_v_c_def forget_subst_v subst_tv.simps subst_v_\<tau>_def fresh_Pair by simp

  fix p::perm and x1::x and v::v and t1::\<tau>
  show "p \<bullet> subst_v t1 x1 v  = subst_v  (p \<bullet> t1) (p \<bullet> x1) (p \<bullet> v)" 
    apply(nominal_induct tm avoiding: a x rule:\<tau>.strong_induct)
    using subst_v_c_def forget_subst_v subst_tv.simps subst_v_\<tau>_def fresh_Pair by simp

  fix x::x and c::\<tau> and z::x
   "atom x \<sharp> c \<Longrightarrow> ((x \<leftrightarrow> z) \<bullet> c) = c[z::=[x]\<^sup>v]\<^sub>v" 
    apply(nominal_induct c avoiding: z x rule:\<tau>.strong_induct)
    using subst_v_c_def flip_subst_v subst_tv.simps subst_v_\<tau>_def fresh_Pair by auto

  fix x::x and c::\<tau> and z::x
  show  "atom x \<sharp> c \<Longrightarrow> c[z::=[x]\<^sup>v]\<^sub>v[x::=v]\<^sub>v = c[z::=v]\<^sub>v"
    apply(nominal_induct c avoiding:  x v z rule:\<tau>.strong_induct)
    using subst_v_c_def  subst_tv.simps subst_v_\<tau>_def fresh_Pair 
    by (metis flip_commute subst_tv_commute subst_tv_var_flip subst_v_\<tau>_def subst_vv.simps(2))
qed

end

lemma subst_tv_commute_full:
  fixes c::\<tau>
  assumes "atom z \<sharp> v" and "atom x \<sharp> w" and "x\<noteq>z"
  shows "(c[z::=w]\<^sub>\<tau>\<^sub>v)[x::=v]\<^sub>\<tau>\<^sub>v = (c[x::=v]\<^sub>\<tau>\<^sub>v)[z::=w]\<^sub>\<tau>\<^sub>v" 
  using assms proof(inal_inductict  ding     le <au>g_inductuct
  case (T_refined_type x1a x2a x3a)
  then show ?case using 
qed

lemma     ">"(2) "&E" "≡
  fixes v::v and c1::c
  assumes "{ z1 : b1  |  c1 } = { z2 : b2  |  c2 
  shows "c1[z1::=v]_cv = c2[z2::=v]_cv"
  usingp_eq_two 2 tau>ffms_defmpjava.lang.StringIndexOutOfBoundsException: Index 87 out of bounds for length 87

text ‹Extract constraint from a type. We cannot just project out the constraint as this would
  alpha-equivalent types give different answers ›

nominal_function c_of : < → c" where
  "atom z x ==> c_of (refined_type :]<>vv<><
proof(goal_cases)
  case 1
  then show ?case using eqvt_def c_of_graph_aux_def by force
next
  case (2 x y)
  then show ?case using eqvt_def c_of_graph_aux_def by force
next
  case (3 P x)
  hen:>x   ce
  obtain z' and b' and c' where "x1 = { z' : b' | c' } ∧ atom z' ♯
  then show ?case using 3 * by auto
java.lang.StringIndexOutOfBoundsException: Range [4, 5) out of bounds for length 4
  case (4 z1 x1 b1 c1 z2 x2 b2 c2)
  then show ?case using subst_v_flip_eq_two τ.eq_iff by (metis prod.inject type_eq_subst_eq)
qed

nominal_termination (eqvt) by lexicographic_order

lemma c_of_eq:
  shows "c_of { x : b | c } x = c"
proof(nominal_induct "{ x : b | c }" avoiding: x rule: τ.strong_induct)
  case (T_refined_type x' c')
  moreover hence "c_of { x' : b | c' } x = c'[x'::=V_var x]_cv" using c_of.simps by auto
  moreover have "{ x' : b  | c' } = { x : b  | c }" using T_refined_type τ.eq_iff by metis
  moreover have "c'[x'::=V_var x]_cv = c" using T_refined_type Abs1_eq_iff flip_subst_v subst_v_c_def
    by (metis subst_cv_id)
  ultimately show ?case by auto
qed

lemma obtain_fresh_z_c_of:
  fixes t::"'b::fs"
  obtains z where "atom z ♯ t ∧ τ = { z : b_of τ | c_of τ z }"
proof -
  obtain z and c where "atom z ♯ t ∧ τ = { z : b_of τ | c }" using obtain_fresh_z2 by metis
  moreover hence "c = c_of τ z" using c_of.simps using c_of_eq by metis
  ultimately show ?thesis
    using that by auto
qed

lemma c_of_fresh:
  fixes x::x
  assumes "atom x ♯ (t,z)"
  shows "atom x ♯ c_of t z"
proof -
  obtain z' and c' where z:"t = { z' : b_of t | c' } ∧ atom z' ♯ (x,z)" using obtain_fresh_z_c_of by metis
  hence *:"c_of t z = c'[z'::=V_var z]_cv" using c_of.simps fresh_Pair by metis
  have "(atom x ♯ c' ∨ atom x ∈ set [atom z']) ∧ atom x ♯ b_of t" using τ.fresh assms z fresh_Pair by metis
  hence "atom x ♯ c'" using fresh_Pair z fresh_at_base(2) by fastforce
  moreover have "atom x ♯ V_var z" using assms fresh_Pair v.fresh by metis
  ultimately show ?thesis using assms fresh_subst_v_if[of "atom x" c' z' "V_var z"] subst_v_c_def * by metis
qed

lemma c_of_switch:
  fixes z::x
  assumes "atom z ♯ t"
  shows "(c_of t z)[z::=V_var x]_cv = c_of t x"
proof -
  obtain z' and c' where z:"t = { z' : b_of t | c' } ∧ atom z' ♯ (x,z)" using obtain_fresh_z_c_of by metis
  hence "(atom z ♯ c' ∨ atom z ∈ set [atom z']) java.lang.StringIndexOutOfBoundsException: Index 67 out of bounds for length 45
  fresh_Pair by force
  ultimately have  **:"atom z ♯ c'" using fresh_Pair z fresh_at_base(2) by metis

