[论文解读] Towards an Automatic Proof of Lamport's Paxos

Aman Goel, Karem A. Sakallah|arXiv (Cornell University)|Aug 19, 2021

Formal Methods in Verification参考文献 70被引用 12

一句话总结

该论文提出IC3PO，一种新型模型检测器，通过利用三种结构特征——空间规则性（通过对称性增强）、时间规则性（通过范围增强）和分层组合（通过分层强化）——自动推断拉姆波特Paxos共识协议的归纳不变量。其主要贡献在于首次实现了对拉姆波特原始Paxos规范的手动推导、人类可读不变量的全自动推断，显著降低了验证工作量。

ABSTRACT

Lamport's celebrated Paxos consensus protocol is generally viewed as a complex hard-to-understand algorithm. Notwithstanding its complexity, in this paper, we take a step towards automatically proving the safety of Paxos by taking advantage of three structural features in its specification: spatial regularity in its unordered domains, temporal regularity in its totally-ordered domain, and its hierarchical composition. By carefully integrating these structural features in IC3PO, a novel model checking algorithm, we were able to infer an inductive invariant that identically matches the human-written one previously derived with significant manual effort using interactive theorem proving. While various attempts have been made to verify different versions of Paxos, to the best of our knowledge, this is the first demonstration of an automatically-inferred inductive invariant for Lamport's original Paxos specification. We note that these structural features are not specific to Paxos and that IC3PO can serve as an automatic general-purpose protocol verification tool.

研究动机与目标

• 为解决复杂分布式协议（如Paxos）推导归纳不变量所需的高人为工作量问题。
• 克服现有验证工具依赖交互式定理证明或仅限于简化协议变体的局限性。
• 通过利用协议固有的结构规则性，实现对无界、参数化分布式协议的自动、可扩展验证。
• 证明IC3PO能够在无手动干预的情况下，为拉姆波特原始Paxos协议推断出紧凑且人类可读的归纳不变量。

提出的方法

• 将有限域IC3/PDR扩展为支持对称性增强，以利用无序进程集合中的空间规则性，实现对称进程副本的自动量词推断。
• 引入范围增强机制，以处理全序域（如序列号）中的时间规则性，支持对无限或大范围的量化推理。
• 采用分层强化策略，优先验证高层抽象，并重用其不变量作为底层协议的强化断言。
• 使用带SMT求解的增量归纳法执行向后可达性检查，通过符号对称性和范围分析将学习到的子句泛化为量化不变量。
• 集成有限收敛保证，确保在有限实例上推理过程的正确性与完备性。
• 将该框架应用于Paxos抽象的四级分层结构（投票 → SimplePaxos → ImplicitPaxos → Paxos），通过自顶向下的抽象逐步精炼不变量。

实验结果

研究问题

• RQ1 自动化模型检测器能否在无手动引导的情况下，为拉姆波特原始Paxos协议推断出正确且紧凑的归纳不变量？
• RQ2 如何利用全序域（如序列号）中的时间规则性，将有限状态推理推广至无界协议？
• RQ3 通过不变量重用的分层抽象能否提升复杂分布式协议验证的可扩展性与自动化程度？
• RQ4 对称性、范围和层次结构在多大程度上能够支持自动推断出与人工书写证明相匹配的量化不变量？

主要发现

• IC3PO成功推断出与先前工作中手动推导的、人类可读的拉姆波特原始Paxos协议归纳不变量在逻辑上等价的不变量。
• 在四级分层结构（从Voting到Paxos）中，各层推断出的不变量简洁且语义清晰，与已知证明的结构一致。
• 在相同问题上，该工具在I4、UPDR、fol-ic3和SWISS等其他验证器中表现更优，SMT查询次数显著减少，可扩展性更强。
• 范围增强机制有效支持了对无限或大范围全序域的推理，将增量归纳法从有限状态系统扩展至无界系统。
• 对称性与分层强化显著减少了对人工干预的需求，证明协议中的结构特征可被有效利用以实现不变量推断的自动化。
• 评估结果证实，IC3PO可扩展至复杂协议，并在推导出正确且可读的不变量方面实现了完全自动化。