Section SAFETY.
(* ou l'on verifie que si un site different du proprietaire est actif (drapeau rt) alors le compteur du proprietaire est strictement positif. On utilise pour cela la relation parent, en remontant a la racine depuis le site actif. Cette racine se caracterise par un yi nul (il n'y a pas de message inc_dec dans sa file avec le proprietaire) et un xi strictement positif car son drapeau est actif. En sommant tous les xi-yi on obtient donc une valeur strictement positive pour le compteur du proprietaire *)
Variable c0 : Config.
Hypothesis Hlegal : legal c0.
Variable s0 : Site.
Hypothesis s0_not_owner : s0 <> owner.
Hypothesis access_so : rt c0 s0 = true.
Definition root_parent :=
root Site (dt c0) (parent c0) (parent_dec c0)
(fun s1 s2 : Site => parent_cr c0 s1 s2 Hlegal).

Lemma pos_st_owner : (st c0 owner > 0)%Z.