  have "(c_of t z)[z::=V_var x]_cv = c'[z'::=V_var z]_cv[z::=V_var x]_cv"  using c_of.simps fresh_Pair  z by metis
  also have "... = c'[z'::=V_var x]_cv"  using subst_v_simple_commute subst_v_c_def assms c_of.simps z  ** by metis
  finally show ?thesis using c_of.simps[of z' x "b_of t" c']  fresh_Pair z by metis
qed

lemma type_eq_subst_eq1:
  fixes v::v and c1::c
  assumes "{ z1 : b1 | c1 } = ({ z2 : b2 | c2 })" and "atom z1 ♯ c2" 
  shows "c1[z1::=v]_cv = c2[z2::=v]_cv" and "b1=b2" and " c1 = (z1 ↔ z2) ∙ c2"
proof -
  show "c1[z1::=v]_cv = c2[z2::=v]_cv" using type_eq_subst_eq assms by blast
  show "b1=b2" using τ.eq_iff assms by blast
  have "z1 = z2 ∧ c1 = c2 ∨ z1 ≠ z2 ∧ c1 = (z1 ↔ z2) ∙ c2 ∧ atom z1 ♯ c2" 
    using τ.eq_iff Abs1_eq_iff[of z1 c1 z2 c2] assms by blast 
  thus  "c1 = (z1 ↔ z2) ∙ c2" by auto
qed

lemma type_eq_subst_eq2:
  fixes v::v and c1::c
  assumes "{ z1 : b1 | c1 } = ({ z2 : b2 | c2 })" 
  shows "c1[z1::=v]_cv = c2[z2::=v]_cv" and "b1=b2" and "[[atom z1]]lst. c1 = [[atom z2]]lst. c2"
proof -
  show "c1[z1::=v]_cv = c2[z2::=v]_cv" using type_eq_subst_eq assms by blast
  show "b1=b2" using τ.eq_iff assms by blast
  show  "[[atom z1]]lst. c1 = [[atom z2]]lst. c2" 
    using τ.eq_iff assms by auto
qed

lemma type_eq_subst_eq3:
  fixes v::v and c1::c
  assumes "{ z1 : b1 | c1 } = ({ z2 : b2 | c2 })" and "atom z1 ♯ c2" 
  shows "c1 = c2[z2::=V_var z1]_cv" and "b1=b2"
  using type_eq_subst_eq1 assms  subst_v_c_def 
  by (metis subst_cv_var_flip)+

lemma type_eq_flip:
  assumes "atom x ♯ c"
  shows java.lang.StringIndexOutOfBoundsException: Index 77 out of bounds for length 24
   <t>.eq_iff b1e_i sm
  by (metis (no_types, lifting) flip_fresh_fresh)

lemma c_of_true:
  "c_of { z' : B_bool  | TRUE } x = C_true"
proof(nominal_induct "{ z' : B_bool  | TRUE }" avoiding: x rule:τ.strong_induct)
  case (T_refined_type x1a x3a)
  hence "<  rbrace = {" using τeqif bmtis
  t subst_cv.simps c_of.simps T_refined_type
      type_eq_subst_eq3
    by (metis type_eq_subst_eq)
qed

lemma type_eq_subst:
  assumes "atom x ♯ c"
  shows "{ z : b  | c } = { x : b | c[z::=[x]^v]_cv }"
  using τ.eq_iff Abs1_eq_iff assms
  using subst_cv_var_flip type_eq_flip by auto

lemma type_e_subst_fresh:
  fixes x::x and z::x
  assumes "atom z ♯ (x,v)" and "atom x ♯ e"
  shows "{ z : b  | CE_val (V_var z)  ==  e  }[x::=v]_\τ_v = { z : b  | CE_val (V_var z)  ==  e  }"
  using assms subst_tv.simps subst_cv.simps forget_subst_cev by simp

lemma type_v_subst_fresh:
  fixes x::x and z::x
  assumes "atom z ♯ (x,v)" and "atom x ♯ v'"
  shows "{ z : b  | CE_val (V_var z)  ==  CE_val v'  }[x::=v]_\τ_v = { z : b  | CE_val (V_var z)  ==  CE_val v'  }"
  using assms subst_tv.simps subst_cv.simps by simp

lemma subst_tbase_eq:
  "b_of τ = b_of τ[x::=v]_\τ_v"
proof -
  obtain z and b and c where zbc: "τ = { z:b|c} ∧ atom z ♯ (x,v)" using τ.exhaust
    by (metis prod.inject subst_tv.cases)
  hence "b_of { z:b|c} = b_of { z:b|c}[x::=v]_\τ_v" using subst_tv.simps by simp
  thus ?thesis using zbc by blast
qed

lemma subst_tv_if:
  assumes "atom z1 \sharp>(,v)" and "atom z' ♯ (x,v)"
  shows "{ z1 : b  | CE_val (v'[x::=v]_vv)  ==  CE_val (V_lit l)   IMP  (c'[x::=v]_cv)[z'::=[z1]^v]_cv  } = 
         { z1 : b  | CE_val v'           ==  CE_val (V_lit l)   IMP  c'[z'::=[z1]^v]_cv  }[x::=v]_\τ_v"
  using subst_cv_commute_full[of z' v x "V_var z1" c'] subst_tv.simps subst_vv.simps(1) subst_ev.simps subst_cv.simps assms
  by simp

lemma subst_tv_tid:
  assumes "atom za ♯ (x,v)"
  shows "{ za : B_id tid  | TRUE } = { za : B_id tid   | TRUE }[x::=v]_\τ_v"
  using assms subst_tv.simps subst_cv.simps by presburger


lemma b_of_subst:
  "b_of (τ[x::=v]_\τ_v) = b_of τ"
proof -
  obtain z b c where *:"τ = { z : b | c } ∧ atom z ♯ (x,v)" using obtain_fresh_z by metis
  thus ?thesis using subst_tv.simps * by auto
qed

