[论文解读] Counter Attack on Byzantine Generals: Parameterized Model Checking of Fault-tolerant Distributed Algorithms

Annu John, Igor Konnov+3 more|arXiv (Cornell University)|Oct 14, 2012

Distributed systems and fault tolerance参考文献 53被引用 15

一句话总结

本文提出了一种用于容错分布式算法（FTDA）的参数化模型检测技术，采用参数化区间抽象（PIA）将由进程数 $ n $ 和拜占庭故障数 $ t $ 定义的无限状态、参数化系统简化为有限状态模型。通过结合数据抽象与一种新型计数器抽象，该方法实现了在满足如 $ n > 3t $ 等弹性条件的所有系统实例中，对安全性和 liveness 性质的自动化验证，并成功实现了对 Srikanth-Toueg 拜占庭广播算法变体的全自动化与可扩展性验证。

ABSTRACT

We introduce an automated parameterized verification method for fault-tolerant distributed algorithms (FTDA). FTDAs are parameterized by both the number of processes and the assumed maximum number of Byzantine faulty processes. At the center of our technique is a parametric interval abstraction (PIA) where the interval boundaries are arithmetic expressions over parameters. Using PIA for both data abstraction and a new form of counter abstraction, we reduce the parameterized problem to finite-state model checking. We demonstrate the practical feasibility of our method by verifying several variants of the well-known distributed algorithm by Srikanth and Toueg. Our semi-decision procedures are complemented and motivated by an undecidability proof for FTDA verification which holds even in the absence of interprocess communication. To the best of our knowledge, this is the first paper to achieve parameterized automated verification of Byzantine FTDA.

研究动机与目标

• 为解决在 $ n > 3t $ 等弹性条件下，以进程数 $ n $ 和最大拜占庭故障数 $ t $ 参数化的容错分布式算法（FTDA）的验证挑战。
• 开发一种可扩展的自动化验证方法，支持在拜占庭故障存在下对安全性和 liveness 性质的验证，其中故障进程可任意行为。
• 通过引入一种可靠抽象技术，克服参数化验证的不可判定性，将无限状态系统简化为适合模型检查的有限状态模型。
• 通过验证具体 FTDAs（包括 Srikanth-Toueg 拜占庭广播算法的变体）在多种弹性条件下的行为，证明方法的实际可行性。
• 提供一种半决策过程，并辅以不可判定性证明，确立该问题的理论边界。

提出的方法

• 核心技术为参数化区间抽象（PIA），其中区间边界为参数 $ n $ 和 $ t $ 的算术表达式，支持基于阈值条件的系统状态抽象。
• 应用数据抽象将无限状态系统简化为有限状态抽象模型，前提为 $ n > 3t $。
• 引入一种新型计数器抽象，用于抽象来自不同进程的消息数量，支持对如“从 $ t+1 $ 个不同进程接收”等阈值条件的推理。
• 通过从抽象系统生成 Promela 模型，将参数化验证问题转化为有限状态模型检查，再使用 Spin 模型检查器进行验证。
• 在原型工具 ByMC 中实现细化循环，利用 SMT 求解（Yices）检测并细化虚假反例，通过谓词抽象和非正当状态检测进行引导。
• 将该方法扩展至处理不同弹性条件，包括 $ f > t $ 或 $ n $ 小于假设值的情况，以测试算法的鲁棒性。

实验结果

研究问题

• RQ1 能否为以 $ n $ 和 $ t $ 参数化的容错分布式算法（含拜占庭故障）开发一种完全自动化的参数化模型检查技术？
• RQ2 是否可能设计一种可靠抽象技术，以捕捉阈值条件和弹性条件（如 $ n > 3t $），同时将系统简化为有限状态模型？
• RQ3 该方法能否在所有参数实例（包括进程数无界的情况）下，对 FTDAs 的安全性和 liveness 性质进行验证？
• RQ4 当应用于实际 FTDAs（如 Srikanth-Toueg 广播算法）时，该方法在实际可扩展性和有效性方面表现如何？
• RQ5 即使在无进程间通信的情况下，验证 FTDAs 的问题是否仍不可判定？这对基于抽象的方法设计有何影响？

主要发现

• 该方法在 $ n > 3t $ 弹性条件下成功验证了 Srikanth-Toueg 拜占庭广播算法的所有变体，多数情况验证时间低于 10 秒。
• 对于 RBC（可靠广播）算法，工具在 $ n eq t eq f $ 条件下确认了正确性，模型检查时间在 3.3GHz 机器上低于 2 秒。
• 在弹性条件被违反的情况下（如 $ f > t $），该方法正确检测到违反情况，如 $ ext{Byz} ot{ vDash} C $ 和 $ ext{Byz} ot{ vDash} R $，检测时间低于 30 秒。
• 原型工具 ByMC（用 OCaml 实现）成功处理了抽象、计数器抽象和细化循环，在复杂情况（如 $ ext{Byz} ot{ vDash} R $）下最多支持 20 步细化。
• 该工具可扩展至最多 24,656 个状态（如 $ ext{Byz} ot{ vDash} R $），内存使用量低于 175 MB，证明了其实际可行性。
• 已建立 FTDAs 即使在无进程间通信时仍不可判定的不可判定性证明，确认了基于抽象方法的必要性，并验证了该方法的理论基础。