[論文レビュー] Counter Attack on Byzantine Generals: Parameterized Model Checking of Fault-tolerant Distributed Algorithms

Annu John, Igor Konnov+3 more|arXiv (Cornell University)|Oct 14, 2012

Distributed systems and fault tolerance参考文献 53被引用数 15

ひとこと要約

本稿では、プロセス数 $ n $ およびバースト故障数 $ t $ で定義される無限状態のパラメータ化されたシステムを、有限状態モデルに還元するパラメトリックインターバル抽象化（PIA）を用いて、耐故障分散アルゴリズム（FTDA）のパラメータ化されたモデルチェック技術を提示する。データ抽象化と新規のカウンタ抽象化を組み合わせることで、$ n > 3t $ のような耐故障条件を満たすすべてのシステムインスタンスにおける安全性およびライブネス性の自動検証が可能となり、Srikanth-Touegバーストキャストアルゴリズムの変種についても完全自動かつスケーラブルに検証に成功した。

ABSTRACT

We introduce an automated parameterized verification method for fault-tolerant distributed algorithms (FTDA). FTDAs are parameterized by both the number of processes and the assumed maximum number of Byzantine faulty processes. At the center of our technique is a parametric interval abstraction (PIA) where the interval boundaries are arithmetic expressions over parameters. Using PIA for both data abstraction and a new form of counter abstraction, we reduce the parameterized problem to finite-state model checking. We demonstrate the practical feasibility of our method by verifying several variants of the well-known distributed algorithm by Srikanth and Toueg. Our semi-decision procedures are complemented and motivated by an undecidability proof for FTDA verification which holds even in the absence of interprocess communication. To the best of our knowledge, this is the first paper to achieve parameterized automated verification of Byzantine FTDA.

研究の動機と目的

• プロセス数 $ n $ および最大バースト故障数 $ t $ でパラメータ化される耐故障分散アルゴリズム（FTDA）の検証課題に取り組むこと。特に $ n > 3t $ のような耐故障条件下で行う。
• バースト故障が発生する状況下で、安全およびライブネス性の両方をカバーするスケーラブルかつ自動化された検証手法を開発すること。
• 無限状態システムのパラメータ化検証の不決定性を克服するため、無限状態システムを検証可能な有限状態モデルに還元する整合性のある抽象化技術を導入すること。
• Srikanth-Touegバーストキャストアルゴリズムの変種を含む具体的なFTDAを、複数の耐故障条件下で検証することで、実用的妥当性を示すこと。
• 半決定的手続きを提示するとともに、不決定性の証明を併記し、問題の理論的限界を確立すること。

提案手法

• コア技術は、パラメータ $ n $ と $ t $ の算術式として定義されるインターバル境界を用いるパラメトリックインターバル抽象化（PIA）であり、しきい値ガードに基づくシステム状態の抽象化を可能にする。
• データ抽象化を適用して、無限状態システムを有限状態の抽象モデルに還元し、$ n > 3t $ の仮定の下で正しさを保持する。
• 「$ t+1 $ 個の異なるプロセスから受信された」といったしきい値条件を扱える、新しいカウンタ抽象化を導入する。
• 抽象システムからPromelaモデルを生成し、Spinモデルチェッカーを用いて有限状態モデル検査に還元することで、パラメータ化検証問題を解消する。
• SMTソルバ（Yices）を用いて偽の反例を検出し、述語抽象化および不正な状態検出に基づくガイドラインで、反例の精錬を行うリファインメントループをプロトタイプツールByMCに実装する。
• 耐故障条件の変化（例：$ f > t $ または $ n $ が想定より小さい場合）に対応するため、アルゴリズムの耐障害性をテストするために、アプローチを拡張する。

実験結果

リサーチクエスチョン

• RQ1 バースト故障を伴う、$ n $ および $ t $ でパラメータ化される耐故障分散アルゴリズムに対して、完全自動かつパラメータ化されたモデルチェック技術を開発可能か？
• RQ2 しきい値ガードや $ n > 3t $ のような耐故障条件を捉えつつ、無限状態システムを有限状態モデルに還元する整合性のある抽象化技術を設計可能か？
• RQ3 本手法は、プロセス数が無制限であるようなすべてのパラメータインスタンスにおいて、FTDAの安全およびライブネス性を検証可能か？
• RQ4 Srikanth-Touegバーストキャストアルゴリズムのような実世界のFTDAに適用した場合、本アプローチの実用的スケーラビリティと有効性はいかがなものか？
• RQ5 プロセス間通信が存在しない状況下でも、FTDAの検証問題は不決定的であるか？ その結果、抽象化に基づく手法の設計にどのような影響を与えるか？

主な発見

• 本手法は、$ n > 3t $ の耐故障条件下で、Srikanth-Touegバーストキャストアルゴリズムのすべての変種を検証に成功した。ほとんどのケースで10秒未塔の検証時間であった。
• RBC（信頼性のあるブロードキャスト）アルゴリズムに関しては、$ n \neq t \neq f $ 条件下で正しさが確認され、3.3GHzマシン上で2秒未塔のモデル検査時間であった。
• 耐故障条件が破られたケース（例：$ f > t $）では、$ \text{Byz} \not{\nvDash} C $ および $ \text{Byz} \not{\nvDash} R $ のような違反を正しく検出し、検出時間は30秒未塔であった。
• OCamlで実装されたプロトタイプツールByMCは、抽象化、カウンタ抽象化、リファインメントループを正常に処理でき、$ \text{Byz} \not{\nvDash} R $ のような複雑なケースで最大20段階のリファインメントを実行した。
• システムの最大状態数が24,656（例：$ \text{Byz} \not{\nvDash} R $）に達するまでスケーリング可能であり、メモリ使用量は175MB未塔であった。実用的妥当性が裏付けられた。
• プロセス間通信が存在しない状況下でも、FTDAの検証問題が不決定的であることを証明した。これにより、抽象化に基づくアプローチの必要性が確認され、本手法の理論的基盤が裏付けられた。