lemma subst_tv_flip:
  assumes "τ'[x::=v]_\τ_v = τ" and "atom x ♯ (v,τ)" and "atom x' ♯ (v,τ)"
  shows "((x' ↔ x) ∙ τ')[x'::=v]_\τ_v = τ"
proof -
  have "(x' ↔ x) ∙ v = v ∧ (x' ↔ x) ∙ τ = τ" using assms flip_fresh_fresh by auto
  thus ?thesis using subst_tv.eqvt[of "(x' ↔ x)" τ' x v ] assms by auto
qed

lemma subst_cv_true:
  "{ z : B_id tid  | TRUE } = { z : B_id tid  | TRUE }[x::=v]_\τ_v"
proof -
  obtain za::x where "atom za ♯ (x,v)" using obtain_fresh by auto
  hence "{ z : B_id tid   | TRUE } = {
  java.lang.StringIndexOutOfBoundsException: Range [11, 10) out of bounds for length 136
    usingjava.lang.StringIndexOutOfBoundsException: Range [62, 61) out of bounds for length 94
  ultimately show ?thesis by argo
qed

lemma t_eq_supp:
  assumes "({
  shows "supp c -{ om 1
proof - 
  have "supp c - { atom z } ∪ supp b = supp c1 - { atom z1 } ∪ supp b1" using τ.supp assms
    by (metis java.lang.StringIndexOutOfBoundsException: Range [31, 30) out of bounds for length 76
  moreover have "supp b = supp b1" using assms  τ.eq_iff by simp
  moreover havem \ pjava.lang.StringIndexOutOfBoundsException: Range [48, 47) out of bounds for length 100
  ultimately show ?thesis
    by (metis τ.supp msltjava.lang.StringIndexOutOfBoundsException: Range [73, 72) out of bounds for length 102


lemma fresh_t_eq: 
  fixes x::x
  java.lang.StringIndexOutOfBoundsException: Range [11, 9) out of bounds for length 125
  showsjava.lang.StringIndexOutOfBoundsException: Range [16, 14) out of bounds for length 80
proof - 
  have "supp c - { atom z } ∪ supp b = supp cc - { atom zz } ∪ supp b" using τ & ψ
    by (metis list.set(1) list.simps(15) sup_bot.right_neutral supp_b_empty)
  moreover have "atom x ∉
  ultimately have "atom x ∉ supp cc - { atom zz } ∪ ≡
  hence "atom x ∉
  thus ?thesis using fresh_def by auto
qed

section ‹

nominal_function subst_dv :: " <AOT_assume I")
 "subst_d DNi xv=Di"
  "subst_dv ((u,t) #₎ (utx:v\^>τ_\Δv <elta 
 apply (simp add: eqvt_def subst_dv_graph_aux_def,auto )
 using delete_aux.elims by (metis Δ.exhaust surj_pair)
  (eqvt) by lexicographic_order

 
 subst_dv_abbrev :: "\D → x → v → Δ" (‹_[_::=_]_\Δ_v› [1000,50,50] 1000)
 where
 "Δ[x::=v]_\Δ_v ≡ subst_dv Δ x v "

  dmap :: "(u*τ → u*τ) → Δ → Δ" where
 "dmap f DNil = DNil"
  "dmap f ((u,t)#_\ΔΔ) = (f (u,t) #_\Δ (dmap f Δ ))"
 apply (simp add: eqvt_def dmap_graph_aux_def,auto )
 using delete_aux.elims by (metis Δ.exhaust surj_pair)
  (eqvt) by lexicographic_order

  subst_dv_iff:
 "Δ[x::=v]_\Δ_v = dmap (λ(u,t). (u, t[x::=v]_\τ_v)) Δ"
 by(induct Δ, auto)

  size_subst_dv [simp]: "size ( subst_dv G i x) ≤ size G"
 by (induct G,auto)

  forget_subst_dv [simp]: "atom a ♯ G ==> subst_dv G a x = G"
 apply (induct G ,auto)
 using fresh_DCons fresh_PairD(1) not_self_fresh apply fastforce
 apply (simp add: fresh_DCons)+
 done

  subst_dv_member:
 assumes "(u,τ) ∈ setD Δ"
 shows "(u, τ[x::=v]_\τ_v) ∈ setD (Δ[x::=v]_\Δ_v)"
 using assms by(induct Δ rule: Δ_induct,auto)

  fresh_subst_dv:
 fixes x::x
 assumes "atom xa ♯ Δ" and "atom xa ♯ v"
 shows "atom xa ♯Δ[x::=v]_\Δ_v"
 using assms proof(induct Δ rule:Δ_induct)
 case DNil
 then show ?case by auto
 
 case (DCons u t Δ)
 then show ?case using subst_dv.simps subst_v_τ_def fresh_DCons fresh_Pair by simp
 

  fresh_subst_dv_if:
 fixes j::atom and i::x and x::v and t::Δ
 assumes "j ♯ t ∧ j ♯ x"
 shows "(j ♯ subst_dv t i x)"
 using assms proof(induct t rule: Δ_induct)
 e Ni
 then show ?case using subst_gv.simps fresh_GNil by auto
 
 case (DCons u' t' D')
java.lang.StringIndexOutOfBoundsException: Range [13, 12) out of bounds for length 98
 

java.lang.StringIndexOutOfBoundsException: Range [16, 15) out of bounds for length 116

  ‹ Using ideas from proofs at top of AFP/Launchbury/Substitution.thy.
 Subproofs borrowed from there; hence the appl sye ros \close

java.lang.StringIndexOutOfBoundsException: Range [74, 71) out of bounds for length 137
 subst_sv :: "s →
 and subst_branchv :: "branch_s → x → v → branch_s"
 and subst_branchlv :: "branch_list → x → v → branch_list" where
 "subst_sv ( (AS_val v') ) x v = (AS_val (subst_vv v' x v ))"
  "atom y ♯AOT_hence ‹∃y (y = \ιx φ{x})›
  "atom y ♯ (x,v) ==> subst_sv (AS_let2 y t s1 s2) x v = (AS_let2 y (t[x::=v]_\τ hen AOT_obtain awhr a_f ‹a = \ιx φ{x}›
  "sbss A_ac ' s Smth v[:=]₎ustbacl sxv)
  "subst_sv (AS_assign y v') x v = AS_assign y (subst_vv v' x v )"
  "subst_sv ( (AS_fv 1s) =ASi sbtv 'xv (us_vs v) (ubt_v s xv "
java.lang.StringIndexOutOfBoundsException: Range [20, 17) out of bounds for length 151
  "subst_sv (AS_while s1 s2) x v = AS_while (subst_sv s1 x v ) (subst_sv s2 x v )"
  "subst_sv (AS_seq s1 s2) x v = AS_seq (subst_sv s1 x v ) (subst_sv s2 x v )"
  "subst_sv (AS_assert c s) x v = AS_assert (subst_cv c x v) (subst_sv s x v)"
  "atom x1 ♯ (x,v) ==> subst_branchv (AS_branch dc x1 s1 ) x v = AS_branch dc x1 (subst_sv s1 x v )"

