[论文解读] Distributed Graph Automata and Verification of Distributed Algorithms

Fabian Reiter|arXiv (Cornell University)|Aug 13, 2014

Distributed systems and fault tolerance参考文献 14被引用 7

一句话总结

本文提出了分布式图自动机（DGAs），这是一种新的有限自动机类别，能够精确识别在有限图上由一阶二元逻辑（MSO）定义的语言。通过结合局部节点转移与全局图级条件，DGAs 利用交替机制实现了完整的 MSO 表达能力，而较弱的变体（非确定性和确定性）则具备可判定的空性问题，适用于使用 Floyd-Hoare 逻辑的形式化验证分布式算法。

ABSTRACT

Combining ideas from distributed algorithms and alternating automata, we introduce a new class of finite graph automata that recognize precisely the languages of finite graphs definable in monadic second-order logic. By restricting transitions to be nondeterministic or deterministic, we also obtain two strictly weaker variants of our automata for which the emptiness problem is decidable. As an application, we suggest how suitable graph automata might be useful in formal verification of distributed algorithms, using Floyd-Hoare logic.

研究动机与目标

• 为图语言（尤其是任意有限图上的图语言）提供一种自然的自动机理论表征，以弥补现有研究的不足。
• 设计一种将有限自动机推广至图结构的模型，同时保持可判定性与表达能力。
• 通过图自动机与 Floyd-Hoare 逻辑的结合，为同步分布式算法提供一个形式化验证框架。
• 通过引入一种可判定且表达能力强的自动机模型，弥合自动机理论与分布式算法验证之间的鸿沟。

提出的方法

• 将分布式图自动机（DGAs）定义为有限状态机，其中每个节点根据其局部邻域信息和全局图级条件进行状态转移。
• 引入三种变体：交替式 DGAs（ADGAs）、非确定性 DGAs（NDGAs）和确定性 DGAs（DDGAs），每种具有不同的表达能力与闭包性质。
• 证明 ADGAs 在有限图上的表达能力与完整的单二阶逻辑（MSO）等价。
• 建立 NDGAs 严格弱于 EMSO 逻辑，但其空性问题可判定，因此适用于验证任务。
• 通过将全局状态建模为图，并使用 DDGAs 表达 Floyd-Hoare 逻辑中的前置与后置条件，对同步分布式算法适配 Floyd-Hoare 逻辑。
• 在 FloodMax 共识算法上展示该方法，说明如何形式化验证关于节点知识和终止性的断言。

实验结果

研究问题

• RQ1 能否为任意有限图定义一种有限自动机模型，使其能够捕捉单二阶逻辑的完整表达能力？
• RQ2 是否存在一种自然的图自动机类，其空性问题可判定，且可将有限自动机从单词和树结构推广至图？
• RQ3 能否使用分布式图自动机结合 Floyd-Hoare 逻辑，对同步分布式算法进行形式化验证？
• RQ4 NDGA 和 DDGA 变体在表达能力与可判定性方面，与 Thomas 的图接受器或 EMSO 逻辑等现有模型相比如何？
• RQ5 该验证框架能否超越玩具示例，推广至更复杂的分布式算法？

主要发现

• 交替式分布式图自动机（ADGAs）在有限图上的表达能力与完整的单二阶逻辑（MSO）等价。
• 非确定性分布式图自动机（NDGAs）严格弱于 EMSO 逻辑，但其空性问题可判定。
• 确定性分布式图自动机（DDGAs）不具有补集封闭性，但足以形式化表达同步算法 Floyd-Hoare 逻辑中的验证条件。
• 所提出的使用 DDGAs 的验证方法能够表达全局不变式与终止条件，已在 FloodMax 算法上得到验证。
• 该框架可扩展至更表达力强的自动机模型，尽管在表达更丰富的节点知识断言时可能需要无限节点字母表。
• 该方法仅适用于同步算法，但此类算法可自动转换为异步版本，且正确性得以保持。