[論文レビュー] Model Checking Data Flows in Concurrent Network Updates (Full Version)

Bernd Finkbeiner, Manuel Gieseking+2 more|arXiv (Cornell University)|Jul 25, 2019

Software-Defined Networks and 5G参考文献 39被引用数 5

ひとこと要約

本稿では、遷移付きペトリネットを用いたモデルチェックによる、並列ネットワーク更新におけるデータフロー正しさの検証手法を提示する。Flow-LTLを用いることで、時間的フロープロパティを指定可能であり、無限状態の検証問題をLTLに還元し、ABCのようなツールを用いて効率的な検証を可能にする。実世界のネットワークトポロジーにおいてもスケーラビリティを示している。

ABSTRACT

We present a model checking approach for the verification of data flow correctness in networks during concurrent updates of the network configuration. This verification problem is of great importance for software-defined networking (SDN), where errors can lead to packet loss, black holes, and security violations. Our approach is based on a specification of temporal properties of individual data flows, such as the requirement that the flow is free of cycles. We check whether these properties are simultaneously satisfied for all active data flows while the network configuration is updated. To represent the behavior of the concurrent network controllers and the resulting evolutions of the configurations, we introduce an extension of Petri nets with a transit relation, which characterizes the data flow caused by each transition of the Petri net. For safe Petri nets with transits, we reduce the verification of temporal flow properties to a circuit model checking problem that can be solved with effective verification techniques like IC3, interpolation, and bounded model checking. We report on encouraging experiments with a prototype implementation based on the hardware model checker ABC.

研究の動機と目的

• ソフトウェア定義ネットワーキング（SDN）における並列ネットワーク構成更新中のデータフロー正しさを検証する課題に対処すること。
• 既存の手法が一貫した更新を必要とすることによる遅さとリソース消費の制限を克服すること。
• 必要に応じて特定の並列更新のみを検証することで、パフォーマンスオーバーヘッドを最小限に抑えること。
• 複雑な実世界のネットワークトポロジーを高スケーラビリティでサポートすること。

提案手法

• 遷移の入力および出力トークン間のデータフローを正確にモデル化するため、標準的なペトリネットに遷移関係を拡張する。
• 個々のデータフロータイムラインごとにプロパティを指定可能であり、他のフローとは独立して記述可能な、線形時系列論理であるFlow-LTLを導入する。
• 遷移付きペトリネットの無限状態に対するFlow-LTLの検証を、有限状態のLTLモデルチェックに還元する。
• 得られたLTL問題を、効率的な分析のためのハードウェア回路モデルチェック問題に変換する。
• ABCハードウェアモデルチェッカーを介して、IC3、補間、およびバウンデッドモデルチェックなどの確立された検証技術を活用する。
• 実世界のネットワーク構成におけるスケーラビリティを評価するためのプロトタイプ実装を用いる。

実験結果

リサーチクエスチョン

• RQ1 一貫した更新を要件とせず、並列ネットワーク更新中のデータフロー正しさを検証できるか？
• RQ2 並列構成変更が存在する中で、個々のデータフローの時間的プロパティを形式的に指定・検証できるか？
• RQ3 並列ネットワーク更新の無限状態挙動を有限状態の検証問題に還元できるか？
• RQ4 複雑なルーティング更新を伴う実世界のネットワークトポロジーにおいて、提案手法のスケーラビリティはいかがなものか？
• RQ5 既存のハードウェア検証ツールをネットワーク構成検証に効果的に再利用できるか？

主な発見

• 本手法は、並列ネットワーク更新におけるデータフロー正しさの検証を、回路モデルチェックに成功して還元し、ABCのような成熟した検証ツールの利用を可能にした。
• ABCを用いたプロトタイプ実装はスケーラビリティを示しており、多様なネットワークトポロジーにおいて、検証時間は1秒未塔から1500秒を超えるまで変動した。
• IC3は大多数のベンチマークで有効であった。25件のテストケースのうち15件で検証時間が1000秒未塔であったが、BMC3は小規模なインスタンスでより高速であった。
• KentmanJan2011やIinetのような大規模・複雑なトポロジーでは、IC3で検証がタイムアウト（TO）となった。これはスケーラビリティの限界を示している。
• 本手法により、Belnet2009 や Garr200404 といった複雑なトポロジーを含む実世界のネットワーク更新において、ループ自由性や正しく転送されることといったデータフロー正しさの検証が可能になった。