  "subst_branchlv (AS_final cs) x v = AS_final (subst_branchv cs x v )"
  "subst_branchlv (AS_cons cs css) x v = AS_cons (subst_branchv cs x v ) (subst_branchlv css x v )"
 apply (auto,simp add: eqvt_def subst_sv_subst_branchv_subst_branchlv_graph_aux_def )
 (goal_cases)

 have eqvt_at_proj: "∧ s xa va . eqvt_at subst_sv_subst_branchv_subst_branchlv_sumC (Inl (s, xa, va)) ==>
 eqvt_at (λa. projl (subst_sv_subst_branchv_subst_branchlv_sumC (Inl a))) (s, xa, va)"
 apply(simp add: eqvt_at_def)
 apply(rule)
java.lang.StringIndexOutOfBoundsException: Range [10, 9) out of bounds for length 30
 apply(thin_tac _)+
 apply (simp add: subst_sv_subst_branchv_subst_branchlv_sumC_def)
 apply (simp add: THE_default_def)
 apply (case_tac "Ex (sbt_vsbt_rnh_us_racl_rph(n sx,a)"
 apply simp
 apply(auto)[1]
 apply (erule_tac x="x" in allE)
 apply simp
 apply(cases rule: subst_sv_subst_branchv_subst_branchlv_graph.cases)
 apply(assumption)
 apply(rule_tac x="Sum_Type.projl x" in exI,clarify,rule the1_equality,blast,simp (no_asm) only: sum.sel)+
 apply blast +


 done

 {
  Px)
 then show ?case proof(cases x')
 case (Inl a) thus P
 proof(ase )
 case (filsa bc)
 thus P using Inl 1 s_branch_s_branch_list.strong_exhaust fresh_star_insert by metis
 qed
 next
 case (Inr b) thus P
 f(ases )
 case (Inl a) thus P proof(cases a)
 case (fields aa bb cc)
 then show ?thesis using Inr Inl 1 s_branch_s_branch_list.strong_exhaust fresh_star_insert by metis
 qed
 next
 case In:(n b) ths rof(cass )
 case (fieldsa b c)
 then show ?thesis using IrIn21 brnh_sranc_itsrn_xhutfehsa_netb mei
 qed
 qed
java.lang.StringIndexOutOfBoundsException: Range [15, 14) out of bounds for length 147
 next
 case (2 y s ya xa va sa c)
 thus ?case using eqvt_triple eqvt_at_proj by blast
 next
 case (3 y s2 ya xa va s1a s2a c)
 thus ?case using eqvt_triple eqvt_at_proj ybas
 
 case ux u ac
 moreover have "atom u ♯ (xa, va) ∧ atom ua ♯ (xa, va)"
 using fresh_Pair u_fresh_xv by auto
 ultimately show ?case using eqvt_triple[of u xa va ua s sa] subst_sv_def eqvt_at_proj by metis
 next
 case (5 x1 s1 x1a xa va s1a c)
 thus ?case using eqvt_triple eqvt_at_proj by blast
 }
 
  (eqvt) by lexicographic_order

 
 subst_sv_abbrev :: "s → v \<rrow\>y (y = {x}) →\^old>ιx φ{x}}›
 where
 "

 
 subst_branchv_abbrev :: "brnchs → x → v → branch_s" (‹_[_::=_]_sv› [1000,50,50] 1000)
 where
 "s[x::=v]_v ≡

  size_subst_sv smp] sz sbts )=sz "ad "sz (ustbrnchvB ieB ad "ize (us_rnchvCix)=sz "
 by(nominal_induct A and B and C avoiding: i x rule: s_branch_s_branch_list.strong_induct,auto)

  forget_subst_sv [simp]: shows "atom a ♯ A ==> subst_sv A a x = A" and "atom a ♯ B ==>
 by (nominal_induct A and B an avodig:a xrule: sbrachsbachlit.trog_inut,uo imp fes_a_bse)

  subst_sv_id [sip] sbtsv a Vvra "an sbt_bacvBa(Vvra ="ad "ustbach Ca(Vvra = "
 (nominal_induct A and B and C avoiding: a rule: s_branch_s_branch_list.strong_induct)
 case (AS_let x option e s)
 then show ?case
 by (metis (no_types, lifting) fresh_Pair not_None_eq subst_ev_id subst_sv.simps(2) subst_sv.simps(3) subst_tv_id v.fresh(2))
 
 case (AS_match v branch_s)
 then show ?case using fresh_Pair not_None_eq subst_ev_id subst_sv.simps subst_sv.si roof -
 by metis
 (auto)+

  fresh_subst_sv_if_rl:
 
