[論文レビュー] Starting a Dialog between Model Checking and Fault-tolerant Distributed Algorithms

Annu John, Igor Konnov+3 more|arXiv (Cornell University)|Oct 14, 2012

Distributed systems and fault tolerance参考文献 27被引用数 3

ひとこと要約

本稿では、しきい値ガードおよび非決定性（非同期性と故障のため）を拡張したパラメータ化された制御フローオートマトンを用いて、しきい値に基づく耐故障分散アルゴリズムを形式的にモデル化する分野特化型フレームワークを提案する。このフレームワークにより、さまざまな故障モデルおよび耐障害条件のもとでの正確でモデル検査可能な形式的定式化が可能となり、固定サイズのシステムにおける実験により理論的結果と整合することが確認された。これは、同行の論文で提示されるパラメトリック検証の基盤を築くものである。

ABSTRACT

Fault-tolerant distributed algorithms are central for building reliable spatially distributed systems. Unfortunately, the lack of a canonical precise framework for fault-tolerant algorithms is an obstacle for both verification and deployment. In this paper, we introduce a new domain-specific framework to capture the behavior of fault-tolerant distributed algorithms in an adequate and precise way. At the center of our framework is a parameterized system model where control flow automata are used for process specification. To account for the specific features and properties of fault-tolerant distributed algorithms for message-passing systems, our control flow automata are extended to model threshold guards as well as the inherent non-determinism stemming from asynchronous communication, interleavings of steps, and faulty processes. We demonstrate the adequacy of our framework in a representative case study where we formalize a family of well-known fault-tolerant broadcasting algorithms under a variety of failure assumptions. Our case study is supported by model checking experiments with safety and liveness specifications for a fixed number of processes. In the experiments, we systematically varied the assumptions on both the resilience condition and the failure model. In all cases, our experiments coincided with the theoretical results predicted in the distributed algorithms literature. This is giving clear evidence for the adequacy of our model. In a companion paper, we are addressing the new model checking techniques necessary for parametric verification of the distributed algorithms captured in our framework.

研究の動機と目的

• 耐故障分散アルゴリズムのための標準的で正確なモデリングフレームワークの欠如が、形式的検証および実装を妨げているという問題に取り組むこと。
• 分散アルゴリズム、形式的検証、ソフトウェア工学の間のメソドロジカルなギャップを埋め、複雑な故障仮定を伴うアルゴリズムの正確な形式的定式化を可能にすること。
• 分散システムに内在する耐障害条件、故障モデル、非決定性といった重要な特徴を捉える形式的記述を提供することで、耐故障アルゴリズムの体系的検証を支援すること。
• モデル検査と分散アルゴリズムのコミュニティの間の対話を開始し、正しさの分析のための共通の形式的基盤を提供すること。
• モデルが文献に忠実で意味論的に正確であることを保証することで、分散アルゴリズムのパラメトリック検証の基盤を築くこと。

提案手法

• プロセスをしきい値ガードを備えた制御フローオートマトン（CFAs）で指定するパラメトリックなシステムモデルを提案し、耐障害条件を表現する。
• 非同期メッセージ送信、ステップのインタリーブ、故障プロセスの挙動に起因する非決定性を、CFAsの意味論に直接統合する。
• Kripke構造を用いてシステムインスタンスを表現し、アトミックステップに基づく標準的な分散計算モデルと整合させる。
• 文献に記載されたアルゴリズムの形式的定式化を可能にするために、疑似コードをCFAsフレームワークに変換し、故障モデルと耐障害制約を明示的に扱う。
• 固定サイズのシステムにおける安全性およびライブネス性の性質を用いたモデル検査を実施し、モデルの妥当性を検証する。
• パラメトリック検証技術については同行の論文に依存し、抽象化を用いてあらゆるシステムサイズへの検証スケーリングを実現する。

実験結果

リサーチクエスチョン

• RQ1 故障、耐障害性、非決定性に関するコアな仮定を保持しつつ、耐故障分散アルゴリズムを形式的にモデル化する方法は何か？
• RQ2 パラメトリック制御フローオートマトンに基づく形式的モデルは、さまざまな故障モデル下での代表的な耐故障アルゴリズムの挙動をどの程度正確に反映するか？
• RQ3 固定サイズのインスタンスにおけるモデル検査実験は、分散アルゴリズムの文献から得られる理論的正しさの結果を確認できるか？
• RQ4 疑似コードベースのアルゴリズムを形式的で機械検証可能な仕様に変換する際の主なモデリング課題は何か？
• RQ5 形式的フレームワークは、固定サイズのインスタンスの検証から、すべてのシステムサイズにわたるパラメトリック検証への移行をどのように支援できるか？

主な発見

• 提案されたフレームワークは、ビザンチン故障を含む多様な故障仮定のもとで、代表的な耐故障ブロードキャストアルゴリズムの族を成功裏に形式化した。
• 固定システムサイズにおけるモデル検査実験は、分散アルゴリズムの文献から得られる理論的正しさの結果と一貫して一致し、モデルの妥当性が検証された。
• フレームワークは、しきい値ガード、耐障害条件、非同期性および故障に起因する非決定性といった、従来の形式的記述がしばしば単純化または省略していた重要な特徴を捉えている。
• モデルはクラッシュ故障を超える複雑な故障モデル（例：ビザンチン動作）を扱えるほど堅牢であり、しきい値条件が極めて重要である。
• 形式的定式化プロセスにより、古典的アルゴリズム（例：ベーキング・アルゴリズム）におけるレジスタの意味論に関する誤った仮定が、以前の形式的定式化で見過ごされていたことが明らかになった。
• このフレームワークは体系的検証を可能にし、同行の論文で示されるように、すべてのシステムサイズにわたる同じアルゴリズムのパラメトリック検証への道筋を切り開いた。