[論文レビュー] Compositional Model Checking of Consensus Protocols Specified in TLA+ via Interaction-Preserving Abstraction

Xiaosong Gu, Wei Cao+4 more|arXiv (Cornell University)|Feb 23, 2022

Service-Oriented Architecture and Web Services被引用数 5

ひとこと要約

本論文は、一貫性プロトコルのTLA+仕様に対する状態空間の爆発を軽減しつつモジュール間の相互作用を保持する、構成的モデルチェックリングフレームワーク「インタラクション保存抽象化（IPA）」を提案する。この手法により、RaftおよびParallelRaftの効率的かつスケーラブルな検証が可能となり、Raftではモデルチェックコストを4倍以上削減し、PRaftでは大幅な時間短縮が達成された。実際の産業現場応用にも適している。

ABSTRACT

Consensus protocols are widely used in building reliable distributed software systems and its correctness is of vital importance. TLA+ is a lightweight formal specification language which enables precise specification of system design and exhaustive checking of the design without any human effort. The features of TLA+ make it widely used in the specification and model checking of consensus protocols, both in academia and industry. However, the application of TLA+ is limited by the state explosion problem in model checking. Though compositional model checking is essential to tame the state explosion problem, existing compositional checking techniques do not sufficiently consider the characteristics of TLA+. In this work, we propose the Interaction-Preserving Abstraction (IPA) framework, which leverages the features of TLA+ and enables practical and efficient compositional model checking of consensus protocols specified in TLA+. In the IPA framework, system specification is partitioned into multiple modules, and each module is divided to the internal part and the interaction part. The basic idea of the interaction-preserving abstraction is to omit the internal part of each module, such that another module cannot distinguish whether it is interacting with the original module or the coarsened abstract one. We use the IPA framework to the compositional checking of the TLA+ specification of two consensus protocols Raft and ParallelRaft. Raft is a consensus protocol which is originally developed in the academia and then widely used in industry. ParallelRaft is the replication protocol in PolarFS, the distributed file system for the commercial database Alibaba PoloarDB. We demonstrate that the IPA framework is easy to use in realistic scenarios and at the same time significantly reduces the model checking cost.

研究の動機と目的

• 一貫性プロトコルのTLA+モデルチェックにおける状態空間の爆発問題に対処すること。これはスケーラビリティと実用的利用を制限する要因である。
• TLA+の独自な仕様スタイルを考慮しない既存の構成的技術の限界を克服すること。
• Raft や ParallelRaft といった産業用の強固な一貫性プロトコルを、TLA+を用いて効率的かつスケーラブルに検証可能にする。
• 実際のプロトコル設計および検証ワークフローにスムーズに統合可能な実用的フレームワークを開発すること。

提案手法

• TLA+仕様を、それぞれ内部論理部と相互作用部を持つモジュールに分割する。
• 外部モジュールが抽象化されたバージョンと元のバージョンを区別できないように、内部論理を除去するインタラクション保存抽象化を適用する。
• TLA+のグローバルステートモデルと軽量な形式的記法を活用し、本質的な動作インターフェースを保持する抽象化を定義する。
• TLCを介して完全自動の構成的モデルチェックプロセスで抽象化されたモジュールを活用する。
• プロトコルの複雑さに基づいて抽象化レベルを選択し、状態空間を最小限に抑えつつ検証の妥当性を損なわないようにする。
• 2つの実世界プロトコル（Raft（学術的）、ParallelRaft（産業的、PolarFS内））を対象にフレームワークを検証する。

実験結果

リサーチクエスチョン

• RQ1 一貫性プロトコルのTLA+仕様に対して、正しさを保持したまま構成的モデルチェックが有効に適用可能か。
• RQ2 TLA+モジュールに対して抽象化をどのように適用すれば、コンポONENT間の相互作用の正確性が保たれるか。
• RQ3 IPAフレームワークは、現実的で複雑な一貫性プロトコルにおいて、モデルチェックコストをどの程度削減できるか。
• RQ4 TLA+がプロトコル仕様および検証に使用される産業現場において、IPAフレームワークは実用的に応用可能か。
• RQ5 設計構造が異なるプロトコル（例：Raft と ParallelRaft）において、IPAの有効性はどのように変化するか。

主な発見

• IPAフレームワークはモデルチェックコストを顕著に削減し、Raftではコスト比が4.3を上回った。保守的な時間制限のため、実際の値はさらに高い可能性がある。
• Raftの事例では、直接的なモデルチェックが200時間の時間制限に達したため、IPAにより元では不可能だった検証が可能になった。
• ParallelRaftではコスト比が約3であり、パフォーマンス最適化のため抽象化可能な内部論理の割合が小さいことが要因である。
• コスト比が低いとはいえ、IPAはPRaftにおいても顕著な時間短縮を実現しており、産業用途において極めて実用的である。
• 開発者がプロトコル設計に慣れていれば、抽象化プロセスは直感的で簡単であり、既存の検証ワークフローへの統合が容易である。
• IPAフレームワークは学術的プロトコル（例：Raft）にとどまらず、複雑な産業用プロトコル（例：ParallelRaft）に対しても有効であり、広範な適用可能性を示している。