[논문 리뷰] Compositional Model Checking of Consensus Protocols Specified in TLA+ via Interaction-Preserving Abstraction

Xiaosong Gu, Wei Cao외 4명|arXiv (Cornell University)|2022. 02. 23.

Service-Oriented Architecture and Web Services인용 수 5

한 줄 요약

이 논문은 상태 폭발 문제를 줄이기 위해 내부 로직을 추상화하면서도 모듈 간 상호작용을 유지하는 상호작용 보존 추상화(Interaction-Preserving Abstraction, IPA)를 제안한다. 이는 TLA+로 기술된 일致성 프로토콜 사양을 위한 구성적 모델 체킹 프레임워크로, Raft와 ParallelRaft의 효율적이고 확장 가능한 검증을 가능하게 하며, Raft에서는 모델 체킹 비용을 4배 이상 절감하고 PRaft에서는 시간을 크게 줄였다. 산업 현장에서의 실용적 적용 가능성이 있다.

ABSTRACT

Consensus protocols are widely used in building reliable distributed software systems and its correctness is of vital importance. TLA+ is a lightweight formal specification language which enables precise specification of system design and exhaustive checking of the design without any human effort. The features of TLA+ make it widely used in the specification and model checking of consensus protocols, both in academia and industry. However, the application of TLA+ is limited by the state explosion problem in model checking. Though compositional model checking is essential to tame the state explosion problem, existing compositional checking techniques do not sufficiently consider the characteristics of TLA+. In this work, we propose the Interaction-Preserving Abstraction (IPA) framework, which leverages the features of TLA+ and enables practical and efficient compositional model checking of consensus protocols specified in TLA+. In the IPA framework, system specification is partitioned into multiple modules, and each module is divided to the internal part and the interaction part. The basic idea of the interaction-preserving abstraction is to omit the internal part of each module, such that another module cannot distinguish whether it is interacting with the original module or the coarsened abstract one. We use the IPA framework to the compositional checking of the TLA+ specification of two consensus protocols Raft and ParallelRaft. Raft is a consensus protocol which is originally developed in the academia and then widely used in industry. ParallelRaft is the replication protocol in PolarFS, the distributed file system for the commercial database Alibaba PoloarDB. We demonstrate that the IPA framework is easy to use in realistic scenarios and at the same time significantly reduces the model checking cost.

연구 동기 및 목표

• 일致성 프로토콜의 TLA+ 모델 체킹에서 발생하는 상태 폭발 문제를 해결함으로써 확장성과 실용적 사용을 향상시키기 위해.
• TLA+의 고유한 사양 스타일을 고려하지 않는 기존 구성적 기법의 한계를 극복하기 위해.
• Raft 및 ParallelRaft와 같은 산업 수준의 일치성 프로토콜을 TLA+를 사용해 효율적이고 확장 가능하게 검증할 수 있도록 하기 위해.
• 실제 프로토콜 설계 및 검증 워크플로에 원활하게 통합될 수 있는 실용적인 프레임워크 개발하기 위해.

제안 방법

• TLA+ 사양을 각각 내부 및 상호작용 컴포넌트를 가진 모듈로 분할하기.
• 외부 모듈이 추상화된 버전과 원본을 구분할 수 없도록 하면서 내부 로직을 제거함으로써 상호작용 보존 추상화를 적용하기.
• TLA+의 전역 상태 모델과 경량 형식론을 활용해 핵심 행동 인터페이스를 유지하는 추상화 정의하기.
• TLC를 통해 완전 자동화된 구성적 모델 체킹 과정에서 추상화된 모듈을 사용하기.
• 프로토콜의 복잡성에 따라 추상화 수준을 선택하여 상태 공간을 최소화하면서도 검증의 타당성을 유지하기.
• 실제 두 프로토콜인 Raft(학술적) 및 ParallelRaft(산업용, PolarFS 내 구현)에서 프레임워크 검증하기.

실험 결과

연구 질문

• RQ1 일치성 프로토콜의 TLA+ 사양에 대해 구성적 모델 체킹을 정확성을 유지하면서 효과적으로 적용할 수 있는가?
• RQ2 TLA+ 모듈에 대해 어떤 방식으로 추상화를 적용할 수 있으며, 이로 인해 구성 요소 간 상호작용의 정확성이 유지되는가?
• RQ3 실제로 복잡한 일치성 프로토콜에서 IPA 프레임워크가 모델 체킹 비용을 얼마나 줄이는가?
• RQ4 TLA+로 프로토콜 사양 및 검증을 수행하는 산업 현장에서 IPA 프레임워크를 실용적으로 적용할 수 있는가?
• RQ5 Raft와 ParallelRaft와 같이 설계 구조가 다른 프로토콜 간에 IPA의 효과성이 어떻게 달라지는가?

주요 결과

• IPA 프레임워크는 모델 체킹 비용을 크게 줄이며, Raft의 경우 비용 비율이 4.3를 초과한다. 이는 보수적인 시간 제한으로 인해 실제 비용은 더 클 수 있음을 시사한다.
• Raft의 경우 직접 모델 체킹이 200시간의 시간 제한에 도달하여, IPA가 직접 체킹이 실패하는 상황에서 실행 가능한 검증을 가능하게 했다.
• ParallelRaft의 경우 비용 비율은 약 3으로, 성능 최적화로 인해 추상화 가능한 내부 로직 비율이 낮기 때문이다.
• 낮은 비용 비율에도 불구하고 IPA는 PRaft에서 여전히 상당한 시간 절감 효과를 보이며 산업 현장에서 매우 실용적이다.
• 개발자가 프로토콜 설계에 익숙한 경우, 추상화 과정은 직관적이고 간단하여 기존 검증 워크플로에 원활하게 통합될 수 있다.
• Raft와 같은 학술적 프로토콜 뿐 아니라 ParallelRaft와 같은 복잡한 산업용 프로토콜에도 효과적이며, 광범위한 적용 가능성을 입증한다.