[논문 리뷰] Counter Attack on Byzantine Generals: Parameterized Model Checking of Fault-tolerant Distributed Algorithms

Annu John, Igor Konnov외 3명|arXiv (Cornell University)|2012. 10. 14.

Distributed systems and fault tolerance참고 문헌 53인용 수 15

한 줄 요약

이 논문은 매개변수 $ n $ (프로세스 수)와 비잔티노스 장애 수 $ t $로 정의된 무한 상태, 매개변수화된 시스템을 유한 상태 모델로 줄이기 위해 매개변수화된 간격 추상화(PIA)를 사용하는 장애 내성 분산 알고리즘(FTDA)을 위한 매개변수화된 모델 체킹 기법을 제시한다. 데이터 추상화와 새로운 카운터 추상화를 조합함으로써, $ n > 3t $와 같은 내성 조건을 만족하는 모든 시스템 인스턴스에서 안전성 및 라이브니스 성질의 자동 검증이 가능해지며, 이는 전적으로 자동화되고 확장 가능한 방식으로 시리카란트-투에의 비잔티노스 브로드캐스트 알고리즘 변종을 성공적으로 검증한다.

ABSTRACT

We introduce an automated parameterized verification method for fault-tolerant distributed algorithms (FTDA). FTDAs are parameterized by both the number of processes and the assumed maximum number of Byzantine faulty processes. At the center of our technique is a parametric interval abstraction (PIA) where the interval boundaries are arithmetic expressions over parameters. Using PIA for both data abstraction and a new form of counter abstraction, we reduce the parameterized problem to finite-state model checking. We demonstrate the practical feasibility of our method by verifying several variants of the well-known distributed algorithm by Srikanth and Toueg. Our semi-decision procedures are complemented and motivated by an undecidability proof for FTDA verification which holds even in the absence of interprocess communication. To the best of our knowledge, this is the first paper to achieve parameterized automated verification of Byzantine FTDA.

연구 동기 및 목표

• 매개변수 $ n $ (프로세스 수)와 최대 비잔티노스 장애 수 $ t $로 매개변수화된 장애 내성 분산 알고리즘(FTDA)을 검증하는 데 도전하는 것, 특히 $ n > 3t $와 같은 내성 조건을 포함한다.
• 비잔티노스 장애가 존재하는 상황에서 안전성 및 라이브니스 성질을 모두 지원하는 확장 가능한 자동 검증 방법을 개발하는 것, 여기서 고장 난 프로세스는 임의로 행동할 수 있다.
• 무한 상태 시스템을 유한 상태 모델로 줄이는 타당한 추상화 기법을 도입함으로써 매개변수화된 검증의 결정 불가능성을 극복하는 것.
• 실제로 적용 가능한 장애 내성 분산 알고리즘, 예를 들어 시리카란트-투에의 비잔티노스 브로드캐스트 알고리즘 변종을 다양한 내성 조건 하에서 검증함으로써 실용적 타당성을 입증하는 것.
• 반결정 절차를 제공하고 결정 불가능성 증명을 함께 제시함으로써 문제의 이론적 경계를 설정하는 것.

제안 방법

• 핵심 기법은 매개변수 $ n $ 및 $ t $에 대한 산술 표현식으로 구성된 간격 경계를 사용하는 매개변수화된 간격 추상화(PIA)이며, 이는 임계 조건 가드 기반의 시스템 상태 추상화를 가능하게 한다.
• 데이터 추상화를 적용하여 무한 상태 시스템을 유한 상태 추상 모델로 줄이며, $ n > 3t $를 가정할 경우 정확성을 유지한다.
• 다른 프로세스로부터 수신한 메시지 수를 추상화하는 새로운 형태의 카운터 추상화를 도입하여, 예를 들어 '다른 프로세스로부터 $ t+1 $개의 메시지를 수신함'과 같은 임계 조건에 대한 추론을 가능하게 한다.
• 추상 시스템에서 Promela 모델을 생성하고, 이를 Spin 모델 체커를 사용하여 검증함으로써 매개변수화된 검증 문제를 유한 상태 모델 체킹 문제로 환원한다.
• 프로토타입 도구 ByMC에서 SMT 해결기(Yices)를 사용하여 가짜 반례를 탐지하고 정밀화하는 반복 루프를 구현하며, 문장 추상화와 정당하지 않은 상태 탐지에 의해 이导向된다.
• 내성 조건이 다른 경우에도 적용 가능하도록 기법을 확장하여, 예를 들어 $ f > t $ 또는 $ n $이 가정된 것보다 작은 경우를 포함하여 알고리즘의 강건성을 테스트한다.

실험 결과

연구 질문

• RQ1 비잔티노스 장애가 존재하는 상황에서 매개변수 $ n $ 및 $ t $로 매개변수화된 장애 내성 분산 알고리즘에 대해 전적으로 자동화된 매개변수화된 모델 체킹 기법을 개발할 수 있는가?
• RQ2 임계 조건 가드와 $ n > 3t $와 같은 내성 조건을 포괄하면서도 시스템을 유한 상태 모델로 줄일 수 있는 타당한 추상화 기법을 설계할 수 있는가?
• RQ3 이 방법은 안전성 및 라이브니스 성질을 무한한 프로세스 수를 가진 모든 매개변수 인스턴스에 대해 검증할 수 있는가?
• RQ4 실제로 사용되는 FTDAs, 예를 들어 시리카란트-투에 브로드캐스트 알고리즘에 적용했을 때 이 방법의 실용적 확장성과 효율성은 어떠한가?
• RQ5 상호작용이 없는 상황에서도 FTDAs의 검증 문제가 결정 불가능한가? 그리고 이는 추상화 기반 방법의 설계에 어떤 영향을 미치는가?

주요 결과

• 이 방법은 $ n > 3t $ 내성 조건 하에서 시리카란트-투에의 비잔티노스 브로드캐스트 알고리즘의 모든 변종을 성공적으로 검증하였으며, 대부분의 경우 검증 시간이 10초 이내였다.
• RBC(신뢰성 브로드캐스트) 알고리즘의 경우 $ n eq t eq f $ 조건 하에서 정확성이 확인되었으며, 3.3GHz 머신에서 모델 체킹 시간이 2초 이내였다.
• 내성 조건이 위반된 경우(예: $ f > t $), 메서드는 오류를 정확히 탐지하였으며, 예를 들어 $ ext{Byz} ot{ vDash} C $ 및 $ ext{Byz} ot{ vDash} R $ 와 같은 오류를 30초 이내에 탐지하였다.
• OCaml로 구현된 프로토타입 도구 ByMC는 추상화, 카운터 추상화, 반복 루프를 성공적으로 처리하였으며, 복잡한 사례인 $ ext{Byz} ot{ vDash} R $ 에서 최대 20단계의 정밀화를 수행하였다.
• 도구는 최대 24,656개 상태를 가진 시스템까지 처리하였으며, 메모리 사용량은 175MB 이내였으며, 실용적 타당성을 입증하였다.
• 상호작용이 없는 경우에도 FTDAs의 검증 문제가 결정 불가능하다는 증명을 수립하였으며, 이는 추상화 기반 접근법의 필요성을 확인하고 방법의 이론적 기반을 검증하였다.