 "(atom x ♯sharp> s) ∨ (j ♯ v ∧ (j ♯ s ∨ j = atom x)) ==> j ♯ (subst_sv s x v )" and
 "(to x 🚫cs ∧ j ♯ cs) ∨ (j ♯ v ∧ (j ♯ cs ∨ j = atom x)) ==> j ♯ (subst_branchv cs x v)" and
 "(atom x ♯ css ∧ j ♯ css) ∨ (j ♯ v ∧ (j ♯ css ∨ j = atom x)) ==> j ♯ (subst_branchlv css x v )"
 apply(nominal_induct s and cs and css avoiding: v x rule: s_branch_s_branch_list.strong_induct)
 using pure_fresh by force+

  fresh_subst_sv_if_lr:
 shows "j ♯ (subst_sv s x v) ==> (atom x ♯ s ∧ j ♯ s) ∨ (j ♯ v ∧ (j ♯ s ∨ j = atom x))" and
 "j ♯ (subst_branchv cs x v) ==> (atom x ♯ cs ∧ j ♯ cs) ∨ (j ♯ v ∧ (j ♯ cs ∨ j = atom x))" and
 "j ♯ (subst_branchlv css x v ) ==> (atom x ♯ css ∧ j ♯ css) ∨ (j ♯ v ∧ (j ♯ css ∨ j = atom x))"
 (nominal_induct s and cs and css avoiding: v x rule: s_branch_s_branch_list.strong_induct)
 case (AS_branch list x s )
 then show ?case using s_branch_s_branch_list.fresh fresh_Pair list.distinct(1) list.set_cases pure_fresh set_ConsD subst_branchv.simps by metis
 
 case (AS_let y e s')
 thus ?case proof(cases "atom x ♯ (AS_let y e s')")
 case True
 hence "subst_sv (AS_let y e s') x v = (AS_let y e s')" using forget_subst_sv by simp
 hence "j ♯ (AS_let y e s')" using AS_let by argo
 then show ?thesis using True by blast
 next
 case False
 have "subst_sv (AS_let y e s') x v = AS_let y (e[x::=v]_ev) (s'[x::=v]_sv)" using subst_sv.simps(2) AS_let by force
 hence "((j ♯ s'[x::=v]_sv ∨ j ∈ set [atom y]) ∧ j ♯ None ∧ j ♯ e[x::=v]_ev)" using s_branch_s_branch_list.fresh AS_let
 by (simp add: fresh_Noe)
 then show ?hsssn Alt rs_Nne fehsustev_flsdsIlt.e_aes _rnhsbac_i.fehstCos
  ets
 qed
 
java.lang.StringIndexOutOfBoundsException: Range [28, 27) out of bounds for length 31
 thus ?case proof(cases "atom x ♯ (AS_let2 y τ s1 s2)")
 case True
 _svsv A_lty \tau> 1s) (A_l2 τ
 hence "j ♯
 then show ?thesis using True by blast
 next
 case False
 have "subst_sv (AS_let2 y τ s1 s2) x v = AS_let2 y (ττ_ss2b re
 then show ?thesis using AS_let2
 fresh_subst_tv_if list.discI list.set_cases s_branch_s_branch_list.fresh(4) set_ConsD by auto
 qed
 (auto)+

  fresh_subst_sv_if[simp]:
 fixes x::x and v::v
 shows "j ♯ (subst_sv s x v) ⟷ (atom x ♯ s ∧ j ♯ s) ∨ (j ♯ v ∧ (j ♯ s ∨ j = atom x))" and
 "j ♯ (subst_branchv cs x v) ⟷ (atom x ♯ cs ∧ j ♯ cs) ∨ (j ♯ v ∧ (j ♯ cs ∨ j = atom x))"
 using fresh_subst_sv_if_lr fresh_subst_sv_if_rl by metis+

  subst_sv_commute [simp]:
 fixes A::s and t::v and j::x and i::x
 shows "atom j ♯ A ==> (subst_sv (subst_sv A i t) j u ) = subst_sv A i (subst_vv t j u )" and
 "atom j ♯ B ==> (subst_branchv (subst_branchv B i t ) j u ) = subst_branchv B i (subst_vv t j u )" and
 "atom j ♯ C ==> (subst_branchlv (subst_branchlv C i t) j u ) = subst_branchlv C i (subst_vv t j u ) "
 apply(nominal_induct A and B and C avoiding: i j t u rule: s_branch_s_branch_list.strong_induct)
 by(auto simp: fresh_at_base)

  c_eq_perm:
 assumes "( (atom z) ⇌ (atom z') ) ∙ c = c'" and "atom z' ♯ c"
 shows "{ z : b | c } = { z' : b | c' }"
 using τ.eq_iff Abs1_eq_iff(3)
 by (metis Nominal2_Base.swap_commute assms(1) assms(2) flip_def swap_fresh_fresh)

  subst_sv_flip:
 fixes s::s and sa::s and v'::v
 assumes "atom c ♯ (s, sa)" and "atom c ♯ (v',x, xa, s, sa)" "atom x ♯ v'" and "atom xa ♯ v'" and "(x ↔ c) ∙ s = (xa ↔ c) ∙ sa"
 shows "s[x::=v']_sv = sa[xa::=v']_sv"
  -
 have "atom x ♯ (s[x::=v']_sv)" and xafr: "atom xa ♯ (sa[xa::=v']_sv)"
 and "atom c ♯ ( s[x::=v']_sv, sa[xa::=v']_sv)" using assms using fresh_subst_sv_if assms by( blast+ ,force)

 hence "s[x::=v']_sv = (x ↔ c) ∙ (s[x::=v']_sv)" by (simp add: flip_fresh_fresh fresh_Pair)
 also have " ... = ((x ↔ c) ∙ s)[ ((x ↔ c) ∙ x) ::= ((x ↔ c) ∙ v') ]_sv" using subst_sv_subst_branchv_subst_branchlv.eqvt by blast
 also have "... = ((xa ↔ c) ∙ sa)[ ((x ↔ c) ∙ x) ::= ((x ↔ c) ∙ v') ]^sub>s🚫
 also have "... = ((xa ↔ sa)[ ((xa \<ftrightarrow 
java.lang.StringIndexOutOfBoundsException: Range [62, 59) out of bounds for length 63
 also have "... = (xa ↔ c) ∙
 also have "... = sa[xa::=v']\<^b<v" using xafr assms by (simp add: flip_fresh_fresh freshPar
 finally show ?thesis by simp
 

