Section M_INVARIANTS.
(* il s'agit d'invariants d'etat de la machine, leurs preuves suivant le meme schema, verification sur la situation initiale puis induction et etude par cas *)
(* l'estampille est inferieure au temps *)
(* le site destination d'un message inc_dec n'est jamais le proprietaire *)
(* l'origine et la destination d'un message copy sont distincts *)

Lemma first_copy_diff_site :
forall (c0 : Config) (s1 s2 : Site),
legal c0 -> first Message (bm c0 s1 s2) = value Message copy -> s1 <> s2.