[論文レビュー] Modular Control Plane Verification via Temporal Invariants

Timothy Alberdingk Thijm, Ryan Beckett+2 more|arXiv (Cornell University)|Apr 21, 2022

Advanced Control Systems Optimization被引用数 5

ひとこと要約

Timepiece は、ネットワーク実行の時間的モデルに基づき、時刻付不変条件を用いてコンポonent間の合成的推論を可能にする、信頼性がありスケーラブルなモジュラー制御プレーン検証システムを導入する。モノリシックな検証に比べ、2,000ノードのファットリーブネットワークを2.37分で検証可能であり、2時間のタイムアウトに達しない。また、時間論理インターフェースを用いたSMTベースの記号的推論により、個々のルーターの高速かつ並列な検証を実現する。

ABSTRACT

Monolithic control plane verification cannot scale to hyperscale network architectures with tens of thousands of nodes, heterogeneous network policies and thousands of network changes a day. Instead, modular verification offers improved scalability, reasoning over diverse behaviors, and robustness following policy updates. We introduce Timepiece, a new modular control plane verification system. While one class of verifiers, starting with Minesweeper, were based on analysis of stable paths, we show that such models, when deployed naively for modular verification, are unsound. To rectify the situation, we adopt a routing model based around a logical notion of time and develop a sound, expressive, and scalable verification engine. Our system requires that a user specifies interfaces between module components. We develop methods for defining these interfaces using predicates inspired by temporal logic, and show how to use those interfaces to verify a range of network-wide properties such as reachability or access control. Verifying a prefix-filtering policy using a non-modular verification engine times out on an 80-node fattree network after 2 hours. However, Timepiece verifies a 2,000-node fattree in 2.37 minutes on a 96-core virtual machine. Modular verification of individual routers is embarrassingly parallel and completes in seconds, which allows verification to scale beyond non-modular engines, while still allowing the full power of SMT-based symbolic reasoning.

研究の動機と目的

• スケーラビリティの制限を克服し、数万ノードのハイパースケールネットワークと頻繁なポリシー更新に対応する。
• 多様なネットワーク特性を表現可能でありながら、整合性と表現力を持つモジュラー検証フレームワークを構築する。
• Minesweeperのような安定パスモデルに適用した際のナイーブなモジュラー推論の不整合性を解消するため、ルーティング動作のための時間的基盤を導入する。
• コンポonentインターフェースでのユーザー定義時間的不変条件を通じて、SMTソルバーを用いた時間論理インターフェースにより、個々のルーターの効率的かつ並列な検証を可能にする。
• 到達可能性やアクセス制御といった複雑なネットワーク全体の性質の検証を、表現力は高くかつ決定可能である時間論理ベースのインターフェースを用いてサポートする。

提案手法

• システムはネットワーク実行を時間の経過に伴う状態の列としてモデル化し、不変条件言語に明示的な変数 $ t $ を用いることで、整合性を保証し、仮定の循環的依存を回避する。
• ユーザーは時間的論理にインspiredされた述語を用いてコンポonentインターフェースを定義し、さまざまな入力条件下でのルーターの時間的挙動を指定する。
• 検証エンジンは、各コンポonentの挙動がそのインターフェースを満たしているか、およびインターフェースが到達可能性やアクセス制御といったグローバルなネットワーク特性を一貫して示しているかを検証する。
• Timepiece は、各ルーターの状態遷移を記号的に推論する SMT ソルバーを用い、個々のコンポonentの効率的かつ並列な検証を実現する。
• 一時的なルーティング状態は時間的演算子を用いて抽象化され、複雑さが軽減されるが、ネットワーク全体の性質については正しさが保持される。
• 時間順序状態遷移に基づく証明規則を導入することで、モジュラー環境における安定パス中心の解析の落とし穴を回避し、整合性を強化する。

実験結果

リサーチクエスチョン

• RQ1 Minesweeper のような安定パスモデルを用いたコンポonent単位の推論において、モジュラー制御プレーン検証を整合的に行うことは可能か？
• RQ2 時間的推論を活用することで、大規模かつ動的なネットワークに対するスケーラブルで整合的なモジュラー検証を実現できるか？
• RQ3 どのようなインターフェース言語が、多様なネットワーク挙動を表現可能でありながら、決定可能かつ SMT ベースの検証に適しているか？
• RQ4 モノリシックなアプローチと比較して、数千ノードのハイパースケールネットワークと頻繁な更新に対し、モジュラー検証はどの程度スケーラブルに拡張可能か？
• RQ5 インターフェース不変条件に時間 $ t $ を明示的に用いることで、仮定-保証推論における循環的依存の問題を回避できるか？

主な発見

• Timepiece は 96 コアの仮想マシン上で 2,000 ノードのファットリーブネットワークを 2.37 分で検証するが、非モジュラーな検証エンジンは 80 ノードのネットワークで 2 時間のタイムアウトに達する。
• 個々のルーターのモジュラー検証は非常に並列可能であり、数秒で完了する。これにより、モノリシックエンジンを凌駕するスケーラブルな検証が可能になる。
• システムはネットワーク実行を時間経過でモデル化することで整合性を達成し、安定パス中心の推論の不整合を是正する。
• ユーザー定義時間的不変条件を用いた制限付きだが表現力のある論理により、到達可能性やアクセス制御といった複雑な性質の検証をサポートする。
• 不変条件に時間 $ t $ を明示的な変数として用いることで、well-founded な推論が可能になり、仮定-保証推論における循環的依存の問題を回避する。
• 評価結果から、時間抽象化を用いた SMT ベースの記号的推論が効率的で実用的であり、大規模ネットワークに対しても効果的に対応できることが示された。