[论文解读] Compositional Model Checking of Consensus Protocols Specified in TLA+ via Interaction-Preserving Abstraction

Xiaosong Gu, Wei Cao+4 more|arXiv (Cornell University)|Feb 23, 2022

Service-Oriented Architecture and Web Services被引用 5

一句话总结

本文提出交互保持抽象（IPA），一种用于共识协议TLA+规格说明的组合式模型检测框架，通过抽象内部逻辑同时保持模块间交互，有效缓解状态空间爆炸问题。该方法实现了Raft与ParallelRaft的高效、可扩展验证，在Raft中将模型检测成本降低4倍以上，在PRaft中显著缩短运行时间，具备在工业场景中的实际应用价值。

ABSTRACT

Consensus protocols are widely used in building reliable distributed software systems and its correctness is of vital importance. TLA+ is a lightweight formal specification language which enables precise specification of system design and exhaustive checking of the design without any human effort. The features of TLA+ make it widely used in the specification and model checking of consensus protocols, both in academia and industry. However, the application of TLA+ is limited by the state explosion problem in model checking. Though compositional model checking is essential to tame the state explosion problem, existing compositional checking techniques do not sufficiently consider the characteristics of TLA+. In this work, we propose the Interaction-Preserving Abstraction (IPA) framework, which leverages the features of TLA+ and enables practical and efficient compositional model checking of consensus protocols specified in TLA+. In the IPA framework, system specification is partitioned into multiple modules, and each module is divided to the internal part and the interaction part. The basic idea of the interaction-preserving abstraction is to omit the internal part of each module, such that another module cannot distinguish whether it is interacting with the original module or the coarsened abstract one. We use the IPA framework to the compositional checking of the TLA+ specification of two consensus protocols Raft and ParallelRaft. Raft is a consensus protocol which is originally developed in the academia and then widely used in industry. ParallelRaft is the replication protocol in PolarFS, the distributed file system for the commercial database Alibaba PoloarDB. We demonstrate that the IPA framework is easy to use in realistic scenarios and at the same time significantly reduces the model checking cost.

研究动机与目标

• 解决TLA+共识协议模型检测中的状态爆炸问题，该问题限制了可扩展性与实际应用。
• 克服现有组合式技术的局限性，这些技术未考虑TLA+特有的规格描述风格。
• 通过TLA+实现对工业级共识协议（如Raft与ParallelRaft）的高效、可扩展验证。
• 开发一个可无缝集成到真实世界协议设计与验证工作流中的实用框架。

提出的方法

• 将TLA+规格说明划分为多个模块，每个模块包含内部逻辑与交互部分。
• 通过移除内部逻辑实现交互保持抽象，确保外部模块无法区分抽象版本与原始版本。
• 利用TLA+的全局状态模型与轻量形式化特性，定义保留关键行为接口的抽象。
• 通过TLC在完全自动化的组合式模型检测过程中使用抽象模块。
• 根据协议复杂度选择抽象层级，重点在不损失验证正确性的前提下最小化状态空间。
• 在两个真实协议上验证该框架：Raft（学术场景）与ParallelRaft（工业场景，用于PolarFS）。

实验结果

研究问题

• RQ1 在保持正确性的同时，能否有效将组合式模型检测应用于TLA+规格的共识协议？
• RQ2 如何对TLA+模块进行抽象，以确保组件间交互的一致性？
• RQ3 IPA框架在真实、复杂的共识协议中能将模型检测成本降低多少？
• RQ4 IPA框架是否可在实际工业环境中应用，其中TLA+被用于协议规格说明与验证？
• RQ5 IPA的有效性在不同设计结构的协议（如Raft与ParallelRaft）之间如何变化？

主要发现

• IPA框架显著降低了模型检测成本，Raft的代价比超过4.3，且由于保守的时间限制，实际节省可能更高。
• 在Raft案例中，直接模型检测达到200小时时间限制，表明IPA使原本不可行的验证成为可能。
• 对于ParallelRaft，代价比约为3，反映出由于性能优化导致可抽象的内部逻辑比例较小。
• 尽管代价比偏低，IPA在PRaft中仍带来显著的时间节省，使其在工业应用中极具实用性。
• 对于熟悉协议设计的开发人员而言，抽象过程直观且直接，可无缝集成到现有验证工作流中。
• 该框架不仅适用于学术协议（如Raft），也适用于复杂工业协议（如ParallelRaft），展现出广泛的适用性。