[論文レビュー] Auxiliary Variables in TLA+

Leslie Lamport, Stephan Merz|arXiv (Cornell University)|Mar 15, 2017

Cryptographic Implementations and Security参考文献 4被引用数 12

ひとこと要約

本稿では、TLCの意味的同等性を損なわずに、履歴変数、予言変数、ステータス変数という3種類の補助変数をTLC+仕様に安全に追加するための形式的ルールを提示する。この手法は、簡略化されたスナップショットアルゴリズムの検証に応用され、過去の動作（履歴）、将来の動作（予言）、または停止状態（ステータス）を捉えることで、正しい精錬マッピングを可能にし、TLCを用いたモデルチェックにより正しさが証明されている。

ABSTRACT

Auxiliary variables are often needed for verifying that an implementation is correct with respect to a higher-level specification. They augment the formal description of the implementation without changing its semantics--that is, the set of behaviors that it describes. This paper explains rules for adding history, prophecy, and stuttering variables to TLA+ specifications, ensuring that the augmented specification is equivalent to the original one. The rules are explained with toy examples, and they are used to verify the correctness of a simplified version of a snapshot algorithm due to Afek et al.

研究の動機と目的

• システムの意味的同等性を変更せずに、精錬を支援する補助変数をTLC+仕様に追加するための実用的で形式的なルールを提供すること。
• 過去の動作（履歴）、将来の動作（予言）、または停止ステップ（ステータス）を追跡する補助変数の使用を可能にすることで、複雑な並行システムの検証の課題に取り組むこと。
• アフェクらによる簡略化されたスナップショットアルゴリズムの形式的検証を通じて、これらのルールの有効性を示すこと。
• これらの補助変数が実際の検証において効果的に使用可能であることを示し、従来の予言変数アプローチの制限を克服できること。

提案手法

• 過去のシステム状態を記録するための履歴変数を導入し、論理和表現を用いて元の仕様と拡張された仕様の間で同等性を維持する。
• 1予測型と配列ベースの予言変数を提案し、定義的制約とライブネスの保存により、将来のシステム動作の予測が正しく保証されるようにする。
• 実際の変数が変化しないステップをモデル化するためのステータス変数を定義し、ライブネスとセフティを保つ精錬マッピングを可能にする。
• 高水準の仕様と低水準の実装との関係を結ぶために精錬マッピングを適用し、変数の置換を用いて拡張された変数を元のものにマッピングする。
• TLCモデルチェックャーを用いて、対称性や状態制約を含む複雑なケースを含め、精錬マッピングの正しさを検証する。
• モジュール、インvariant、公平性条件を用いた構造化された仕様アプローチにより、拡張された仕様におけるセフティとライブネスを保証する。

実験結果

リサーチクエスチョン

• RQ1 履歴変数をTLC+仕様に追加する方法は何か？ その際、元の仕様と意味的同等性が保たれるようにする。
• RQ2 予言変数が将来のシステム動作を正しく予測するための形式的ルールは何か？ その際、意味的同等性が損なわれないように保証する。
• RQ3 ステータス変数をどのように導入すれば、停止ステップをモデル化しながらもセフティとライブネスの性質を維持できるか？
• RQ4 これらの補助変数は、実際の線形化可能なスナップショットアルゴリズムの検証に効果的に使用可能か？
• RQ5 補助変数を用いて高水準の仕様と低水準の実装を結ぶ精錬マッピングの役割は何か？

主な発見

• 本稿では、履歴変数、予言変数、ステータス変数を用いて、簡略化されたスナップショットアルゴリズムの検証に成功し、これらの補助変数が意味的同等性を保つことを示した。
• 1予測型と配列ベースの予言変数の使用により、TLC+において将来の動作の予測を実用的かつ正確に記述できるようになった。
• ステータス変数は、停止ステップをモデル化する際、予言変数よりも効果的であることが判明し、明確性と保守性が向上した。
• アフェクらのスナップショットアルゴリズムから線形化可能な仕様への精錬マッピングは、TLCを用いて形式的に検証され、2012年のラップトップで約10時間かかった。
• モデルチェックャーは、2人のリーダー、2人のライター、2つのレジスタ値を想定した対称性制約下でも正しく検証を完了した。
• 著者らは、新しい予言変数アプローチが、従来の形式よりもはるかに実用的であると結論づけた。