  if_type_eq:
 fixes Γ::Γ and v::v and z1::x
  "atom z1' ♯ (v, ca, (x, b, c) #_\Γ Γ, (CE_val v == CE_val (V_lit ll) IMP ca[za::=[z1]^v]_cv ))" and "atom z1 ♯ v"
 and "atom z1 ♯ (za,ca)" and "atom z1' ♯ (za,ca)"
 shows "({ z1' : ba | CE_val v == CE_val (V_lit ll) IMP ca[za::=[z1']^v]_cv }) = { z1 : ba | CE_val v == CE_val (V_lit ll) IMP ca[za::=[z1]^v]_cv }"
  -
 have "atom z1' ♯ (CE_val v == CE_val (V_lit ll) IMP ca[za::=[z1]^v]_cv )" using assms fresh_prod4 by blast
 moreover hence "(CE_val v == CE_val (V_lit ll) IMP ca[za::=[z1']^v]_cv) = (z1' ↔ z1) ∙ (CE_val v == CE_val (V_lit ll) IMP ca[za::=[z1]^v]_cv )"
 proof -
 have "(z1' ↔ z1) ∙ (CE_val v == CE_val (V_lit ll) IMP ca[za::=[z1]^v]_cv ) = ( (z1' ↔ z1) ∙ (CE_val v == CE_val (V_lit ll)) IMP ((z1' ↔ z1) ∙ ca[za::=[z1]^v]_cv ))"
 by auto
 also have "... = ((CE_val v == CE_val (V_lit ll)) IMP ((z1' ↔ z1) ∙ ca[za::=[z1]^v]_cv ))"
 using ‹atom z1 ♯ v› assms
 by (metis (mono_tags) ‹atom z1' ♯ (CE_val v == CE_val (V_lit ll) IMP ca[za::=[z1]^v]_cv )› c.fresh(6) c.fresh(7) ce.fresh(1) flip_at_simps(2) flip_fresh_fresh fresh_at_base_permute_iff fresh_def supp_l_empty v.fresh(1))
 also have "... = ((CE_val v == CE_val (V_lit ll)) IMP (ca[za::=[z1']^v]_cv ))"
 using assms by fastforce
 finally show ?thesis by auto
 qed
 ultimately show ?thesis
 🚫
 z1 "CE_val v = CEalV_itl) P [za=[z1\^v]_v"] by blast
 

java.lang.StringIndexOutOfBoundsException: Range [24, 23) out of bounds for length 24
  x::x and s::s and z::x
 shows "atom x ♯ z) ∙v]_v" and
 "atom x ♯ cs ==> ((x ↔ z) ∙ cs) = subst_branchv cs z [x]^\∃Aφz(> z = x) & ψ>
java.lang.NullPointerException
 apply(nominal_induct s and cs and css avoiding: z x rule: s_branch_s_branch_list.strong_induct)
 
              apply (auto  ) (* This unpacks subst, perm *)
  usingf 
    subst_v_τ_def subst_v_v_def subst_vv_var_flip subst_v_e_def subst_ev_var_flip pure_fresh   apply auto 
     esrhjava.lang.StringIndexOutOfBoundsException: Index 85 out of bounds for length 85
  using x_fresh_u   apply blast (* Next two involve u and flipping with x *)
    defer 1
  using x_fresh_u   apply blast
   defer 1
  using x_fresh_u Abs1_eq_iff'(3) flip_fresh_fresh 
   apply (simp add: subst_v_c_def)
  using _fresh_u'_r 
  by (simp add: esh

ionjava.lang.StringIndexOutOfBoundsException: Index 30 out of bounds for length 30
begin

definition 
  "s = s_v

instancer
  j::ao ni: n x: n ::
  so "s subst_v t i x) = ((atom i ♯ t ∧ j ♯ t) ∨ (j ♯ x ∧ (j ♯ t ∨ j = atom i)))"
    using fresh_subst_sv_if subst_v_s_def by auto

  fix a::x and tm::s and x::v
  show "atom a ♯ tm ==> subst_v tm a x  = tm"
    using forget_subst_sv subst_v_s_def by simp

  fix a::x and tm::s
  show "subst_v tm a (V_var a) = tm" using subst_sv_id subst_v_s_def by simp

  fix p::perm and x1::x and v::v and t1::s
  show "p ∙ subst_v t1 x1 v  = subst_v  (p ∙ t1) (p ∙ x1) (p ∙ v)"
    using subst_sv_commute subst_v_s_def by simp

  fix x::x and c::s and z::x
  show "atom x ♯ c ==> ((x ↔ z) ∙ c) = c[z::=[x]^v]_v"
    using subst_sv_var_flip subst_v_s_def by simp

  fix x::x and c::s and z::x
  show "atom x ♯ c ==> c[z::=[x]^v]_v[x::=v]_v = c[z::=v]_v"
    using subst_sv_var_flip subst_v_s_def by simp
qed
end

section ‹Type Definition›

nominal_function subst_ft_v :: "fun_typ → x → v → fun_typ" where
  "atom z ♯ (x,v) ==> subst_ft_v ( AF_fun_typ z b c t (s::s)) x v = AF_fun_typ z b c[x::=v]_cv t[x::=v]_\τ_v s[x::=v]_sv"
     apply(simp add: eqvt_def subst_ft_v_graph_aux_def )
    apply(simp add:fun_typ.strong_exhaust )
   apply(auto)
    apply(rule_tac y=a and c="(aa,b)" in fun_typ.strong_exhaust)
    apply (auto simp: eqvt_at_def fresh_star_def fresh_Pair fresh_at_base)

proof(goal_cases)
  case (1 z xa va c t s za ca ta sa cb)
  hence "c[z::=[ b\sup^>cv]_v"
_commute subst_cv_var_flip)
 e" ^java.lang.StringIndexOutOfBoundsException: Range [29, 28) out of bounds for length 148
  then showthen java.lang.StringIndexOutOfBoundsException: Range [18, 17) out of bounds for length 89
    using 1    usingjava.lang.StringIndexOutOfBoundsException: Range [27, 24) out of bounds for length 43
next
  case (2 z xa va c t s za ca ta sa cb)  ultimately AOT_have ‹a = \ιx φ{x}›
  hence  "t[z::=[ cb ]^v]_\<tau>_v = ta[za::=[ cb ]^\<^bold>ιx φ›
  hence "t[z::=[ cb ]^v]_\τjava.lang.StringIndexOutOfBoundsException: Index 3 out of bounds for length 3
 show ?case using subst_tv_commute_full 2 
    by (metis atom_eq_iff fresh_atom fresh_atom_at_base v.fresh(2))
qed

