un peu de preuve de total correctness