[論文レビュー] Effectively Nonblocking Consensus Procedures Can Execute Forever - a Constructive Version of FLP

Robert L. Constable|arXiv (Cornell University)|Sep 15, 2011

Distributed systems and fault tolerance参考文献 11被引用数 5

ひとこと要約

本稿は、F LP不可能性結果の構成的証明を提示し、明示的に無限で終了しない実行を構築することによって、実効的に非ブロッキングなコンセンサスプロトコルが永遠に実行され続けられることを示している。計算型理論と実効的二値性を用いて、このような実行を生成するアルゴリズム的手法を提供し、非同期システムにおけるコンセンサスプロトコルの障害を実用的にシミュレート・分析する手段を提供する。

ABSTRACT

The Fischer-Lynch-Paterson theorem (FLP) says that it is impossible for processes in an asynchronous distributed system to achieve consensus on a binary value when a single process can fail; it is a widely cited theoretical result about network computing. All proofs that I know depend essentially on classical (nonconstructive) logic, although they use the hypothetical construction of a nonterminating execution as a main lemma. FLP is also a guide for protocol designers, and in that role there is a connection to an important property of consensus procedures, namely that they should not block, i.e. reach a global state in which no process can decide. A deterministic fault-tolerant consensus protocol is effectively nonblocking if from any reachable global state we can find an execution path that decides. In this article we effectively construct a nonterminating execution of any such protocol. That is, given any effectively nonblocking protocol P and a natural number n, we show how to compute the n-th step of an infinitely indecisive computation of P. From this fully constructive result, the classical FLP follows as a corollary as well as a stronger classical result, called here Strong FLP. Moreover, the construction focuses attention on the important role of nonblocking in protocol design. An interesting consequence of the constructive proof is that we can, in principle, build an undefeatable attacker for a consensus protocol that is provably correct, indeed because it is provably correct. We can do this in practice on certain kinds of networks.

研究の動機と目的

• 非同期分散システムにおけるコンセンサスのための、構成的で実効的な FLP 不可能性結果の提供。
• 古典的二値性の代わりに計算的に意味のある代替概念としての「実効的二値性」の定義と実装。
• 任意の正当に証明されたコンセンサスプロトコルから、非終了実行を明示的に構築できることの証明。
• Nuprl や Coq などの形式的検証ツールを用いて、ブロッキング状況と無限実行を自動生成することの可能化。
• 非構成的 FLP 証明と実用的プロトコル分析の間のギャップを埋めるために、実行可能な証拠（witness）を抽出すること。

提案手法

• 計算型理論と形式的検証に裏付けられた、非ブロッキングの構成的変種である「実効的非ブロッキング」を導入。
• 「v-可能実行」を定義し、これにより古典的 FLP 証明における非実効的である「価値の性質（valence）」の概念を避けて、実効的に二値性を決定する。
• ある二値状態とプロセスが与えられたとき、完全な i-フォークを有する新たな二値状態を構築する「1ステップ補題」を適用し、無限実行の反復的構築を可能にする。
• パス・ウィtness関数（例：wt(s, Qi)）を用いて、二値状態へ向かう実行パスを体系的に走査するプログラム（不変条件とループ構造を含む）を開発。
• 動作の可換性を活用して、等価なシステム状態間で意思決定パスを移動させ、非終了実行の構築における一貫性を保証。
• 形式的証明システム（Nuprl, Coq）を活用し、構成的証明から実行可能コードを抽出することで、無限実行の自動生成を可能にする。

実験結果

リサーチクエスチョン

• RQ1 任意の正当に証明されたコンセンサスプロトコルから、非終了実行を実効的に構築できるか？
• RQ2 古典的 FLP 不可能性結果をどのように構成的に再定式化すれば、非終了の実行可能証拠（witness）を導けるか？
• RQ3 実効的二値性は、コンセンサスプロトコルにおける無限実行のアルゴリズム的構築にどのように寄与するか？
• RQ4 形式的検証ツールは、非同期性下でのプロトコル障害を示す実際の実行シーケンスを抽出できるか？
• RQ5 実効的非ブロッキングの概念は、コンセンサスプロトコル設計の実用的分析をどのように改善するか？

主な発見

• 任意の実効的に非ブロッキングなコンセンサスプロトコルに対して、無限で非終了する実行を明示的に構築するアルゴリズムが存在し、このようなプロトコルが永遠に揺れ動く可能性を証明する。
• 1ステップ補題は、完全な i-フォークを有する新たな二値状態を構築する構成的メソッドを提供し、非終了実行の反復的構築を可能にする。
• 実効的二値性により、非実効的である古典的二値性の概念を計算的に意味のある概念に置き換えられ、F LP 証明から実行可能コードの抽出が可能になる。
• 構成的証明により、Nuprl などの形式的ツールを用いてブロッキング状況と無限実行を自動生成でき、証拠関数の抽出が可能になる。
• 結果として、正当に証明されたコンセンサスプロトコルですら、非終了を強制する「勝てない敵」によって攻撃され得ることを示し、その攻撃は特定のネットワーク環境では実装可能である。
• 本手法により、仮説的なものではなく実際の非終了実行を生成することで、コンセンサスプロトコルのシミュレーションとデバッグが実用的に可能になる。