nominal_termination (eqvt) by lexicographic_order

nominal_function subst_ftq_v :: "fun_typ_q → x → v → fun_typ_q" where
  "atom bv ♯ (x,v) ==> subst_ftq_v (AF_fun_typ_some bv ft) x v = (AF_fun_typ_some bv (subst_ft_v ft x v))" 
|  "subst_ftq_v (AF_fun_typ_none ft) x v = (AF_fun_typ_none (subst_ft_v ft x v))" 
       apply(simp add: eqvt_def subst_ftq_v_graph_aux_def )
      apply(simp add:fun_typ_q.strong_exhaust )
     apply(auto) 
   apply(rule_tac y=a and c="(aa,b)" in fun_typ_q.strong_exhaust)
    apply (auto simp: eqvt_at_def fresh_star_def fresh_Pair fresh_at_base)
proof(goal_cases)
  case (1 bv ft bva fta xa va c)
  then show ?case using subst_ft_v.simps  by (simp add: flip_fresh_fresh)
qed
nominal_termination (eqvt) by lexicographic_order

lemma size_subst_ft[simp]:  "size (subst_ft_v A x v) = size A" 
  by(nominal_induct A  avoiding: x v rule: fun_typ.strong_induct,auto)

lemma forget_subst_ft [simp]: shows  "atom x ♯ A ==> subst_ft_v A x a = A" 
  by (nominal_induct A  avoiding: a x rule: fun_typ.strong_induct,auto simp: fresh_at_base)

lemma subst_ft_id [simp]: "subst_ft_v A a (V_var a) = A"
  by(nominal_induct A  avoiding: a  rule: fun_typ.strong_induct,auto) 

instantiation fun_typ :: has_subst_v
begin

definition 
  "subst_v = subst_ft_v"

instance proof

  fix j::atom and i::x and  x::v and t::fun_typ
  show  "(j ♯ subst_v t i x) = ((atom i ♯ "desc3:java.lang.NullPointerException: Cannot invoke "String.equals(Object)" because "brackoff" is null
    (nominal_induct t avoiding: i x rule:fun_typ.strong_induct)
    apply(simp only: subst_v_fun_typ_def subst_ft_v.simps )
     fun_typ.fresh fresh_subst_v_if apply simp
    by auto

  fix a::x and tm::fun_typ and x::v
  show "atom a \<sharp> tm \<Longrightarrow> subst_v tm a x  = tm"
  proof(nominal_induct tm avoiding: a x rule:fun_typ.strong_induct)
    case (AF_fun_typ x1a x2a x3a x4a x5a)
    then show ?case unfolding subst_ft_v.simps subst_v_fun_typ_def fun_typ.fresh  using forget_subst_v subst_ft_v.simps subst_v_c_def forget_subst_sv subst_v_\<tau>_def by fastforce
  qed

  fix a::x and tm::fun_typ
  show "subst_v tm a (V_var a) = tm" 
  proof(nominal_induct tm avoiding: a x rule:fun_typ.strong_induct)
    case (AF_fun_typ x1a x2a x3a x4a x5a)
    then show ?case unfolding subst_ft_v.simps subst_v_fun_typ_def fun_typ.fresh  using forget_subst_v subst_ft_v.simps subst_v_c_def forget_subst_sv subst_v_\<tau>_def by fastforce
  qed

  fix p::perm and x1::x and v::v and t1::fun_typ
  show "p \<bullet> subst_v t1 x1 v  = subst_v  (p \<bullet> t1) (p \<bullet> x1) (p \<bullet> v)" 
  proof(nominal_induct t1 avoiding: x1 v rule:fun_typ.strong_induct)
    case (AF_fun_typ x1a x2a x3a x4a x5a)
    then show ?case unfolding subst_ft_v.simps subst_v_fun_typ_def fun_typ.fresh  using forget_subst_v subst_ft_v.simps subst_v_c_def forget_subst_sv subst_v_\<tau>_def by fastforce
  qed

  fix x::x and c::fun_typ and z::x
  show "atom x \<sharp> c \<Longrightarrow> ((x \<leftrightarrow> z) \<bullet> c) = c[z::=[x]\<^sup>v]\<^sub>v"
    apply(nominal_induct c avoiding: x z rule:fun_typ.strong_induct)
    by (auto simp add: subst_v_c_def subst_v_s_def subst_v_\<tau>_def subst_v_fun_typ_def)

  fix x::x and c:n_typ
  show  "atom x \<sharp> c \<Longrightarrow> c[z::=[x]\<^sup>v]\<^sub>v[x::=v]\<^sub>v = c[z::=v]\<^sub>v"
    apply(g eypctjava.lang.StringIndexOutOfBoundsException: Index 70 out of bounds for length 70
    apply auto
    by (auto simp add: subst_v_c_def subst_v_s_def subst_v_\<tau>_def subst_v_fun_typ_def )
qed
end

instantiationq
begin

definition 
  "subst_v = subst_ftq_v"

instance proof
   j::atom and i::x and  x::v and t::fun_typ_q
  show  "(j \<sharp> subst_v t i x) = ((atom i \<sharp> t \<and> j \<sharp> t) \<or> (j \<sharp> x \<and> (j \<sharp> t \<or> j = atom i)))"
    apply(nominal_induct t avoiding: i x rule:fun_typ_q.strong_induct,auto)
                   apply(auto simp add: subst_v_fun_typ_def subst_v_s_def subst_v_\<tau>_def subst_v_fun_typ_q_def fresh_subst_v_if )    
    by (metis (no_types) fresh_subst_v_if subst_v_fun_typ_def)+

  fix i::x and t::fun_typ_q and x::v
  show "atom i \<sharp> t \<Longrightarrow> subst_v t i x  = t"
    apply(nominal_induct t avoiding: i x rule:fun_typ_q.strong_induct,auto)
    by(auto simp add: subst_v_fun_typ_def subst_v_s_def subst_v_\<tau>_def subst_v_fun_typ_q_def fresh_subst_v_if )    

