[论文解读] Proving Linearizability via Branching Bisimulation

Xiaoxiao Yang, Joost-Pieter Katoen+2 more|arXiv (Cornell University)|Sep 24, 2016

Formal Methods in Verification参考文献 7被引用 4

一句话总结

本文提出使用分支 bisimulation 来验证并发数据结构的线性化和进展性质，通过构建商状态空间大幅降低复杂度。通过利用语义等价性，该方法实现了无需手动识别线性化点的自动化、可扩展验证，在13个基准算法的实验中，状态空间最大减少了10,000倍。

ABSTRACT

Linearizability and progress properties are key correctness notions for concurrent objects. However, model checking linearizability has suffered from the PSPACE-hardness of the trace inclusion problem. This paper proposes to exploit branching bisimulation, a fundamental semantic equivalence relation developed for process algebras which can be computed efficiently, in checking these properties. A quotient construction is provided which results in huge state space reductions. We confirm the advantages of the proposed approach on more than a dozen benchmark problems.

研究动机与目标

• 为解决由于轨迹包含问题的 PSPACE-难性导致的模型检测线性化可扩展性限制。
• 消除手动识别线性化点的需求，因为这在并发算法中容易出错且复杂。
• 实现对无锁数据结构中线性化和进展性质（如无锁性）的自动化验证。
• 通过分支 bisimulation 商构造实现显著的状态空间缩减，以实现高效验证。
• 支持在 CTL∗ 的下一自由片段中可表达的广泛性质的验证，包括 LTL。

提出的方法

• 构建并发对象系统的带标签转移系统（LTS）模型，将内部计算步骤抽象为 τ-转移。
• 应用分支 bisimulation 等价性，计算保持轨迹细化和进展性质的商LTS。
• 证明具体系统的线性化等价于具体对象的商与规范之间的轨迹细化。
• 利用对发散敏感的分支 bisimulation，确保进展性质（如无锁性）从抽象系统到具体系统得以保持。
• 结合商构造使用对称性和部分序约简技术，进一步减少状态空间。
• 使用模型检测工具自动化验证过程，并通过反例生成实现错误检测。

实验结果

研究问题

• RQ1 分支 bisimulation 是否可用于验证线性化，而无需显式识别线性化点？
• RQ2 分支 bisimulation 在多大程度上能减少并发数据结构模型的状态空间？
• RQ3 是否可以在抽象商系统而非具体系统上验证如无锁性等进展性质？
• RQ4 基于商的方案是否可扩展至复杂无锁算法（如 Herlihy-Wing 队列或带危险指针的 Treiber 栈）？
• RQ5 该方法是否能自动检测出并发数据结构中的已知和未知错误？

主要发现

• 所提方法在状态空间大小上实现了最高达四数量级的缩减，最大缩减（0.01%）出现在带危险指针的 Treiber 栈上。
• 对于大多数算法，状态空间缩减了两到三个数量级，且在更大系统中观察到更高的缩减率。
• 该方法成功检测到 Herlihy-Wing 队列中的一个已知线性化错误，并发现了一个新发现的无锁性质违反问题于修订后的栈实现中。
• 商构造保持了轨迹细化和进展性质，使得在抽象系统上正确验证线性化和下一自由 CTL∗ 性质成为可能。
• 该方法完全可自动化且可扩展，可处理13种无锁数据结构，包括队列、栈和哈希表。
• 该方法优于先前依赖手动线性化点标注的方法，或受限于双线程系统或简单数据结构的方法。