% =================================================================
:- pred constr(bool).
:- mode constr(in).
:- ignore constr/1.
% =================================================================
% Program. ascending sorting
:- pred bubblesort(list(int),list(int)).
:- mode bubblesort(in,out).

bubblesort(L,L) :- swap(L,L1,B), constr(~B), eqlist(L,L1). 
bubblesort(L,SL) :- swap(L,L1,B), constr(B),           
                    bubblesort(L1,SL).
                    
:- pred eqlist(list(int),list(int)).
:- mode eqlist(in,in).
eqlist(L,L).

:- pred swap(list(int),list(int),bool).   % bool is true if a swap has been done
:- mode swap(in,out,out).

swap([],[],B) :- constr(~B).
swap([X],[X],B) :- constr(~B).
swap([X,Y|Ys],[Y|Zs],B) :- 
         constr(B & (X > Y)),
         cons(X,Ys,XYs),
         swap(XYs,Zs,B).
swap([X,Y|Ys],[X|Zs],B) :-
        constr(X =< Y),
        cons(Y,Ys,YYs),
        swap(YYs,Zs,B).

:- pred cons(int,list(int),list(int)).
:- mode cons(in,in,out).
cons(H,T,[H|T]).

% =================================================================
% catamorphism
:- pred listcount(int,list(int),int).
:- mode listcount(in,in,out).
:- cata listcount/3-2.

listcount(X,[],N) :- N=0.
listcount(X,[H|T],N) :-
  constr( (N=ite(X=H,(NT+1),NT)) ),
  listcount(X,T,NT).

% =================================================================
% Verification.
% Property:
:- pred ff1.
ff1 :- 
   constr(~(SL=SS)), 
   listcount(X,L,SL), listcount(X,S,SS),  
   bubblesort(L,S).
     
% contracts (postcondition: true)

:- spec swap(L,L1,B) ==> listcount(X,L,LS), listcount(X,L1,L1S) => constr(true).

:- spec eqlist(L,L1) ==> listcount(X,L,LS), listcount(X,L1,L1S) => constr(true).

:- spec cons(H,T,HT) ==> listcount(X,T,TS), listcount(X,HT,HTS) => constr(true).

% =================================================================
:- query ff1/0.
% =================================================================