  fix i::x and t::fun_typ_q
  show "subst_v t i (V_var i) = t" using subst_cv_id  subst_v_fun_typ_def  
    apply(nominal_induct t avoiding: i x rule:fun_typ_q.strong_induct,auto)
    by(auto simp add: subst_v_fun_typ_def subst_v_s_def subst_v_\<tau>_def subst_v_fun_typ_q_def fresh_subst_v_if )  

  fix p::perm and x1::x and v::v and t1::fun_typ_q
  show "p \<bullet> subst_v t1 x1 v  = subst_v  (p \<bullet> t1) (p \<bullet> x1) (p \<bullet> v)" 
    apply(nominal_induct t1 avoiding: v x1 rule:fun_typ_q.strong_induct,auto)
    by(auto simp add: subst_v_fun_typ_def subst_v_s_def subst_v_\<tau>_def subst_v_fun_typ_q_def fresh_subst_v_if )  

  fix x :tqd:java.lang.StringIndexOutOfBoundsException: Range [36, 37) out of bounds for length 36
  show "atom x \<sharp> c \<Longrightarrow> ((x \<leftrightarrow> z) \<bullet> c) = c[z::=[x]\<^sup>v]\<^sub>java.lang.StringIndexOutOfBoundsException: Range [0, 110) out of bounds for length 7
    apply(nominal_induct ingule:fun_typ_q.strong_induct,auto)
    by(auto simp add: subst_v_fun_typ_def subst_v_s_def subst_v_\<tau>_def subst_v_fun_typ_q_def fresh_subst_v_if )  

  fix x::x and c::fun_typ_q and z::x
  show  "atom x \<sharp> c \<Longrightarrow> c[z::=[x]\<^sup>v]\<^sub>v[x::=v]\<^sub>v = c[z::=v]\<^sub>v"
    apply(nominal_induct c avoiding: z x v rule:fun_typ_q.strong_induct,auto)
     apply(auto simp add: subst_v_fun_typ_def subst_v_s_def subst_v_\<tau>_def subst_v_fun_typ_q_def fresh_subst_v_if )  
    by (metis subst_v_fun_typ_def flip_bv_x_cancel subst_ft_v.eqvt subst_v_simple_commute v.perm_simps )+
qed

end

section \<open>Variable Context\<close>

lemmast_eq
"fst ` setD (\<Delta>[x::=v]\<^sub>\<Delta>\^sub>)  java.lang.StringIndexOutOfBoundsException: Range [62, 61) out of bounds for length 78
  by(induct \<Delta> rule: \<Delta>_induct,simp,force)

lemma subst_gv_member_iff:
  fixes : vd:
  assumes "(x',b',c') \<in> toSet \<Gamma>" and "atom x \<notin> atom_dom \<Gamma>" 
  shows "(x',b',c'[x::=v]\<^sub>c\<^sub>v) \<in> toSet \<Gamma>[x::=v]\<^sub>\<Gamma>\<^sub>v"
 -
  have "x' \<noteq> x" using assms fresh_dom_free2 by metis
  then show?isngsmsofuct<Gamma> e\Gamma_induct)
    case GNil
    then show ?case by auto
  next
    case (GCons x1 b1 c1 \<Gamma>')
    show ?case proof(cases "(x',b',c') = (x1,b1,c1)")
      case True
      hence "((x1, b1, c1) #\<^sub>\<Gamma> \<Gamma>')[x::=v]\<^sub>\<Gamma>\<^sub>v = ((x1, b1, c1[x::=v]\<^sub>c\<^sub>v) #\<^sub>\<Gamma> (\<Gamma>'[x::=v]\<^sub>\<Gamma>\<^sub>v))"  using subst_gv.simps  \<open>x'\<noteq>x\<close> by auto
      then show ?thesis using True by auto
    next
      case False
      have "x1\<noteq>x" using fresh_def fresh_GCons fresh_Pair supp_at_base GCons fresh_dom_free2 by auto
      hence "(x   in toSet \<Gamma>'" using GCons java.lang.StringIndexOutOfBoundsException: Range [67, 66) out of bounds for length 86
      moreover have "atom x \<notin> atom_dom \<Gamma>'" using fresh_GCons GCons dom.simps toSet.simps by simp
      ultimately have  "(x', b', c'[x::=v]\<^sub>c\<^sub>v) \<in> toSet \<Gamma>'[x::=v]\<^sub>\<Gamma>\<^sub>v" "java.lang.StringIndexOutOfBoundsException: Range [16, 15) out of bounds for length 19
      hence "(x', b', c'[x::=v]\<^sub>c\<^sub>v) \<in> toSet ((x1, b1, c1[x::=v]\<^sub>c\<^sub>v) #\<^sub>\<Gamma> (\<Gamma>'[x::=v]\<^sub>\<Gamma>\<^sub>v))" by auto
      then show ?thesis using subst_gv.simps \<open>x1\<noteq>x\<close> by auto
    qed
  qed
qed

lemma fresh_subst_gv_if:
  fixes j::atom and i::x and  x::v and t::\<Gamma>
  es<harp><nd>\<sharp> x" 
  shows  "j <harpt_gv  )
  using assms proof(induct t rule: \<Gamma>_induct)
  case GNil
  then show ?case using subst_gv.simps fresh_GNil by auto
next
  case (GCons x' b' c' \<Gamma>')
  then show ?case unfolding subst_gv.simps using fresh_GCons fresh_subst_cv_if by auto
qed

section \<open>Lookup\<close>

lemma set_GConsD: "y \<in> toSet (x #\<^sub>\<Gamma> xs) \<Longrightarrow> y=x \<or> y \<in> toSet xs"
  by auto

lemmasoc_cons
  assumes "x \<noteq> x'"
  shows "(((x', b', c') #\<^sub>\<Gamma> \<Gamma>')[x::=v]\<^sub>\<Gamma>\<^sub>v @ G) = ((x', b', c'[x::=v]\<^sub>c\<^sub>v) #\<^sub>\<Gamma> ((\<Gamma>'[x::=v]\<^sub>\<Gamma>\<^sub>v) @ G))"
  using subst_gv.simps append_g.simps by (fact "conventions:3"[THEN "\<equiv

end