[論文レビュー] Checking Robustness against TSO

Ahmed Bouajjani, Egor Derevenetc+1 more|arXiv (Cornell University)|Aug 30, 2012

Formal Methods in Verification参考文献 25被引用数 3

ひとこと要約

本稿では、Total Store Ordering (TSO) メモリモデルに対するトレース耐障害性の検証問題を、順序付けられた一貫性 (SC) における状態到達可能性問題に還元するソース・ツー・ソース変換を提示する。非耐障害性を特定する『攻撃』—特定のロードおよびストア命令の再順序化—を特徴づけることで、SC モデル・チェッカーを用いた正確でスケーラブルな検証が可能となり、決定可能性や耐障害性を確保するための最適なフェンス挿入にも応用可能である。

ABSTRACT

We present algorithms for checking and enforcing robustness of concurrent programs against the Total Store Ordering (TSO) memory model. A program is robust if all its TSO computations correspond to computations under the Sequential Consistency (SC) semantics. We provide a complete characterization of non-robustness in terms of so-called attacks: a restricted form of (harmful) out-of-program-order executions. Then, we show that detecting attacks can be parallelized, and can be solved using state reachability queries under SC semantics in a suitably instrumented program obtained by a linear size source-to-source translation. Importantly, the construction is valid for an arbitrary number of addresses and an arbitrary number of parallel threads, and it is independent from the data domain and from the size of store buffers in the TSO semantics. In particular, when the data domain is finite and the number of addresses is fixed, we obtain decidability and complexity results for robustness, even for an arbitrary number of threads. As a second contribution, we provide an algorithm for computing an optimal set of fences that enforce robustness. We consider two criteria of optimality: minimization of program size and maximization of its performance. The algorithms we define are implemented, and we successfully applied them to analyzing and correcting several concurrent algorithms.

研究の動機と目的

• 並行プログラムが TSO と SC の意味論において動作的に同等のまま保たれるかどうかを検証する課題に対処すること。
• TSO におけるストア・トゥ・ロード再順序化によって引き起こされる非耐障害性を検出する正確でスケーラブルなアルゴリズムを提供すること。
• 性能への影響とコードサイズを最小限に抑えるように最適なフェンス配置を合成可能にすること。
• 耐障害性を証明できない、またはフェンスを最適に挿入できない、従来のテストベースや過剰近似の静的解析手法の限界を克服すること。
• ストアバッファのサイズに依存しない、任意のスレッド数、共有変数、データドメインを有する一般の並行プログラムを扱えること。

提案手法

• 『攻撃』—TSO において非 SC 行動を引き起こすロードおよびストア命令の再順序化—を導入する。
• 潜在的な攻撃を SC 意味論における到達可能性クエリとして符号化する線形サイズのソース・ツー・ソース変換を定義する。
• TSO 耐障害性問題を標準的な SC 状態到達可能性問題に還元し、既存の SC 検証ツールの利用を可能にする。
• 還元の健全性と完全性を保証するため、各実行可能な攻撃に対して証拠計算を構築する。
• 同じインストルメンテーションを用いて、フェンス配置の制約を課した SC における到達可能性クエリを解くことで、最適なフェンス集合を計算する。
• フェンス挿入の最適化基準として、プログラムサイズの最小化と性能の最大化を両方サポートする。

実験結果

リサーチクエスチョン

• RQ1 TSO における並行プログラムの耐障害性を正確に検証できるか、すなわちすべての TSO 実行がある SC 実行に対応するか？
• RQ2 TSO における有害な非順序実行（攻撃）をどのように特徴づけ、検出できるか？
• RQ3 健全かつ完全であるような還元により、TSO 耐障害性問題を標準的な SC 到達可能性問題に還元できるか？
• RQ4 プログラムの耐障害性を確保する最適なメモリフェンスのセットは何か？ その際、コードの肥大化を最小限に抑えたり、性能を最大化したりする。
• RQ5 TSO 耐障害性はどのような条件下で決定可能であり、一般の場合の計算量的複雑度は何か？

主な発見

• 提案された還元により、TSO 耐障害性の検証が SC 状態到達可能性問題に変換され、既存の SC モデル・チェッカーを用いた正確な検証が可能になった。
• 攻撃による非耐障害性の検出に関して、健全かつ完全であり、誤検出や見逃しのない正確な検証が可能である。
• 有限のデータドメインと固定された共有変数数の下では、無限のストアバッファと任意のスレッド数を想定しても、耐障害性は決定可能であり、PSPACE完全である。
• ソース・ツー・ソース変換はサイズが線形であり、データドメインのサイズやバッファ容量に依存しない。
• フェンス挿入アルゴリズムは、プログラムサイズの最小化と性能の最大化という二つの基準において、最適な解を生成する。
• 本手法は実装され、実際の並行アルゴリズムの検証と修正に成功して適用され、実用性とスケーラビリティが実証された。