[论文解读] Auxiliary Variables in TLA+

Leslie Lamport, Stephan Merz|arXiv (Cornell University)|Mar 15, 2017

Cryptographic Implementations and Security参考文献 4被引用 12

一句话总结

本文提出了形式化规则，可在不改变语义的前提下，安全地向 TLA+ 规范添加三种类型的辅助变量——历史变量、预言变量和停顿变量。通过验证一个简化的快照算法，展示了这些变量如何通过捕捉系统过去、未来或空闲行为，实现正确的细化映射，并通过 TLC 模型检查证明了正确性。

ABSTRACT

Auxiliary variables are often needed for verifying that an implementation is correct with respect to a higher-level specification. They augment the formal description of the implementation without changing its semantics--that is, the set of behaviors that it describes. This paper explains rules for adding history, prophecy, and stuttering variables to TLA+ specifications, ensuring that the augmented specification is equivalent to the original one. The rules are explained with toy examples, and they are used to verify the correctness of a simplified version of a snapshot algorithm due to Afek et al.

研究动机与目标

• 为在 TLA+ 规范中添加辅助变量提供实用且形式化的规则，以支持细化而不改变系统语义。
• 通过引入可追踪过去行为（历史）、预测未来行为（预言）或建模空闲步骤（停顿）的辅助变量，解决复杂并发系统验证的挑战。
• 通过 Afek 等人提出的简化快照算法的正式验证，展示这些规则的实用性。
• 表明这些辅助变量可在实践中有效使用，克服早期预言变量方法的局限性。

提出的方法

• 引入历史变量以记录系统过去的状态，使用析取表示法，确保原始规范与增强规范之间的等价性。
• 提出单重预测和基于数组的预言变量，以预测未来系统行为，通过定义性约束和活锁保持确保正确性。
• 定义停顿变量以建模不改变实际变量的步骤，从而支持保持活锁和安全性的细化映射。
• 应用细化映射将高层规范与底层实现关联，通过变量替换将增强变量映射到原始变量。
• 使用 TLC 模型检查器验证细化映射的正确性，包括具有对称性和状态约束的复杂情况。
• 采用模块化规范方法，结合模块、不变量和公平性条件，确保增强规范中的安全性和活锁性。

实验结果

研究问题

• RQ1 如何以保持与原始规范语义等价的方式，向 TLA+ 规范添加历史变量？
• RQ2 哪些形式化规则可确保预言变量正确预测未来系统行为而不改变语义？
• RQ3 如何引入停顿变量以建模空闲步骤，同时保持安全性和活锁性质？
• RQ4 这些辅助变量能否在实践中有效用于验证线性可快照算法？
• RQ5 细化映射在使用辅助变量将高层规范与底层实现连接起来的过程中起什么作用？

主要发现

• 本文成功使用历史、预言和停顿变量验证了一个简化快照算法，表明这些辅助变量可保持语义等价性。
• 使用单重预测和基于数组的预言变量，可在 TLA+ 中实现实用且正确的未来行为预测规范。
• 发现停顿变量在建模空闲步骤方面比使用预言变量更有效，提升了清晰度和可维护性。
• 使用 TLC 对 Afek 等人快照算法到线性可快照规范的细化映射进行了正式验证，耗时约 10 小时（在 2012 年款笔记本电脑上）。
• 模型检查器在对称性约束下成功验证了该规范，包含两个读取者、两个写入者和两个寄存器值，确认了正确性。
• 作者得出结论：与早期表述相比，他们提出的新型预言变量方法在实践中更易于使用。