[논문 리뷰] Predictable Software -- A Shortcut to Dependable Computing ?

George Candea|ArXiv.org|2004. 03. 11.

Software System Performance and Reliability참고 문헌 13인용 수 5

한 줄 요약

이 논문은 결함이 있는 코드를 다시 작성하는 것이 아니라, 환경 제어 및 장애 격리 메커니즘—퓨즈, 가드, 자원 콜럼버스—를 통해 예측 가능성의 향상으로 소프트웨어 신뢰성을 높이는 방법을 제안한다. 입력/출력 인variants와 자원 제한을 강제 적용함으로써, 예측 불가능한 소프트웨어를 정지 장애 방식으로 작동하는 예측 가능한 컴포onent으로 전환하며, 기존의 결함 수정 방식보다 비용이 저렴하고 빠른 대안을 제공한다.

ABSTRACT

Many dependability techniques expect certain behaviors from the underlying subsystems and fail in chaotic ways if these expectations are not met. Under expected circumstances, however, software tends to work quite well. This paper suggests that, instead of fixing elusive bugs or rewriting software, we improve the predictability of conditions faced by our programs. This approach might be a cheaper and faster way to improve dependability of software. After identifying some of the common triggers of unpredictability, the paper describes three engineering principles that hold promise in combating unpredictability, suggests a way to benchmark predictability, and outlines a brief research agenda.

연구 동기 및 목표

• 소프트웨어의 신뢰성 실패의 근본 원인을 해결하기 위해, 내재된 버그가 아니라 예상치 못한 스트레스 요인에 의한 예측 불가능한 동작이 주요 원인이 되는 경우가 많기 때문이다.
• 잠재적인 소프트웨어 결함를 모두 수정하는 데서 벗어나 환경의 예측 가능성에 초점을 맞춤으로써, 신뢰성 있는 시스템을 구축하는 데 드는 비용과 복잡성을 줄이기 위함이다.
• 알려진 스트레스 조건뿐 아니라 예측할 수 없는 스트레스 조건에서도 소프트웨어가 예측 가능한 방식으로 동작하도록 체계적인 프레임워크를 제공하기 위함이다.
• 기존 소프트웨어가 복잡한 시스템에 통합될 수 있도록, 그 장애 행동에 대해 더 높은 신뢰를 가질 수 있도록 하기 위함이다.
• 예측 가능성의 기준을 마련하고, 점진적인 리모델링을 안내하는 데 기초가 되는 기반을 마련하기 위함이다.

제안 방법

• 입력 또는 자원 사용이 사전 정의된 안전 기준을 초과할 경우 이를 감지하고 실행을 중단하는 '퓨즈'를 도입한다.
• 모듈의 출력을 공식화된 인variants와 비교하여 검증함으로써, 예상되는 동작 방식을 준수하는지 확인하는 '출력 가드'를 구현한다.
• CPU, 메모리, 네트워크 사용량을 모니터링하고 제한하여 자원 고갈을 방지하는 '자원 콜럼버스'를 구현한다.
• 어셈블리 기반 기법을 사용하여 소프트웨어 컴포넌트에 자동으로 퓨즈, 가드, 콜럼버스를 삽입하는 '시스템 마크로컴파일러'를 사용한다.
• 다이나믹 인variants 추론 도구(예: Daikon)를 활용하여 관찰된 프로그램 동작에서 인variants를 학습하고 강제 적용한다.
• 실험적 분산과 같은 지표를 사용하여 예측 가능성을 정량화하고, 예측 가능성 메커니즘의 점진적 리모델링을 비용 효율적으로 이끌 수 있도록 한다.

실험 결과

연구 질문

• RQ1 환경의 예측 가능성 향상이 복잡한 소프트웨어 시스템에서 계단식 장애의 발생 빈도와 영향을 줄일 수 있는가?
• RQ2 소스 코드 수정 없이 퓨즈, 가드, 자원 콜럼버스를 레거시 소프트웨어에 자동으로 적용할 수 있는 정도는 어느 정도인가?
• RQ3 입력 및 출력 행동에 대한 인variants를 정확하고 확장 가능한 방식으로 어떻게 학습하거나 표현할 수 있는가?
• RQ4 스트레스 조건 하에서 소프트웨어 행동의 예측 가능성을 가장 잘 측정하는 지표는 무엇이며, 이를 통해 타겟된 신뢰성 향상 조치를 어떻게 이끌 수 있는가?
• RQ5 마크로컴파일러 기반 접근 방식을 통해 컴포넌트 수준의 예측 가능성 보장에서 시스템 수준의 신뢰성에 대한 조합적 추론을 가능하게 할 수 있는가?

주요 결과

• 소프트웨어의 예측 불가능한 동작은 주로 예상치 못한 입력(크기, 내용, 도착률), 잘못된 동작을 하는 모듈의 출력, 자원 고갈에 의해 유발된다.
• 버퍼 오버플로우와 손상된 입력(예: SQL Slammer 및 DNS 캐시 탈취 공격에서 사용된 바와 같이)은 입력 크기와 형식 제약 조건을 강제 적용함으로써 치명적인 실패를 방지할 수 있음을 보여준다.
• 한 모듈의 이질적인 출력이나 자원 소비가 후속 모듈에 영향을 미쳐 실패 파동이 확산되며, 이는 근본 원인을 가리키는 계단식 실패를 유도한다.
• 2001년 CNN.com 장애 사례는 부하 분배기와 동적 자원 할당 기능이 있는 시스템이라도, 입구 제어가 없이 요청률이 급격히 증가할 경우 실패할 수 있음을 보여준다.
• 퓨즈, 가드, 자원 콜럼버스를 통해 블랙박스 소프트웨어를 예측 가능한 범위 내에서 동작하는 정지 장애 방식의 모듈로 전환할 수 있으며, 이는 고정된 실패 모드를 가능하게 한다.
• 실험적 분산과 같은 예측 가능성 지표는 예측 가능성 메커니즘의 점진적 리모델링을 이끌 수 있으며, 예측 가능성 향상이 가장 큰 신뢰성 향상 효과를 가져오는 컴포넌트를 우선순위로 정할 수 있도록 한다.