[論文レビュー] Predictable Software -- A Shortcut to Dependable Computing ?

George Candea|ArXiv.org|Mar 11, 2004

Software System Performance and Reliability参考文献 13被引用数 5

ひとこと要約

この論文は、欠陥のあるコードを再書き直すのではなく、環境制御および障害の封じ込めメカニズム（ fuse、guard、resource cop など）を通じて予測可能性を高めることで、ソフトウェアの信頼性を向上させることを提案する。入出力の不変性とリソース制限を強制することで、予測不能なソフトウェアを停止時に失敗する、予測可能なコンponentsに変換し、従来のフォールトトレランスに比べて安価で高速な代替手段を提供する。

ABSTRACT

Many dependability techniques expect certain behaviors from the underlying subsystems and fail in chaotic ways if these expectations are not met. Under expected circumstances, however, software tends to work quite well. This paper suggests that, instead of fixing elusive bugs or rewriting software, we improve the predictability of conditions faced by our programs. This approach might be a cheaper and faster way to improve dependability of software. After identifying some of the common triggers of unpredictability, the paper describes three engineering principles that hold promise in combating unpredictability, suggests a way to benchmark predictability, and outlines a brief research agenda.

研究の動機と目的

• ソフトウェア信頼性の失敗の根本原因を解決すること。これは、しばしば内在的なバグではなく、想定外のストレス要因にさらされたときの予測不能な挙動に起因する。
• 潜在的なソフトウェア欠陥をすべて修正するのではなく、環境の予測可能性に焦点を当てることで、信頼性の高いシステムを構築するコストと複雑さを低減すること。
• 既知および未知のストレス条件下でもソフトウェアが予測可能に動作するための体系的なフレームワークを提供すること。
• 既存のソフトウェアが、その障害挙動について高い信頼性をもって複雑なシステムに統合できるようにすること。
• 予測可能性のベンチマークを確立し、信頼性向上メカニズムの段階的リマニューリングをガイドする基盤を構築すること。

提案手法

• 入力やリソース使用量が事前に定義された安全なしきい値を超えた場合に、実行を検出および中止するための 'fuse' を導入する。
• モジュールの出力を形式化された不変性と照合することで検証する '出力ガード' を導入し、期待される挙動に準拠していることを保証する。
• CPU、メモリ、ネットワーク使用量を監視・制限する 'リソース・コップ' を実装し、リソース枯渇を防ぐ。
• アスペクト指向技術を用いて、ソフトウェアコンポONENTに自動的に fuse、guard、cop を挿入する 'システム・マクロコンパイラー' を使用する。
• 動的不変性推論ツール（例：Daikon）を活用し、観察されたプログラム挙動から不変性を学習・強制する。
• 実験的分散などのメトリクスを用い、予測可能性を定量化し、予測可能性向上メカニズムのコスト効率の良いリマニューリングをガイドする。

実験結果

リサーチクエスチョン

• RQ1 環境の予測可能性を高めることで、複雑なソフトウェアシステムにおける連鎖的障害の発生頻度と影響を低減できるか？
• RQ2 ソースコードの変更なしに、レガシーソフトウェアに fuse、guard、resource cop を自動的に適用できる範囲はどの程度か？
• RQ3 入力および出力挙動の不変性を、現実世界のシステムにおいても正確かつスケーラブルに表現または学習する方法は何か？
• RQ4 ストレス下でのソフトウェア挙動の予測可能性を最もよく捉えるメトリクスは何か。また、それらは的確な信頼性向上を導くためにどのように活用できるか？
• RQ5 マクロコンパイラーを用いたアプローチにより、コンポONENTレベルの予測可能性保証から、システム全体の信頼性についての合成的推論が可能になるか？

主な発見

• ソフトウェアにおける予測不能な挙動は、主に想定外の入力（サイズ、内容、到着レート）、不正なモジュール出力、リソース枯渇によって引き起こされる。
• バッファオーバーフローと不正な入力（例：SQL Slammer や DNS キャッシュポイズニング攻撃で利用されたもの）は、入力サイズやフォーマットの制約を厳密に守ることで、深刻な障害を防げる可能性があることを示している。
• あるモジュールの異常な出力やリソース消費が、下流モジュールに影響を及べることで、障害波がシステム全体に伝播し、原因の特定を困難にする連鎖的障害が発生する。
• 2001年のCNN.comの障害は、ロードバランサーや動的プロビジョニングを備えたシステムでも、リクエストレートの急増により、アドミッションコントロールが欠如していると、障害に見舞われる可能性があることを示している。
• fuse、guard、resource cop を用いることで、ブラックボックスなソフトウェアを、期待される範囲内に挙動を制限した停止時失敗モジュールに変換でき、予測可能な障害モードを実現できる。
• 実験的分散のような予測可能性メトリクスを用いることで、信頼性向上メカニズムの段階的リマニューリングをガイドでき、予測可能性向上による信頼性向上の恩恵が最大になるコンポONENTを優先的に選択できる。