[論文レビュー] Brief Announcement: Model Checking Rendezvous Algorithms for Robots with Lights in Euclidean Space

Xavier Défago, Adam Heriban+2 more|arXiv (Cornell University)|Jan 1, 2019

Optimization and Search Problems参考文献 30被引用数 1

ひとこと要約

本稿では、連続的なユークリッド空間におけるライトを備えた2台のロボットのためのリンドバウズアルゴリズムを検証するための形式的モデルチェックフレームワークを、SPINを用いて提示する。ロボットの状態とスケジューラの動作を有限で取り扱い可能な状態空間に抽象化することで、著者たちは6つの同期性モデルにおける既知のアルゴリズムを検証した。正しさの確認と反例による欠陥の特定を通じて、複雑な移動ロボットプロトコルを自動で信頼性高く検証する手法を確立した。

ABSTRACT

The paper details the first successful attempt at using model-checking techniques to verify the correctness of distributed algorithms for robots evolving in a \emph{continuous} environment. The study focuses on the problem of rendezvous of two robots with lights. There exist many different rendezvous algorithms that aim at finding the minimal number of colors needed to solve rendezvous in various synchrony models (e.g., FSYNC, SSYNC, ASYNC). While these rendezvous algorithms are typically very simple, their analysis and proof of correctness tend to be extremely complex, tedious, and error-prone as impossibility results are based on subtle interactions between robots activation schedules. The paper presents a generic verification model written for the SPIN model-checker. In particular, we explain the subtle design decisions that allow to keep the search space finite and tractable, as well as prove several important theorems that support them. As a sanity check, we use the model to verify several known rendezvous algorithms in six different models of synchrony. In each case, we find that the results obtained from the model-checker are consistent with the results known in the literature. The model-checker outputs a counter-example execution in every case that is known to fail. In the course of developing and proving the validity of the model, we identified several fundamental theorems, including the ability for a well chosen algorithm and ASYNC scheduler to produce an emerging property of memory in a system of oblivious mobile robots, and why it is not a problem for luminous rendezvous algorithms.

研究の動機と目的

• 移動ロボットシステムにおけるリンドバウズアルゴリズムの手書き証明の複雑さと誤りの可能性に対処すること。
• 連続的なユークリッド空間における分散アルゴリズムを検証するための有限で取り扱い可能なモデルチェックフレームワークを開発すること。
• 自動検証を用いて、FSYNC、SSYNC、ASYNCを含む複数の同期性モデルにおける既知のリンドバウズアルゴリズムを形式的に検証すること。
• 無記憶ロボットにライトを備えた状況下で生じる、記憶に類似した性質に関する根本的な定理を同定し、証明すること。
• モデルチェックが、既知の理論的結果を信頼性高く再現でき、反例を用いて誤ったアルゴリズムを検出できることを示すこと。

提案手法

• 距離、色、位相、保留中のアクションを明示的な状態変数として用いたLook-Compute-Moveサイクルによるロボット動作のモデル化。
• 連続的な環境を離散状態カテゴリ（例：NEAR、SAME）に抽象化することで、有限状態空間を維持する。
• ロボットの位相と保留中の移動を追跡することで、FSYNC、SSYNC、ASYNCをサポートするスケジューラモデルを実装する。
• 正しさの検証と違反の検出に、フェアネスとネバークラームアサーションを用いたSPINモデルチェッカーを適用する。
• 観測されたロボットの色と位置に基づく条件付き遷移により、アルゴリズムの論理をエンコードする。
• 状態空間の膨張を管理するため、メモリとパフォーマンス最適化（例：-DMEMLIM、-DNOREDUCE）を適用する。

実験結果

リサーチクエスチョン

• RQ1 モデルチェックは、連続的なユークリッド空間におけるリンドバウズアルゴリズムの正しさ検証に効果的に適用可能か？
• RQ2 連続的ロボット運動の無限状態空間を、形式的検証に適した有限で取り扱い可能なモデルにどのように抽象化できるか？
• RQ3 このモデルチェックフレームワークは、異なる同期性モデルにおけるリンドバウズに必要な最小色数に関する既知の理論的結果を再現できるか？
• RQ4 モデルは、既知の誤ったアルゴリズムの欠陥を正しく検出し、意味のある反例を生成できるか？
• RQ5 非記憶型ロボットにライトを備えた状況下で、非同期スケジューリングの下で、どのような自己発生的性質（例：記憶に類似した挙動）が生じるか？

主な発見

• 本モデルは、6つの同期性モデルにおけるすべての既知のリンドバウズアルゴリズムを正常に検証した。得られた結果は、文献と整合的であった。
• 2色のASYNCアルゴリズム（Heribanら）については正しさが確認された一方、Vigliettaの2色ASYNCアルゴリズム（Vig2Cols）は、受容サイクルが検出されたことで正しく失敗することが判明した。
• 失敗したVig2Colsアルゴリズムに対して、反例トレースが生成され、その分析によりプロトコルの論理的欠陥が確認された。
• モデルチェックのプロセスにより、非同期スケジューラが、本質的に無記憶のロボットに記憶に類似した挙動を誘発することが判明した。これにより、恒久的記憶がなくてもこのようなアルゴリズムが成功する理由が説明された。
• フレームワークはスケーラビリティを示し、約4秒間で最大550万の遷移、180万の訪問状態を処理し、メモリ使用量は160MB未満であった。
• 距離状態（NEAR/SAME）と離散的色遷移を用いた抽象化戦略は、状態空間の有限性を維持しながらも、アルゴリズムの意味論を保持する上で効果的であった。