Section M_INVARIANTS.
(* il s'agit d'invariants d'etat de la machine, leurs preuves suivant le meme schema, verification sur la situation initiale puis induction et etude par cas *)
(* l'estampille est inferieure au temps *)
(* le site destination d'un message inc_dec n'est jamais le proprietaire *)

Lemma not_owner_first_inc :
forall (c : Config) (s0 s1 s2 : Site),
legal c ->
first Message (bm c s1 s2) = value Message (inc_dec s0) -> s0 <> owner.