[논문 리뷰] Paxos Consensus, Deconstructed and Abstracted (Extended Version)

Álvaro García-Pérez, Alexey Gotsman외 2명|arXiv (Cornell University)|2018. 02. 16.

Distributed systems and fault tolerance참고 문헌 15인용 수 4

한 줄 요약

이 논문은 단일 결정에 대한 패็ก소스 일관성 프로토콜을 구성 가능한 비결정적 사양으로 분해하고, 프로토콜 인식 네트워크 변환을 도입하여 단일 결정에 기반한 패닉소스를 기반으로 한 멀티-패닉소스를 검증하는 모듈러 검증 프레임워크를 제시한다. 이 방법은 프로포저 변수와 선형화 지점과 함께 리바이/가라지 추론을 사용하여 재사용 가능하고 구성 가능한 증명을 가능하게 하며, 클라이언트 수준의 의미를 유지하는 행동 보존 변환을 달성한다.

ABSTRACT

Lamport's Paxos algorithm is a classic consensus protocol for state machine replication in environments that admit crash failures. Many versions of Paxos exploit the protocol's intrinsic properties for the sake of gaining better run-time performance, thus widening the gap between the original description of the algorithm, which was proven correct, and its real-world implementations. In this work, we address the challenge of specifying and verifying complex Paxos-based systems by (a) devising composable specifications for implementations of Paxos's single-decree version, and (b) engineering disciplines to reason about protocol-aware, semantics-preserving optimisations to single-decree Paxos. In a nutshell, our approach elaborates on the deconstruction of single-decree Paxos by Boichat et al. We provide novel non-deterministic specifications for each module in the deconstruction and prove that the implementations refine the corresponding specifications, such that the proofs of the modules that remain unchanged can be reused across different implementations. We further reuse this result and show how to obtain a verified implementation of Multi-Paxos from a verified implementation of single-decree Paxos, by a series of novel protocol-aware transformations of the network semantics, which we prove to be behaviour-preserving.

연구 동기 및 목표

• 공식적으로 명시된 패닉소스 변종과 그 최적화된 실세계 구현 간의 간극이 점점 커지는 데 대응하기 위해.
• 단일 결정에 기반한 패닉소스를 독립적이고 사양 가능한 구성 요소로 분해함으로써 패닉소스 기반 시스템의 모듈러이고 구성 가능한 검증을 가능하게 하기 위해.
• 행동 보존 네트워크 의미론의 변환을 통해 기존에 검증된 단일 결정에 기반한 패닉소스를 재사용하여 멀티-패닉소스를 검증하는 방법론을 개발하기 위해.
• 다시 증명하지 않고도 프로토콜 인식 최적화를 지원하여 형식적 검증의 확장성을 높이기 위해.
• 패닉소스를 초월하여 라프(Raft)와 PBFT와 같은 다른 일관성 프로토콜의 검증을 위한 기반을 마련하기 위해.

제안 방법

• 보이카트 등이 제안한 추상화에 영감을 얻어 비결정적 사양을 사용하여 공유 메모리 스타일 모듈로 단일 결정에 기반한 패닉소스를 분해하기 위해.
• 제안자 및 수락자 역할을 위한 새로운 비결정적 레지스터 기반 사양을 도입하여 모듈러 정밀도 증명이 가능하도록 하기 위해.
• 프로포저 변수와 명시적 선형화 지점을 사용한 리바이/가라지 추론을 적용하여, 각 구현이 사양을 정밀하게 반영함을 증명하기 위해.
• 클라이언트가 볼 수 있는 행동을 유지하는 프로토콜 인식 네트워크 의미론의 변환 가족을 정의하기 위해.
• 기존에 검증된 단일 결정에 기반한 패닉소스 시스템에 이러한 변환을 적용하여 검증된 멀티-패닉소스 구현체를 구성하기 위해.
• 고수준의 공유 메모리 유사 인터페이스를 노출하는 실행 가능한 프로토타입을 통해 접근법을 검증하기 위해.

실험 결과

연구 질문

• RQ1 단일 결정에 기반한 패닉소스는 비결정적 사양을 갖는 구성 가능한, 독립적으로 검증 가능한 구성 요소로 어떻게 분해할 수 있는가?
• RQ2 비결정적 사양에 비결정성을 도입함에도 불구하고, 최상위 수준의 일관성 추상화에서 강력한 정확성 보장을 유지할 수 있는 방법은 무엇인가?
• RQ3 다중 패닉소스 인스턴스를 조합할 때 클라이언트 행동을 유지하기 위해 프로토콜 인식 네트워크 변환을 어떻게 형식적으로 정의할 수 있는가?
• RQ4 기존에 검증된 단일 결정에 기반한 패닉소스의 증명을 재사용하여 검증된 멀티-패닉소스를 구성할 수 있는가?
• RQ5 이 방법론은 라프(Raft)나 PBFT와 같은 다른 일관성 프로토콜로 얼마나 일반화할 수 있는가?

주요 결과

• 저자들은 단일 결정에 기반한 패닉소스에서 제안자 및 수락자 모듈에 대해 구성 가능한 비결정적 사양을 성공적으로 정의하였으며, 리바이/가라지 추론을 통한 모듈러 검증을 가능하게 하였다.
• 프로포저 변수와 선형화 지점의 사용은 비결정적 사양 조건 하에서도 각 구성 요소에 대해 모듈러이고 독립적인 정확성 증명을 가능하게 하였다.
• 논문은 행동 보존 네트워크 변환을 위한 형식적 프레임워크를 구축하여, 기존에 검증된 단일 결정에 기반한 패닉소스를 재사용함으로써 일관성 성질을 다시 증명하지 않고도 멀티-패닉소스를 구성할 수 있도록 하였다.
• 이러한 변환을 사용하여 고수준의 실행 가능한 멀티-패닉소스 프로토타입을 구현하였으며, 이는 접근법의 실현 가능성과 모듈성의 타당성을 입증하였다.
• 이 방법론은 증명 재사용을 가능하게 하여 최적화된 패닉소스 변종을 검증하는 데 필요한 노력의 양을 크게 감소시켰다.
• 이 프레임워크는 확장 가능하며 패닉소스를 초월한 적용에도 유용하며, 메인시우스(Mencius), 라프(Raft), PBFT와 같은 프로토콜의 검증 가능성에도 기여할 수 있다.