שליחה במסרון: A formal CHERI-C memory model