[論文レビュー] A Timed Process Algebra for Wireless Networks

Emile Bres, Rob van Glabbeek+1 more|arXiv (Cornell University)|Jun 12, 2016

Formal Methods in Verification参考文献 41被引用数 16

ひとこと要約

本稿では、無線ネットワークプロトコルの形式的モデリングと解析を可能にする、時刻を明示的に扱える Algebra for Wireless Networks (AWN) の拡張版である T-AWN を提案する。AODVルーティングプロトコルが、ルートの過早な有効期限切れによってループ形成を起こす可能性があることを同定し、形式的に証明した。また、有効なルートの存在を条件としてルート更新を行うことで、ループの自由性を保証するタイミングに基づく修正策を提案する。

ABSTRACT

This paper proposes a timed process algebra for wireless networks, an extension of the Algebra for Wireless Networks. It combines treatments of local broadcast, conditional unicast and data structures, which are essential features for the modelling of network protocols. In this framework we model and analyse the Ad hoc On-Demand Distance Vector routing protocol, and show that, contrary to claims in the literature, it fails to be loop free. We also present boundary conditions for a fix ensuring that the resulting protocol is indeed loop free.

研究の動機と目的

• 既存のプロセス代数における無線ネットワークプロトコルのモデリングのための形式的時刻サポートの欠如に対処すること。
• 時刻を伴う形式的枠組みを用いて AODV ルーティングプロトコルを形式的に分析し、従来の非形式的仕様では見過ごされた正しさの欠陥を特定すること。
• AODV における時刻依存の障害、特にルートの有効期限切れによるルーティングループを特定すること。
• 有効なルートの存在を条件としてルート更新を行うことで、AODV におけるループの自由性を形式的に検証された形で保証する、時刻に配慮した修正策を提供すること。

提案手法

• ノード間通信遅延をモデル化するため、局所タイマーと持続的アクションを導入して AWN を拡張する。
• メッセージの送信と受信を時刻付きアクションとしてモデル化し、受信をブロードキャスト送信の終了時刻に同期させる。
• 送信範囲内での確実な配信を仮定し、ノードが常にメッセージを受信可能であることを保証する入力有効プロセスを実装する。
• ノードの距離に応じてブロードキャストが受信または非到着アクションと同期する、操作的意味論を用いる。
• 正確な時刻制約を伴う AODV のルート発見およびメンテナンス手順をモデル化する。
• モデル検査と形式的推論を適用し、特にルートの有効期限切れと更新条件を想定した状況下でのプロトコル動作を検証する。

実験結果

リサーチクエスチョン

• RQ1 AODV プロトコルの時刻的側面が、ルートの過剰な有効期限切れによってルーティングループを引き起こす可能性はあるか？
• RQ2 文献で主張されているように、AODV プロトコルは現実的な時刻仮定のもとで真にループフリーであると言えるか？
• RQ3 AODV におけるループの自由性を保証するための、必要なおよび十分な時刻的条件は何か？
• RQ4 プロセス代数における形式的時刻モデリングは、標準的なルーティングプロトコルの仕様に欠陥をどのように明らかにできるか？
• RQ5 AODV のルート更新論理にどのような変更を加えることで、時刻に起因するルーティングループを防げるか？

主な発見

• AODV プロトコルは、プロトコル自体が正しくても、ルートエントリの過剰な有効期限切れによってループを形成する可能性がある。
• 遅延したルートリプライや、より高いシーケンス番号をもつルートリクエストといった特定のシナリオでは、ルートが有効寿命を超えて延長され、結果としてループが発生する。
• 根本的な原因は、データパケットやルートリクエストによってルート更新がトリガーされるが、そのルートが実際に有効であるか、使用中であるかの確認が行われないことにある。
• 本稿では、AODV の Pro. 4 および Pro. 5 手順の行 4、9–46、10、11、12、13 が、無条件に実行された場合に安全でないことを同定した。
• 提案される修正策は、すべてのルート更新アクションを、宛先への有効なルートの存在に条件づけることで、不適切な有効期限延長を防ぐことである。
• 本稿では、特定の更新行（例：Pro. 4、行 9–46）を単に省略する、または有効性チェック（例：oip ∈vD(rt)）を追加することで、ループの自由性が保証され、プロトコルの不変条件が維持されることを示した。