[논문 리뷰] Preventing Atomicity Violations with Contracts

Diogo Sousa, Ricardo J. Dias외 2명|arXiv (Cornell University)|2015. 05. 12.

Distributed systems and fault tolerance참고 문헌 50인용 수 5

한 줄 요약

이 논문은 동시성 프로그램에서 원자성 위반을 방지하기 위해 메서드 호출 시퀀스가 원자적으로 실행되어야 한다는 조건을 명시하는 계약을 제안한다. 제어 흐름과 데이터 흐름 기반의 정적 분석을 통해 클라이언트 프로그램이 이러한 계약을 준수하는지 검증함으로써, 개별 메서드가 동기화되어 있어도 정확성을 보장한다. 이 방법은 실제 소프트웨어에서 검증되었으며, Apache Tomcat 6.0에서 발생한 심각한 버그를 신속히 수정하는 데 성공했다.

ABSTRACT

Software developers are expected to protect concurrent accesses to shared regions of memory with some mutual exclusion primitive that ensures atomicity properties to a sequence of program statements. This approach prevents data races but may fail to provide all necessary correctness properties.The composition of correlated atomic operations without further synchronization may cause atomicity violations. Atomic violations may be avoided by grouping the correlated atomic regions in a single larger atomic scope. Concurrent programs are particularly prone to atomicity violations when they use services provided by third party packages or modules, since the programmer may fail to identify which services are correlated. In this paper we propose to use contracts for concurrency, where the developer of a module writes a set of contract terms that specify which methods are correlated and must be executed in the same atomic scope. These contracts are then used to verify the correctness of the main program with respect to the usage of the module(s). If a contract is well defined and complete, and the main program respects it, then the program is safe from atomicity violations with respect to that module. We also propose a static analysis based methodology to verify contracts for concurrency that we applied to some real-world software packages. The bug we found in Tomcat 6.0 was immediately acknowledged and corrected by its development team.

연구 동기 및 목표

• 제3자 모듈의 동기화 메서드를 조합할 때 발생하는 원자성 위반 문제를 해결하기 위해, 개별 메서드가 스레드 세이프하더라도 문제가 되지 않도록 보장한다.
• 정확성을 유지하기 위해 어떤 메서드 호출 시퀀스가 원자적으로 실행되어야 하는지를 명시하는 형식적 메커니즘을 제공한다.
• 클라이언트 프로그램이 모듈 계약을 준수하는지 검증하는 정적 분석 기법을 개발하여 관련된 연산의 원자성을 보장한다.
• 계약 기반 검증을 통해 원자성 위반을 조기에 탐지함으로써 동시성 시스템의 소프트웨어 신뢰성을 향상시킨다.

제안 방법

• 저자는 공개 메서드를 대상으로 한 별 없는 정규 표현식으로 계약을 정의하여, 원자적으로 실행되어야 하는 메서드 호출 시퀀스를 지정한다.
• 정적 분석을 통해 클라이언트 프로그램의 제어 흐름과 데이터 흐름 정보를 추출하여 모듈 메서드 호출의 가능한 순서를 파악한다.
• 분석은 클라이언트 프로그램 내 모든 가능한 호출 순서가 계약에서 지정한 순서에 포함되는지 확인함으로써 원자성을 보장한다.
• 프로토타입 구현은 ICFinder를 사용해 다중 절차적 제어 흐름 분석을 수행하고, 넓은 패턴으로 인한 오류 경고를 줄이기 위해 필터링을 적용한다.
• 이 방법은 기존의 설계 기반 계약 방법론을 확장하여 동시성 전용 정확성 특성을 다룰 수 있도록 통합한다.
• 검증 과정은 완전히 정적 분석을 기반으로 하여 동적 분석의 오버헤드와 부정확성 없이 높은 정밀도를 유지한다.

실험 결과

연구 질문

• RQ1 제3자 모듈의 동기화 메서드를 조합할 때 원자성 위반을 체계적으로 방지하는 방법은 무엇인가?
• RQ2 정확성을 유지하기 위해 어떤 메서드 호출 시퀀스가 원자적으로 실행되어야 하는지를 표현할 수 있는 형식적 사양 메커니즘은 무엇인가?
• RQ3 정적 분석을 통해 클라이언트 프로그램이 동시성 계약을 효율적이고 정확하게 준수하는지 검증할 수 있는가?
• RQ4 제안된 방법은 실세계 소프트웨어의 생산 환경에서 실제 원자성 위반을 얼마나 효과적으로 탐지하는가?

주요 결과

• 제안된 계약 기반 접근법은 관련된 메서드 호출이 단일 원자 범위 내에서 실행되도록 보장함으로써 원자성 위반을 성공적으로 방지한다.
• 정적 분석은 Apache Tomcat 6.0에서 발생한 심각한 원자성 위반을 정확히 식별했으며, 개발 팀에서 즉각 확인하고 수정했다.
• 넓은 제어 흐름 패턴에 의한 오류 경고를 줄이기 위한 필터링을 통해 원자성 위반 탐지에 높은 정밀도를 달성했다.
• 프로토타입은 실제 소프트웨어에서 뛰어난 성능을 보였으며, 이는 접근법의 확장성을 확인한다.
• 결과적으로 계약 기반 동시성 검증이 동시성 프로그램의 신뢰성을 크게 향상시킨다.