Remark loopexec :
   forall s : St, Invar s -> {s' : St | Invar s' /\ LoopExit s'}.

(* Specifications: *)
Lemma startloop : forall s : St, precond s -> {s' : St | Invar s' /\ LoopExit s'}.
Lemma while_not : forall s : St, precond s -> {s' : St | postcond s'}.