[論文レビュー] Fearless Concurrency? Understanding Concurrent Programming Safety in Real-World Rust Software

Zeming Yu, Linhai Song+1 more|arXiv (Cornell University)|Feb 5, 2019

Software Testing and Debugging Techniques参考文献 13被引用数 11

ひとこと要約

本論文は、実世界のRustアプリケーションにおける並行プログラミングの最初の実証的研究を提示する。Servo、TiKV、Randの3つの主要なオープンソースプロジェクトを対象に、並行処理の使用状況とバグを分析した。その結果、アトミック演算の誤用によって安全なRustコードでもデータレースが発生し得ることが判明し、『恐れのない並行処理』（fearless concurrency）の概念に疑問を呈するとともに、不安全コードおよびアトミック演算を対象とした高度な静的・動的解析ツールの必要性を強調している。

ABSTRACT

Rust is a popular programming language in building various low-level software in recent years. It aims to provide safe concurrency when implementing multi-threaded software through a suite of compiler checking rules. Unfortunately, there is limited understanding of how the checking rules influence the safety of concurrent programming in Rust applications. In this paper, we perform a preliminary study on Rust's concurrency safety from two aspects: concurrency usage and concurrency bugs. Our study can provide better understanding on Rust's concurrency and can guide future researchers and practitioners in writing better, more reliable Rust software and in developing debugging and bug detection tools for Rust.

研究の動機と目的

• Rustのコンパイラのチェックが実世界の並行プログラミングに与える影響を理解すること。
• 生産環境でのRustソフトウェアにおける並行バグの頻度と性質を調査すること。
• Rustが約束する『恐れのない並行処理』が実際の現場で成り立っているかどうかを評価すること。
• 今後のRustにおける並行バグ検出ツール開発を支援すること。

提案手法

• 大規模で生産環境向けのRustアプリケーション3つ（Servo（ブラウザ）、TiKV（キー値ストア）、Rand（ユーティリティライブラリ））に対して静的および動的解析を実施した。
• ソースコード、コミット履歴、バグレポートを収集・分析し、並行処理のパターンとバグを同定した。
• 実際の並行バグ（特にアトミック演算および不安全コードに関連するもの）を特定し、逆引き解析を行った。
• 形式的推論とコンパイラの意味論を用いて、安全なコードにおけるデータレースの根本的要因を検証した。
• 所有権と借用ルールが並行処理プリミティブの使用様式や開発者の行動に与える影響を評価した。
• 観察されたパターンとバグに基づき、言語設計およびツール開発への示唆を提示した。

実験結果

リサーチクエスチョン

• RQ1 実世界のRustアプリケーションは、並行処理のためにどれほど不安全コードに依存しているのか。また、その影響は安全性にどのように現れるか。
• RQ2 安全なRustコードにデータレースは存在するのか。もしあるならば、その根本的要因は何か。
• RQ3 Rustの所有権と借用ルールは、実際の現場で並行処理プリミティブの使用にどのように影響しているか。
• RQ4 実システムで観察された並行Rustプログラミングにおける一般的なパターンと反パターンは何か。
• RQ5 Rustの独自の安全モデルを踏まえると、既存の並行バグ検出技術はどのように再考・適合されるべきか。

主な発見

• Rustの強力な型システムとコンパイル時所有権チェックにもかかわらず、データレースは依然として安全なRustコードで発生しており、主にアトミック演算の誤用によるものである。
• 本研究では、アトミック変数を用いて共有状態を非アトミックに更新していたことにより、Randライブラリに実際のデータレースが存在することを特定した。このバグは後にOnceプリミティブを用いて修正された。
• Rustのコンパイラのチェックにより特定のプログラミングパターンが制限され、開発者は目的の並行処理の意味論を達成するために、Onceや不安全コードを代替手段として採用する傾向がある。
• 不安全コードは依然としてデータレースの主要因であるが、安全コードにおけるアトミック演算の誤用も同様に深刻な問題を引き起こしており、静的解析が両者をカバーする必要があることを示している。
• 『恐れのない並行処理』への信頼は誇張されている。開発者はコンパイラにすべての並行バグを防げるとは限らない。
• 今後のRustツール開発は、不安全コードにおけるレース状態と、安全コードにおけるアトミック演算の誤用を検出することに焦点を当てるべきである。