[論文レビュー] Inherent Diversity in Replicated Architectures

Peter Okech, Nicholas McGuire+1 more|arXiv (Cornell University)|Oct 7, 2015

Distributed systems and fault tolerance参考文献 11被引用数 7

ひとこと要約

本論文は、現代のハードウェア/ソフトウェア実行プラットフォームにおける固有の非決定的性質—特にカーネルレベルの実行パスにおいて—が、レプリケートアーキテクチャにおけるランタイムダイバーシティを生成するために活用可能であることを示している。同一プログラムの繰り返しかつ並列実行におけるカーネル実行のトレースを通じて、著者らは測定可能なパス変動を示し、残存するOSの故障が稀に実行されるコードパスに存在する場合でも、2-out-of-2のレプリケーションによる故障検出が可能であることを示している。

ABSTRACT

In this paper, we report our ongoing investigations of the inherent non-determinism in contemporary execution environments that can potentially lead to divergence in state of a multi-channel hardware/software system. Our approach involved setting up of experiments to study execution path variability of a simple program by tracing its execution at the kernel level. In the first of the two experiments, we analyzed the execution path by repeated execution of the program. In the second, we executed in parallel two instances of the same program, each pinned to a separate processor core. Our results show that for a program executing in a contemporary hardware/software platform , there is sufcient path non-determinism in kernel space that can potentially lead to diversity in replicated architectures. We believe the execution non-determinism can impact the activation of residual systematic faults in software. If this is true, then the inherent diversity can be used together with architectural means to protect safety related systems against residual systematic faults in the operating systems.

研究の動機と目的

• 現代のハードウェア/ソフトウェアプラットフォームに内在する非決定的性質が、レプリケートシステムにおけるランタイムダイバーシティを生成できるかどうかを調査すること。
• このダイバーシティを、オペレーティングシステムにおける残留システム的故障を検出するためのアーキテクチャ的メカニズムとして利用できる可能性を評価すること。
• カーネル空間におけるパスの変動性が、アプリケーションやOSの変更なしに、安全関連システムにおける故障耐性を向上させるために活用可能かどうかを評価すること。
• 別々のコア上で並列実行される同一プログラムの複数インスタンスにおける実行パスの乖離が、2-out-of-2構成での故障検出に使用可能かどうかを検証すること。
• 複雑なプラットフォームにおける非決定的性質が、とくにOSコードにおけるレアパス障害に対して故障カバレッジを高めることに活用可能であるという実証的証拠を提供すること。

提案手法

• 動的プログラム解析を用いて、システムコールのカーネルレベルトレースを実施し、プログラム実行中の実行パスを観察する。
• 同一入力条件下で単純なプログラムをループ内で繰り返し実行し、カーネル空間におけるパス変動性を分析する。
• 二重コアシステムにおいて、同一プログラムの二つのインスタンスを別々のプロセッサーコアにピン留めし、並列実行中のカーネル実行パスを比較する。
• トレースデータを用いて、複数回の実行および並列インスタンス間の実行パスを比較し、パス選択の乖離を同定する。
• パス頻度を分析し、レアパスを残留システム的故障の高確率発生箇所として特定する。
• パスの多様性に基づく2-out-of-2故障検出モデルを提案し、レプリカ間でのパス選択が独立していると仮定する。

実験結果

リサーチクエスチョン

• RQ1 現代のプラットフォーム上で同一プログラムを繰り返し実行した場合、カーネルレベルの実行パス選択はどの程度変動するか？
• RQ2 別々のコア上で並列実行される同一プログラムの二つのインスタンスにおいて、パス変動性はどのように現れるか？
• RQ3 カーネル実行パスにおける観察された非決定的性質が、レプリケートアーキテクチャにおける有効なダイバーシティを生成するために利用可能か？
• RQ4 両レプリカが同じレアで障害のあるパスを選択する確率は、2-out-of-2構成での故障検出を可能にするほど十分に低いと評価できるか？
• RQ5 固有の実行非決定的性質が、安全関連システムにおける残留故障を検出するための実用的なアーキテクチャ的メカニズムとして機能できるか？

主な発見

• 同じプログラムを現代のプラットフォーム上で繰り返し実行しても、同一入力条件下でもカーネルレベルの実行パスに測定可能な変動が生じる。
• 別々のコア上で並列実行される同一プログラムの二つのインスタンスでは、そのカーネル実行パスが顕著に乖離しており、固有の非決定的性質が裏付けられている。
• 実行パスの非決定的性質は、キャッシュ、分岐予測、スケジューリングを含む、現代のハードウェアとソフトウェアスタックの複雑な相互作用に起因する。
• 両レプリカが同じレアで障害のあるパスを選択する確率は低く、2-out-of-2故障検出に固有のダイバーシティを用いることが実現可能である。
• 稀に実行されるコードパスにおける残留システム的故障は、異なるレプリカで独立して発動する可能性が高く、比較による故障検出が可能になる。
• 本研究は、実行非決定的性質に起因する固有のダイバーシティが、安全関連システムにおけるアーキテクチャ的故障検出メカニズムとして活用可能であることを確認している。