[論文レビュー] Paxos Consensus, Deconstructed and Abstracted (Extended Version)

Álvaro García-Pérez, Alexey Gotsman+2 more|arXiv (Cornell University)|Feb 16, 2018

Distributed systems and fault tolerance参考文献 15被引用数 4

ひとこと要約

この論文は、単一の決定事項に対するパックスォスのコンセンサスプロトコルを、組み込み可能な非決定的仕様に分解し、プロトコルに特化したネットワーク変換を導入することで、検証済みの単一決定事項パックスォスからマルチパックスォスを検証する、モジュラー検証フレームワークを提示する。このアプローチにより、予言変数と線形化ポイントを用いたリライアブル/ガラントリー推論を活用した再利用可能で組み込み可能な証明が可能となり、クライアントレベルの意味論を保つ変換が実現される。

ABSTRACT

Lamport's Paxos algorithm is a classic consensus protocol for state machine replication in environments that admit crash failures. Many versions of Paxos exploit the protocol's intrinsic properties for the sake of gaining better run-time performance, thus widening the gap between the original description of the algorithm, which was proven correct, and its real-world implementations. In this work, we address the challenge of specifying and verifying complex Paxos-based systems by (a) devising composable specifications for implementations of Paxos's single-decree version, and (b) engineering disciplines to reason about protocol-aware, semantics-preserving optimisations to single-decree Paxos. In a nutshell, our approach elaborates on the deconstruction of single-decree Paxos by Boichat et al. We provide novel non-deterministic specifications for each module in the deconstruction and prove that the implementations refine the corresponding specifications, such that the proofs of the modules that remain unchanged can be reused across different implementations. We further reuse this result and show how to obtain a verified implementation of Multi-Paxos from a verified implementation of single-decree Paxos, by a series of novel protocol-aware transformations of the network semantics, which we prove to be behaviour-preserving.

研究の動機と目的

• 形式的に指定されたパックスォスの変種と、それらを最適化した実世界の実装との間のギャップを埋めるため。
• 単一決定事項パックスォスを独立して指定可能なコンponentsに分解することで、パックスォスベースのシステムのモジュラーかつ組み込み可能な検証を可能にするため。
• ネットワークの意味論の行動保存的変換を用いて、検証済みの単一決定事項パックスォスを再利用することでマルチパックスォスを検証するための手法を開発するため。
• 再びから正しい性質を証明しなおさずに、プロトコルに特化した最適化を可能とし、形式的検証のスケーラビリティを向上させるため。
• パックスォスを超える他のコンセンサスプロトコル、例えばRaft や PBFT の検証の基盤を提供するため。

提案手法

• Boichat らの抽象化にインspiredされた非決定的仕様を用いて、共有メモリスタイルのモジュールに単一決定事項パックスォスを分解する。
• 提案者および受領者の役割に特化した、新しい非決定的レジスタベースの仕様を導入し、モジュラーな精錬証明を可能にする。
• 予言変数と明示的な線形化ポイントを用いたリライアブル/ガラントリー推論を適用し、実装がその仕様を精錬することを証明する。
• クライアントが見える動作を保つ複数のプロトコルインスタンス間で、行動保存的であることを保証するプロトコルに特化したネットワーク意味論の変換を定義する。
• 検証済みの単一決定事項パックスォスシステムにこれらの変換を適用することで、検証済みのマルチパックスォス実装を構築する。
• 高水準の共有メモリに類似したインタフェースを公開する実行可能プロトタイプを用いて、このアプローチを検証する。

実験結果

リサーチクエスチョン

• RQ1 単一決定事項パックスォスは、非決定的仕様を用いて、組み込み可能で独立して検証可能なコンponentsにどのように分解できるか？
• RQ2 仕様に非決定性を導入しても、どのようにしてトップレベルのコンセンサス抽象化において強い整合性保証を達成できるか？
• RQ3 複数のパックスォスインスタンスを組み合わせる際、クライアントの動作を保つために、プロトコルに特化したネットワーク変換をどのように形式的に定義できるか？
• RQ4 検証済みの単一決定事項パックスォス実装の証明を再利用することで、検証済みのマルチパックスォス実装を構築できるか？
• RQ5 この手法は、Raft や PBFT などの他のコンセンサスプロトコルへどの程度一般化できるか？

主な発見

• 著者らは、リライアブル/ガラントリー推論を用いたモジュラー検証を可能にする、単一決定事項パックスォスにおける提案者および受領者モジュールの組み込み可能で非決定的仕様を成功裏に定義した。
• 予言変数と線形化ポイントの使用により、非決定的仕様下でも各コンponentのモジュラーかつ独立した正しさ証明が可能となった。
• この論文は、行動保存的ネットワーク変換の形式的フレームワークを確立し、検証済みの単一決定事項パックスォスからマルチパックスォスを構築する際に、コンセンサスの性質を再び証明しなくてもよいことを示した。
• これらの変換を用いて、高水準で実行可能なマルチパックスォスのプロトタイプが実装され、このアプローチの実現可能性とモジュラリティが示された。
• この手法により、実装間での証明再利用が可能となり、最適化されたパックスォスの変種を検証するための作業量が著しく削減された。
• このフレームワークは拡張可能であり、パックスォスを超えて適用可能であり、Mencius や Raft、PBFT などのプロトコルの検証への応用が期待できる。