[論文レビュー] Accompanist: A Runtime for Resilient Choreographic Programming

Viktor Strate Kløvedal, Dan Plyukhin+2 more|arXiv (Cornell University)|Mar 21, 2026

Distributed systems and fault tolerance被引用数 0

ひとこと要約

Accompanist は側車を展開して計算を再生し故障をマスクすることで Choral チョアログラフィックプログラムの堅牢なランタイムを提供し、正式な正確性保証を伴う分散サーガ取引を実現します。

ABSTRACT

In service-oriented architecture, services coordinate in one of two ways: directly, using point-to-point communication, or indirectly, through an intermediary called the orchestrator. Orchestrators tend to be more popular because their local state is a 'single source of truth' for the status of ongoing workflows, which simplifies fault recovery and rollback for distributed transactions that use the 'saga' pattern. But orchestration is not always an option because of hardware constraints and security policies. Without a central orchestrator, resilient saga transactions are hard to implement correctly. A natural idea is to use choreographic programming, a paradigm that brings the 'global view' of orchestrators to a decentralised setting. Unfortunately, choreographic programming relies on strong assumptions about network reliability and service uptime that often do not hold. Recent work weakens some of these assumptions with 'failure-aware' language features, but these features make programs more complex. We propose a complementary approach: to co-design the programming interface with a customizable runtime that can replay computation to mask faults. Our approach keeps programs simple, does not require modifying the compiler, and lends itself to a clean separation of concerns in formal proofs. We present Accompanist, a resilient runtime for the Choral choreographic programming language. With Accompanist, programmers can implement decentralised saga transactions as choreographic programs and deploy the compiled code to 'sidecars' that run alongside services in a pre-existing codebase. Our key assumptions are that choreographic programs should be deterministic, transactions within a saga should be idempotent, and messages should be written to a durable message queue. Based on these assumptions, we present a formal model and prove that target code is correct-by-construction.

研究の動機と目的

• サービス指向アーキテクチャにおいてオーケストレーションが待機遅延・セキュリティ・ローカリティ制約のため実現不可能な場合における堅牢な協調の必要性を動機付ける。
• Accompanist を、チョアログラフィック協調のフォールトトレラント実行モデルとプログラミングインターフェースの共設計として導入する。
• Accompanist を用いて実装されたチョアログラフィック・サガがデッドロックフリーで、境界付き再起動のもとで停止し、補償トランザクションを通じて整合性を維持することを示す。
• 協調の正しさを証明する formal model と、ネットワークレベルのバイシミュレーション証明とを分離した正しさの結果を提供する。

提案手法

• 分散・構築上正しさを持つサガ取引を、チョアログラフィックプログラミングにおける形式モデルとして提示する。
• Choral生成コードを実行し、プログラマブルチャネルを介して通信するサイドカーを備える Accompanist 実行時アーキテクチャを説明する。
• セッションベースの実行を、セッションごとに状態と順序外のメッセージのバッファリングを持つ軽量仮想スレッドへマッピングする。
• Inbox/Outbox パターンを用いた耐久性メッセージ送信を実装し、少なくとも一度のリプレイと冪等性トランザクションを可能にする。
• deterministically 冪等性の仮定を活用して、セッションを再起動し初期状態からリプレイする耐障害モードを導入する。
• サガ取引を Transaction インタフェースと補償アクションを用いて表現し、障害発生時のロールバックを保証する。

Figure 1 . A workflow with three services, implemented in three different styles.

実験結果

リサーチクエスチョン

• RQ1 チョアログラフィックプログラミングを、コンパイラ変更や侵入的な言語仕様拡張を必要とせず、現実のシステムで実用的にするにはどうすればよいか。
• RQ2 リプレイベースのランタイムアプローチは、デーカレライズドなチョアログラフィックの耐障害性とデッドロック回避・サガ安全性といった正しさ特性を保ちつつ提供できるか。
• RQ3 耐障害性リプレイのパフォーマンス影響は、従来のサガオーケストレーションと比較してどの程度か。
• RQ4 チョアログラフィックを正しく構築して設計し、ネットワークレベルの挙動とバイシミュレーションを関連付けていけるか。
• RQ5 サイドカー型協調における信頼性と可観測性を支える仕組み（メッセージヘッダ、セッション管理など）は何か。

主な発見

• デフォルトの Accompanist モードは、ゾーン間・リージョン間の分散配置におけるエンドツーエンドの待機時間を改善する。
• 耐障害モードでは、Accompanist は成熟した業界グレードのサガオーケストレーションフレームワークに対して、エンドツーエンド待機時間の中央値で5.9倍と大幅な改善を達成する。
• このアプローチは原則的な正しさの結果を提供する：デッドロックフリー、境界付き再起動での停止、参加者間での成功または補償アクションの合意。
• 分散型の正しく設計されたサガ取引の形式化を提供しており、チョアログラフィックとコンパイル済みのチョアログラフィック間のバイシミュレーション結果およびリスタート時のリプレイ同値性を含む。
• アーキテクチャは、サイドカーがワーカーと RPC で通信することにより既存の多言語コードベースとの統合を支援し、アプリケーションの書換を回避する。

Figure 2 . A user checkout workflow implemented with orchestration (a) versus Accompanist (b).