[논문 리뷰] Checking Robustness against TSO

Ahmed Bouajjani, Egor Derevenetc외 1명|arXiv (Cornell University)|2012. 08. 30.

Formal Methods in Verification참고 문헌 25인용 수 3

한 줄 요약

이 논문은 총 저장 순서(TSO) 메모리 모델에 대한 추적 강건성 검증 문제를 순차 일관성(SC) 하에서 상태 도달 가능성 문제로 감소시키는 소스 투 소스 변환을 제안한다. 비강건성은 '공격'—특정 로드 및 스토어 명령어의 재정렬—를 통해 특성화되며, 이 방법은 SC 모델 체커를 사용한 정밀하고 확장 가능한 검증을 가능하게 하며, 결정 가능성 및 강건성에 대한 최적의 팔링 삽입에 적용된다.

ABSTRACT

We present algorithms for checking and enforcing robustness of concurrent programs against the Total Store Ordering (TSO) memory model. A program is robust if all its TSO computations correspond to computations under the Sequential Consistency (SC) semantics. We provide a complete characterization of non-robustness in terms of so-called attacks: a restricted form of (harmful) out-of-program-order executions. Then, we show that detecting attacks can be parallelized, and can be solved using state reachability queries under SC semantics in a suitably instrumented program obtained by a linear size source-to-source translation. Importantly, the construction is valid for an arbitrary number of addresses and an arbitrary number of parallel threads, and it is independent from the data domain and from the size of store buffers in the TSO semantics. In particular, when the data domain is finite and the number of addresses is fixed, we obtain decidability and complexity results for robustness, even for an arbitrary number of threads. As a second contribution, we provide an algorithm for computing an optimal set of fences that enforce robustness. We consider two criteria of optimality: minimization of program size and maximization of its performance. The algorithms we define are implemented, and we successfully applied them to analyzing and correcting several concurrent algorithms.

연구 동기 및 목표

• 동시 실행 프로그램이 TSO와 SC 의미론 하에서 동일한 행동을 보이는지 검증하는 문제에 대응한다.
• TSO에서 스토어에서 로드로의 재정렬로 인한 비강건성 원인을 정밀하고 확장 가능하게 탐지할 수 있는 알고리즘을 제공한다.
• 성능 영향과 코드 크기의 최소화를 고려해 강건성을 보장하는 최적의 팔링 배치를 합성할 수 있도록 한다.
• 이전의 테스트 기반 또는 과도한 근사 정적 분석 방법의 한계를 극복하며, 강건성을 증명하거나 팔링을 최적으로 삽입할 수 없다.
• 스토어 버퍼 크기와 무관하게 임의의 스레드 수, 공유 변수 수, 데이터 도메인을 가진 일반적인 동시 실행 프로그램을 지원한다.

제안 방법

• TSO에서 비강건성로 이어지는 명령어 재정렬을 유도하는 로드 및 스토어 명령어의 쌍인 '공격'의 개념을 도입한다.
• 잠재적 공격을 SC 의미론 하에서의 도달 가능성 질의로 인코딩하기 위해 선형 크기의 소스 투 소스 변환을 정의한다.
• TSO 강건성 문제를 기존의 SC 상태 도달 가능성 문제로 감소시켜, 기존의 SC 검증 도구를 활용할 수 있도록 한다.
• 감소의 타당성과 완전성을 보장하기 위해 각 타당한 공격에 대해 증거 계산을 구성한다.
• 동일한 인스트루멘테이션을 사용하여, 팔링 삽입 위치에 제약 조건이 있는 SC 도달 가능성 질의를 해결함으로써 최적의 팔링 집합을 계산한다.
• 프로그램 크기 최소화와 성능 최대화를 두 가지 최적화 기준으로 지원한다.

실험 결과

연구 질문

• RQ1 TSO 하에서 동시 실행 프로그램이 강건한지 정밀하게 검증할 수 있는가, 즉 모든 TSO 실행이 어떤 SC 실행에 대응하는가?
• RQ2 TSO에서 비SC 동작을 유도하는 해로운 비순서 실행(공격)을 어떻게 특성화하고 탐지할 수 있는가?
• RQ3 TSO 강건성 문제를 타당성과 완전성이 보장되는 방식으로 표준 SC 도달 가능성 문제로 감소시킬 수 있는가?
• RQ4 결과 프로그램이 강건해지도록 삽입할 최적의 메모리 팔링 집합은 무엇이며, 코드 팽창 최소화 또는 성능 최대화를 고려할 수 있는가?
• RQ5 TSO 강건성은 어떤 조건에서 결정 가능하며, 일반적인 경우의 복잡도는 무엇인가?

주요 결과

• 제안된 감소 방법은 TSO 강건성 검증을 SC 상태 도달 가능성 문제로 변환하여, 기존의 SC 모델 체커를 사용한 정밀한 검증을 가능하게 한다.
• 공격을 통한 비강건성 탐지에 대해 타당성과 완전성이 보장되며, 거짓 긍정 또는 부정이 없다.
• 유한한 데이터 도메인과 고정된 공유 변수 수가 있는 경우, 강건성은 결정 가능하며, PSpace-완전이다. 이는 무한한 스토어 버퍼와 임의의 스레드 수가 존재하더라도 성립한다.
• 소스 투 소스 변환은 데이터 도메인 크기와 버퍼 용량과 무관하게 선형 크기이다.
• 팔링 삽입 알고리즘은 프로그램 크기 최소화 및 성능 최대화 두 가지 기준 모두에서 최적의 해를 산출한다.
• 이 방법은 구현되어 실제 동시 실행 알고리즘의 검증 및 수정에 성공적으로 적용되었으며, 실용성과 확장성을 입증했다.