[論文レビュー] Using Alloy to Formally Model and Reason About an OpenFlow Network Switch

Saber Mirzaei, Sanaz Bahargam+3 more|arXiv (Cornell University)|Mar 31, 2016

Software-Defined Networks and 5G参考文献 15被引用数 6

ひとこと要約

この論文は、一階論理に基づく軽量なモデル化言語であるAlloyを用いて、OpenFlowネットワークスイッチの形式的モデルを提示し、フローテーブル照合、アクション適用、状態遷移などの静的および動的動作を検証する。主な貢献は、自動モデル検査を用いてSDN環境における構成不一致、競合ルール、転送ループを検出する検証可能なフレームワークを提供することである。

ABSTRACT

Openflow provides a standard interface for separating a network into a data plane and a programmatic control plane. This enables easy network reconfiguration, but introduces the potential for programming bugs to cause network effects. To study OpenFlow switch behavior, we used Alloy to create a software abstraction describing the internal state of a network and its OpenFlow switches. This work is an attempt to model the static and dynamic behaviour a network built using OpenFlow switches.

研究の動機と目的

• 軽量な仕様言語を用いて、OpenFlowスイッチの静的および動的動作を形式的にモデル化すること。
• ルールの競合、転送ループ、誤ったアクション適用などのネットワーク特性の自動検証を可能にすること。
• 実際のSDN展開前に、構成バグや不整合を検出するための研究者を支援すること。
• モデル検査を用いて、OpenFlowスイッチ動作に関する軽量でスケーラブルな形式的手法を提供すること。
• 将来のマルチコントローラーおよび動的ネットワーク更新シナリオの検証の基盤を築くこと。

提案手法

• Alloyのシグネチャ、関係、事実を用いて、フローテーブル、メッセージバッファリング、状態遷移といったOpenFlowスイッチコンポONENTをモデル化する。
• メッセージ受信、転送、パイプライン初期化、アクション適用といったスイッチ動作の主要な部分を表す述語を定義する。
• 論理的制約を用いて、スイッチ状態間の状態遷移をエンコードし、1ステップで1つの遷移タイプのみが発生することを保証する。
• Alloy Analyzerを用いて、モデルをブール式に変換し、SATソルバを用いて解くことでモデル検査を実行する。
• アサーションによる性質の検証と反例生成により、望ましいネットワーク不変条件の違反を検出する。
• 有限状態空間としてネットワーク状態を表現し、スコープを限定することで、システム動作の網羅的探索を可能にする。

実験結果

リサーチクエスチョン

• RQ1 Alloyは、OpenFlowスイッチの内部状態と動作を形式的かつ機械検査可能な方法で効果的にモデル化できるか？
• RQ2 モデル化されたスイッチ動作における状態遷移の過程で、競合するフロールールや転送ループが生じるか？
• RQ3 異なるスイッチ状態間で、アクション適用やメッセージ処理の不整合がモデルで検出可能か？
• RQ4 Alloyによるモデル検査は、実際のSDNネットワークへの展開前に、構成バグをどのように特定できるか？
• RQ5 複雑なマルチコントローラー環境や動的ネットワーク更新シナリオのモデル化において、このアプローチの限界は何か？

主な発見

• Alloyモデルは、フローテーブル照合やアクション適用を含め、OpenFlowスイッチの静的構造と動的動作を効果的に捉えている。
• モデルチェッカーは、不正な状態遷移の反例を生成し、構成エラーの検出能力を実証した。
• 状態間の排他的な遷移を保証するための述語が定義され、スイッチ動作の正しさが強制された。
• 自動解析を用いて、ルールの競合や転送ループといった重要なネットワーク特性の検証が可能である。
• 完全なネットワークシミュレーションを必要とせず、軽量でスケーラブルなOpenFlowスイッチ動作の検証が可能である。
• このフレームワークは拡張可能であり、将来の作業においてスケジューリングの競合やコントローラー相互作用の検証に利用できる。