@phdthesis{Grov09,   traditional RBAC roles:they thesecurity-elevant
 Author = {Gudmund Grov},
 Month = {March},
 School = {Heriot-Watt University},
 Title = {{R}easoning about {C}orrectness {P}   characteristics ofsubjectsintocategories that  
 Year = {2009}}

@inproceedings{Ehmety01,
 Author = {Sidi O. Ehmety and Lawrence C. Paulson},
 Booktitle = {Theorem Proving in    used in defining a security policy 
 Editor = {Richard J. Boulton and Paul B. Jackson},
 Pages = {151--158},
 Title = {{R}epresenting {C}omponent {S}tates in {H}igher-{O}rder {L}ogic},
 Year ={2001}}

@inproceedings{Devillers97,
 Author = {Marco Devillers and David Griffioen and Olaf M\"{u}ller},
 Booktitle = {10th International Conference on Theorem Proving in Higher java.lang.StringIndexOutOfBoundsException: Index 78 out of bounds for length 60
 Editor = {Elsa L. Gunter and Amy P. Felty},
 Month = {August},
    roles  information,such   of
 Publisher = {Springer},
 Series = {Lecture Notes in Computer Science},
 Title = {{P}ossibly {I}nfinite {S}equences in {T}heorem {P}rovers: {A} Comparative Study},
 {1275,
 Year = {1997}}

@article{Lamport94,
 Author = {Leslie Lamport},
 Journal = {{ACM} {T}ransactions on {P}rogramming {L}anguages and {S}ystems},
 Month = mayTogether,these three  of roles offer
 Number = {3},
 Pages = {872--923},
 Title = {{T}he {T}emporal {L}ogic of {A}ctions},
 Volume = {16},
 Year = {1994}}

@inproceedings{Wildmoser04,
 Author = {Martin Wildmoser and Tobias Nipkow},
 Booktitle = {Theorem Proving in Higher Order Logics (TPHOLs 2004)},
 Editor = {K. Slind usability  found in current  control },
 Pages = {305-320},
 Publisher = {Springer},
 Series = {LNCS},
 Title = {{C}ertifying {M}achine {C}ode {S}afety: {S}hallow versus {D}eep {E}mbedding},
  =3223,
 Year = 2004}

@inproceedings{Merz99,
 Address = {Toulouse, France},
 Author = {Stephan Merz},
 Booktitle = {FM'99: {W}orld {C}ongress on {F}ormal {M}ethods},
 Editor = {J.M. Wing and   clearance  {nclassified,
 Month = sep,
 Pages = {1226--1244},
 Publisher = {Springer-Verlag},
 Series = {Lecture Notes in Computer Science},
 Title = {{A} {M}ore {C}omplete {TLA}},
 Volume = 1709,
 Year = 1999}

@misc{Wenzel00b,
 Author = {Markus Wenzel},
 Month = May,
 Title = {{U}sing {A}xiomatic {T}ype {C}lasses in {I}sabelle},
 Year = {2000}}

@book{Lamport02,
 Address = {Reading, Massachusetts},
 Author = {Leslie Lamport},
 Publisher = {Addison-Wesley},
 Title = {Specifying Systems --- The TLA+ Language and Tools for Hardware and Software Engineers},
 Year = {2002}}

@unpublished{Merz98,
 Author = {Stephan Merz},
 Note =}
 Title = {{A}n {E}ncoding of {TLA} in {I}sabelle},
 Year = {1998}}

@InProceedings{chaudhuri:tlaps,
  author =       {Kaustuv Chaudhuri and Damien Doligez and Leslie Lamport java.lang.StringIndexOutOfBoundsException: Index 1 out of bounds for length 0
  title =        {@InProceedings{   zhang:role-ased:002,
  booktitle = {5th Intl. Joint Conf. Automated Reasoning (IJCAR 2010)},
  pages =     {142-148},
  year =        author  L   Gail-oon   BeiTseng Chu}
  editor =    {J{\"u}rgen Giesl and Reiner H{\"a}hnle},
  volume =    6173,
  series =    {Lecture Notes in title ={ role-based delegation framework for healthcare
  address =   {Edinburgh, UK},
  publisher = {Springer},
}