[论文解读] Effectively Nonblocking Consensus Procedures Can Execute Forever - a Constructive Version of FLP

Robert L. Constable|arXiv (Cornell University)|Sep 15, 2011

Distributed systems and fault tolerance参考文献 11被引用 5

一句话总结

本文提出了一种 FLP 不可能结果的构造性证明，通过显式构造一个无限且永不终止的执行过程，证明了有效非阻塞的一致性协议可以永远运行下去。利用计算类型理论和有效二值性，该方法提供了一种算法化方法来生成此类执行过程，从而为异步系统中一致性协议故障的模拟与分析提供了实用途径。

ABSTRACT

The Fischer-Lynch-Paterson theorem (FLP) says that it is impossible for processes in an asynchronous distributed system to achieve consensus on a binary value when a single process can fail; it is a widely cited theoretical result about network computing. All proofs that I know depend essentially on classical (nonconstructive) logic, although they use the hypothetical construction of a nonterminating execution as a main lemma. FLP is also a guide for protocol designers, and in that role there is a connection to an important property of consensus procedures, namely that they should not block, i.e. reach a global state in which no process can decide. A deterministic fault-tolerant consensus protocol is effectively nonblocking if from any reachable global state we can find an execution path that decides. In this article we effectively construct a nonterminating execution of any such protocol. That is, given any effectively nonblocking protocol P and a natural number n, we show how to compute the n-th step of an infinitely indecisive computation of P. From this fully constructive result, the classical FLP follows as a corollary as well as a stronger classical result, called here Strong FLP. Moreover, the construction focuses attention on the important role of nonblocking in protocol design. An interesting consequence of the constructive proof is that we can, in principle, build an undefeatable attacker for a consensus protocol that is provably correct, indeed because it is provably correct. We can do this in practice on certain kinds of networks.

研究动机与目标

• 为异步分布式系统中的一致性问题提供一种构造性、有效化的 FLP 不可能结果版本。
• 定义并实现‘有效二值性’，作为 FLP 证明中经典二值性的计算上有意义的替代概念。
• 证明：对于任何可证明正确的共识协议，均可显式构造出一个永不终止的执行过程。
• 利用 Nuprl 和 Coq 等形式化验证工具，实现阻塞场景与无限执行过程的自动生成。
• 通过提取可执行见证，弥合非构造性 FLP 证明与实际协议分析之间的鸿沟。

提出的方法

• 引入‘有效非阻塞’作为非阻塞的构造性变体，基于计算类型理论和形式化验证。
• 定义‘v-可能执行’，并利用它来有效判定二值性，避免经典 FLP 证明中非有效性的‘值态’概念。
• 应用‘一步引理’，在给定一个二值状态和一个进程的前提下，构造一个新的具有完整 i-分叉的二值状态，从而实现无限执行过程的迭代构造。
• 开发一个程序（包含不变式和循环结构），系统性地遍历执行路径以逼近二值状态，使用路径见证函数如 wt(s, Qi)。
• 利用操作的可交换性，将决策路径在等价系统状态间转移，确保永不终止执行过程构造的一致性。
• 利用形式化证明系统（如 Nuprl、Coq）从构造性证明中提取可执行代码，从而实现无限运行的自动生成。

实验结果

研究问题

• RQ1 能否从任何可证明正确的共识协议中有效构造出一个永不终止的执行过程？
• RQ2 如何将经典的 FLP 不可能结果重构为构造性形式，以生成非终止性的可执行见证？
• RQ3 有效二值性在实现共识协议中无限执行过程的算法化构造中起到什么作用？
• RQ4 形式化验证工具能否提取出实际的执行序列，以展示在异步环境下协议失败的情形？
• RQ5 有效非阻塞的概念如何提升共识协议设计的实际分析能力？

主要发现

• 存在一个显式算法，可为任何有效非阻塞共识协议构造出无限且永不终止的执行过程，证明此类协议可永远徘徊不前。
• 一步引理提供了一种构造性方法，可生成一个具有完整 i-分叉的新二值状态，从而支持永不终止执行过程的迭代构造。
• 有效二值性使得经典二值性中非有效性的概念得以替换为具有计算意义的概念，使 FLP 证明可被提取为可执行代码。
• 构造性证明使得借助 Nuprl 等工具自动生成阻塞场景与无限执行过程成为可能，这些工具可提取见证函数。
• 研究结果表明，即使在形式上可证明正确的共识协议，也可能被一个不可战胜的对手通过强制非终止性而攻破，且该攻击在特定网络中可实际实现。
• 该方法为模拟和调试共识协议提供了实用途径，可生成实际的永不终止执行过程，而非仅理论假设。