[論文レビュー] Towards an Automatic Proof of Lamport's Paxos

Aman Goel, Karem A. Sakallah|arXiv (Cornell University)|Aug 19, 2021

Formal Methods in Verification参考文献 70被引用数 12

ひとこと要約

この論文では、空間的正規性（対称性ブースティングを介して）、時間的正規性（範囲ブースティングを介して）、階層的構成（階層的強化を介して）の3つの構造的特徴を活用して、ラムポーのパックスォス分散合意プロトコルの帰納的不変量を自動で推論する新規なモデルチェッカーIC3POを提示する。主な貢献は、元のパックスォス仕様に対して手作業で導出された人間が読みやすい不変量と一致する、完全に自動化された帰納的不変量の推論であり、検証作業を顕著に削減する。

ABSTRACT

Lamport's celebrated Paxos consensus protocol is generally viewed as a complex hard-to-understand algorithm. Notwithstanding its complexity, in this paper, we take a step towards automatically proving the safety of Paxos by taking advantage of three structural features in its specification: spatial regularity in its unordered domains, temporal regularity in its totally-ordered domain, and its hierarchical composition. By carefully integrating these structural features in IC3PO, a novel model checking algorithm, we were able to infer an inductive invariant that identically matches the human-written one previously derived with significant manual effort using interactive theorem proving. While various attempts have been made to verify different versions of Paxos, to the best of our knowledge, this is the first demonstration of an automatically-inferred inductive invariant for Lamport's original Paxos specification. We note that these structural features are not specific to Paxos and that IC3PO can serve as an automatic general-purpose protocol verification tool.

研究の動機と目的

• パックスォスのような複雑な分散プロトコルの帰納的不変量を導出するために必要な高い人的作業負荷を軽減すること。
• 相互作用型定理証明に依存するか、簡略化されたプロトコルバージョンに限定される既存の検証ツールの限界を克服すること。
• 固有の構造的正規性を活用することで、無限大かつパrameter化された分散プロトコルの自動的かつスケーラブルな検証を可能にすること。
• IC3POが、手作業による介入なしに、ラムポーの元のパックスォスプロトコルに対して、コンパクトで人間が読みやすい帰納的不変量を推論できることを示すこと。

提案手法

• 無限領域のIC3/PDRに、対称性ブースティングを組み合わせて、順序のないプロセス集合における空間的正規性を活用し、対称なプロセスレプリカの上での自動的量化推論を可能にする。
• 全順序ドメイン（例：シーケンス番号）における時間的正規性を扱うために、範囲ブースティングを導入し、無限大または大きな範囲における量化された推論を可能にする。
• 高レベルの抽象化を最初に検証し、その不変量を下位レベルのプロトコルの強化アサーションとして再利用する、階層的強化を採用する。
• SMTソルバを用いたインクリメンタル帰納法により、後向き到達可能性チェックを実行し、対称性および範囲解析を介して一般化された量化不変量に変換されるクレームを学習する。
• 有限インスタンス上で推論プロセスの正しく完全性を保証するため、有限収束保証を統合する。
• パックスォスの抽象化の4段階階層（投票 → シンプルパックスォス → ヒューリスティックパックスォス → パックスォス）にフレームワークを適用し、トップダウンの抽象化により段階的に不変量を精錬する。

実験結果

リサーチクエスチョン

• RQ1 自動モデルチェッカーは、手作業による誘導なしに、ラムポーの元のパックスォスプロトコルに対して、正しいかつコンパクトな帰納的不変量を推論できるか？
• RQ2 全順序ドメイン（例：シーケンス番号）における時間的正規性は、どのようにして有限状態の推論を無限大プロトコルに一般化するために活用できるか？
• RQ3 不変量の再利用を伴う階層的抽象化は、複雑な分散プロトコルの検証におけるスケーラビリティと自動化を向上させられるか？
• RQ4 対称性、範囲、および階層的構造は、人間が書いた証明と一致する量化不変量の自動推論をどの程度可能にするか？

主な発見

• IC3POは、ラムポーの元のパックスォスプロトコルに対して、過去の研究で手作業で導出された人間が読みやすい不変量と論理的に同等である帰納的不変量を成功裏に推論した。
• 4段階階層（投票からパックスォス）の各レベルにおける自動的に推論された不変量は、簡潔で意味的に意味のあるものであり、既知の証明の構造と一致した。
• 同様の問題に対して、I4、UPDR、fol-ic3、SWISSといった他の検証ツールに比べ、はるかに少ないSMTクエリで性能を発揮し、スケーラビリティに優れた。
• 範囲ブースティングにより、無限大または大きな全順序ドメインにおける効果的な推論が可能となり、インクリメンタル帰納法が有限状態システムを超えて拡張された。
• 対称性および階層的強化により、手作業による介入の必要が減少し、プロトコルに内在する構造的特徴が不変量推論の自動化に活用できることを実証した。
• 評価により、IC3POが複雑なプロトコルにスケーリング可能であり、正しいかつ読みやすい不変量を完全に自動で導出できることを確認した。