tla+ typesetter