[论文解读] An Automata-Theoretic Approach to the Verification of Distributed Algorithms

C. Aiswarya, Benedikt Bollig+1 more|arXiv (Cornell University)|Jan 1, 2015

Formal Methods in Verification参考文献 8被引用 2

一句话总结

本论文提出一种基于自动机理论的方法，利用轮次有界模型检测来验证环形网络上的分布式算法。通过将执行过程符号化地编码为字符串，并将验证问题约化为交替双向自动机的空性检查，该方法在验证关于进程、寄存器和唯一进程标识符（pid）的逻辑表达的正确性属性时达到 PSPACE 完全性。

ABSTRACT

We introduce an automata-theoretic method for the verification of distributed algorithms running on ring networks. In a distributed algorithm, an arbitrary number of processes cooperate to achieve a common goal (e.g., elect a leader). Processes have unique identifiers (pids) from an infinite, totally ordered domain. An algorithm proceeds in synchronous rounds, each round allowing a process to perform a bounded sequence of actions such as send or receive a pid, store it in some register, and compare register contents wrt. the associated total order. An algorithm is supposed to be correct independently of the number of processes. To specify correctness properties, we introduce a logic that can reason about processes and pids. Referring to leader election, it may say that, at the end of an execution, each process stores the maximum pid in some dedicated register. Since the verification of distributed algorithms is undecidable, we propose an underapproximation technique, which bounds the number of rounds. This is an appealing approach, as the number of rounds needed by a distributed algorithm to conclude is often exponentially smaller than the number of processes. We provide an automata-theoretic solution, reducing model checking to emptiness for alternating two-way automata on words. Overall, we show that round-bounded verification of distributed algorithms over rings is PSPACE-complete.

研究动机与目标

• 解决在进程数量无界和数据域无限时验证分布式算法的固有不可判定性问题。
• 无论环中进程数量如何，均实现对正确性属性（如领导者选举）的自动验证。
• 开发一种基于符号化有限字符串的分布式执行表示方法，以捕捉进程行为、pid 比较和寄存器更新。
• 通过限制轮次数，建立可判定的验证框架，该限制通常远小于进程数量的指数级规模。
• 为验证参数化、数据丰富的分布式系统奠定逻辑与自动机理论基础。

提出的方法

• 将分布式算法的轮次有界执行表示为有限转移字母表上的字符串，包括 pid 比较和寄存器操作。
• 将算法行为转化为 LCPDL 公式 ψD，通过检查相等性和小于关系守卫的一致性来刻画可行的符号化执行。
• 使用路径自动机 Ah_r 跟踪寄存器中存储的 pid 在各转移之间的来源，以支持对 pid 比较的推理。
• 将正确性属性 ϕ 的验证约化为语言 L(ψD ∧ ¬eϕ) 的空性检查，其中 eϕ 是属性 ϕ 的 LCPDL 翻译。
• 在 LCPDL 中使用循环和反向模态，通过基于路径的来源检查来表达守卫的一致性，如 r = r′ 或 r < r′。
• 将模型检测问题约化为单词上的交替双向自动机的空性问题，从而实现 PSPACE 算法。

实验结果

研究问题

• RQ1 通过限制轮次数，能否在进程无界和数据域无限的分布式算法验证中实现可判定性？
• RQ2 如何使用一种能推理进程、pid 和寄存器内容的逻辑，形式化指定正确性属性（如领导者选举）？
• RQ3 能否将轮次有界的分布式算法验证约化为可判定的自动机理论问题？
• RQ4 轮次有界验证在环形架构的分布式算法上的计算复杂度是多少？
• RQ5 是否能够使用带有循环和反向模态的命题动态逻辑，对符号化执行中 pid 比较（相等性和顺序性）的一致性进行编码？

主要发现

• 本论文确立了环形网络上分布式算法的轮次有界验证为 PSPACE 完全，提供了紧致的复杂度界。
• 该方法将验证问题约化为单词上的交替双向自动机的空性问题，该问题是可判定的且处于 PSPACE 复杂度类。
• 作者提出了一个逻辑（DataPDL⊖）及其向 LCPDL 的翻译，可表达领导者选举等正确性属性，即每个进程存储最大 pid。
• 通过 LCPDL 中的循环和反向模态验证符号化执行中相等性和小于关系守卫的一致性，确保不会出现矛盾的 pid 比较。
• 根据引理 13，DataPDL⊖ 到 LCPDL 的翻译是正确且完备的，确保模型检测能正确约化为自动机空性检查。
• 该框架具有鲁棒性和可扩展性，只要 LCPDL 在底层字词结构上是可判定的，即可推广至其他架构。