[論文レビュー] Static analysis tools in the era of cloud-native systems

Cerny, Tomas, Davide Taibi|arXiv (Cornell University)|May 17, 2022

Software System Performance and Reliability被引用数 6

ひとこと要約

本稿では、クラウドネイティブなマイクロサービスにおけるアーキテクチャ劣化を是正するため、静的解析ツールの拡張を提案している。これにより、複数のコードベースにまたがる整合性の確認、ポリシーの強制、包括的なシステム可視化が可能になる。異種のマイクロサービス間で中間表現を統合することで、セキュリティ、ビジネスロジック、データモデルといったシステム全体の関心事の管理を可能とし、開発者やアーキテクトが一元的かつ包括的な視点で把握できるよう支援する。

ABSTRACT

Microservices fuel cloud-native systems with small service sets developed and deployed independently. The independent nature of this modular architecture also leads to challenges and gaps. The intended system design might deviate far from what is eventually produced and maintained as the architecture tends to degrade over time. This paper challenges the audience on how static analysis could contribute to microservice system development and management, particularly managing architectural degradation. It elaborates on challenges and needed changes in the traditional code analysis to better fit these systems and discusses implications for practitioners once robust static analysis tools become available

研究の動機と目的

• 分散型マイクロサービス開発に起因するクラウドネイティブシステムにおけるアーキテクチャ劣化の課題に対処すること。
• 複数の独立したコードベースにまたがる包括的システムレベルの解析を妨げる、従来の静的解析ツールの欠落を特定すること。
• スケーラブルにセキュリティ、ビジネスロジック、データモデルといった横断的 concern をサポートするよう、静的解析のアプローチを転換すること。
• サービス間の依存関係や重複定義を分析することで、システム全体の整合性チェックとポリシー準拠を可能にすること。
• 静的解析を通じて、アーキテクトと開発者に統合的で視覚的かつ推論ベースのシステムアーキテクチャのインサイトを提供すること。

提案手法

• 複数のマイクロサービスコードベースにまたがる中間表現を分析・相関させるプロトタイプツールの開発。
• 静的解析を用いて、セキュリティポリシー、データモデル、ビジネスロジックといった複製された concern 間の不一致を検出すること。
• アクセスポリシーの一貫性を検証し、悪しき臭い（bad smells）のようなアーキテクチャ的アンチパターンを検出するために、推論エンジンを統合すること。
• 静的解析を用いたソフトウェアアーキテクチャ再構築（SAR）技術を適用し、システム全体のアーキテクチャビューを生成すること。
• 3D拡張現実（AR）スケッチを含む可視化技術を検討し、システムアーキテクチャとサービス間関係を表現すること。
• ルール管理の中央集権化とサービス間の一貫性向上を図るため、構成サーバーおよびフレームワーク（例：Drools）を活用すること。

実験結果

リサーチクエスチョン

• RQ1 分散型マイクロサービスコードベースにまたがるアーキテクチャ劣化を検出するため、静的解析をどのように適合させられるか。
• RQ2 独立して開発されたマイクロサービス間で、横断的 concern（例：セキュリティ、データモデル）を一貫して強制するためのメカニズムは何か。
• RQ3 動的テレメトリーやランタイムインストルメンテーションに依存せずに、静的解析ツールがどのように包括的でシステムレベルの視点を提供できるか。
• RQ4 静的解析は、複数のマイクロサービスにまたがるビジネスロジックおよびポリシー定義の包括的整合性チェックをどのように支援できるか。
• RQ5 中間表現と推論エンジンは、サービス間のアーキテクチャ解析を可能にするために、どのように役立つか。

主な発見

• 従来の静的解析は、単一のコードベースに焦点を当てているため、クラウドネイティブシステムには不十分であり、横断的 concern の重複や不整合が管理されない。
• 共通の定義（例：データモデル、セキュリティルール）を分析することで、静的解析はマイクロサービス間でアーキテクチャ的ズレやポリシー不整合を検出できる。
• 中間表現の統合により、コードベースをまたがる解析が可能になり、包括的なシステムビューとより良い整合性チェックが実現できる。
• 推論ベースの静的解析は、アクセスポリシーの一貫性の不整合や、重複したロジックや整合性のない制約といったアーキテクチャ的アンチパターンを特定できる。
• 3D拡張現実を含む可視化技術は、複雑なマイクロサービスアーキテクチャを効果的に表現でき、ステークホルダー間のコミュニケーションを支援する。
• 静的解析を構成サーバーおよびルールエンジン（例：Drools）と統合することで、ポリシーの中央集権的管理が可能になり、保守性が向上する。