[论文解读] Modular Control Plane Verification via Temporal Invariants

Timothy Alberdingk Thijm, Ryan Beckett+2 more|arXiv (Cornell University)|Apr 21, 2022

Advanced Control Systems Optimization被引用 5

一句话总结

Timepiece 引入了一套基于网络执行时间模型的稳健、可扩展的模块化控制平面验证系统，通过时间标注的不变式支持对网络组件的组合式推理。与单体验证相比，该系统表现更优：在 96 核虚拟机上仅用 2.37 分钟即可验证包含 2,000 个节点的胖树网络，而单体验证引擎在 80 个节点的网络上 2 小时内仍无法完成；同时，该系统通过基于 SMT 的符号推理与时间逻辑接口，实现了对单个路由器的快速、并行验证。

ABSTRACT

Monolithic control plane verification cannot scale to hyperscale network architectures with tens of thousands of nodes, heterogeneous network policies and thousands of network changes a day. Instead, modular verification offers improved scalability, reasoning over diverse behaviors, and robustness following policy updates. We introduce Timepiece, a new modular control plane verification system. While one class of verifiers, starting with Minesweeper, were based on analysis of stable paths, we show that such models, when deployed naively for modular verification, are unsound. To rectify the situation, we adopt a routing model based around a logical notion of time and develop a sound, expressive, and scalable verification engine. Our system requires that a user specifies interfaces between module components. We develop methods for defining these interfaces using predicates inspired by temporal logic, and show how to use those interfaces to verify a range of network-wide properties such as reachability or access control. Verifying a prefix-filtering policy using a non-modular verification engine times out on an 80-node fattree network after 2 hours. However, Timepiece verifies a 2,000-node fattree in 2.37 minutes on a 96-core virtual machine. Modular verification of individual routers is embarrassingly parallel and completes in seconds, which allows verification to scale beyond non-modular engines, while still allowing the full power of SMT-based symbolic reasoning.

研究动机与目标

• 解决在拥有数万个节点且策略更新频繁的超大规模网络中，单体控制平面验证所面临的可扩展性限制。
• 开发一种模块化验证框架，支持组合式推理，同时确保对多样化网络属性的严谨性与表达能力。
• 通过引入路由行为的时间基础，克服将朴素模块化推理应用于稳定路径模型（如 Minesweeper）时的不严谨性。
• 通过在组件接口处定义用户可指定的时间不变式，利用 SMT 求解器实现对单个路由器的高效、并行验证。
• 通过基于表达性强但可判定的时间逻辑的接口，支持对复杂端到端网络属性（如可达性与访问控制）的验证。

提出的方法

• 系统将网络执行建模为随时间演化的状态序列，将时间 $ t $ 显式作为不变式语言中的变量，以确保严谨性并避免假设中的循环依赖。
• 用户使用受时间逻辑启发的谓词定义组件接口，描述每个路由器在不同输入条件下的时间行为。
• 验证引擎检查每个组件的行为是否满足其接口规范，并验证接口的组合是否能推导出全局网络属性（如可达性或访问控制）。
• Timepiece 使用 SMT 求解器对每个路由器的状态转移进行符号推理，从而实现对单个组件的高效、并行验证。
• 该方法通过时间算子抽象瞬态路由状态，降低复杂度，同时保持对端到端网络属性的正确性。
• 通过基于时间有序状态转移的证明规则确保严谨性，避免在模块化环境中仅依赖稳定路径分析所导致的问题。

实验结果

研究问题

• RQ1 当在组件级推理中使用稳定路径模型（如 Minesweeper 中的模型）时，能否使模块化控制平面验证保持严谨性？
• RQ2 如何利用时间上的推理，实现对大规模、动态网络的可扩展且严谨的模块化验证？
• RQ3 何种接口语言具备足够的表达能力以捕获多样化的网络行为，同时保持可判定性并适合基于 SMT 的验证？
• RQ4 与单体方法相比，模块化验证在支持数千个节点且频繁更新的超大规模网络时，其可扩展性达到何种程度？
• RQ5 在接口不变式中显式使用时间 $ t $ 是否能防止组合式推理中的循环依赖问题？

主要发现

• 在 96 核虚拟机上，Timepiece 仅用 2.37 分钟即可验证包含 2,000 个节点的胖树网络，而单体验证引擎在 80 个节点的网络上 2 小时内仍无法完成。
• 对单个路由器的模块化验证具有明显的并行性，可在数秒内完成，从而实现超越单体引擎的可扩展验证。
• 通过建模网络执行的时间过程，系统实现了严谨性，纠正了仅基于稳定路径的朴素模块化推理的不严谨性。
• Timepiece 通过用户定义的时间不变式（使用受限但表达力强的逻辑）支持对复杂属性（如可达性与访问控制）的验证。
• 在不变式中显式使用时间 $ t $ 作为变量，实现了良基推理，避免了假设-保证推理中的循环依赖问题。
• 评估结果表明，基于 SMT 的符号推理结合时间抽象具有高效性和实用性，能有效处理大规模网络。