[论文解读] Elle: Inferring Isolation Anomalies from Experimental Observations

Kyle Kingsbury, Peter Alvaro|arXiv (Cornell University)|Mar 23, 2020

Distributed systems and fault tolerance参考文献 24被引用 10

一句话总结

Elle 是一种新颖、可靠、高效且信息丰富的检查器，通过从客户端可观察的事务历史推断依赖图，检测黑盒数据库中的隔离异常。它利用可追踪、可恢复的数据类型（如仅追加列表），以线性时间性能检测并解释 G0、G1a、G1b、G1c、G-single、G2、脏更新、垃圾读取、重复写入以及内部一致性违规，同时提供人类可读的证据。

ABSTRACT

Users who care about their data store it in databases, which (at least in principle) guarantee some form of transactional isolation. However, experience shows [Kleppmann 2019, Kingsbury and Patella 2019a] that many databases do not provide the isolation guarantees they claim. With the recent proliferation of new distributed databases, demand has grown for checkers that can, by generating client workloads and injecting faults, produce anomalies that witness a violation of a stated guarantee. An ideal checker would be sound (no false positives), efficient (polynomial in history length and concurrency), effective (finding violations in real databases), general (analyzing many patterns of transactions), and informative (justifying the presence of an anomaly with understandable counterexamples). Sadly, we are aware of no checkers that satisfy these goals. We present Elle: a novel checker which infers an Adya-style dependency graph between client-observed transactions. It does so by carefully selecting database objects and operations when generating histories, so as to ensure that the results of database reads reveal information about their version history. Elle can detect every anomaly in Adya et al's formalism [Adya et al. 2000] (except for predicates), discriminate between them, and provide concise explanations of each. This paper makes the following contributions: we present Elle, demonstrate its soundness, measure its efficiency against the current state of the art, and give evidence of its effectiveness via a case study of four real databases.

研究动机与目标

• 解决现有检查器在验证真实数据库中的事务隔离时缺乏可靠性、高效性、有效性、通用性和信息性的问题。
• 克服现有工具依赖手工证明的不变量、固定异常模式或 NP 完全求解器的局限性。
• 在无需访问数据库内部机制的前提下，检测任意事务模式下的多种异常类型。
• 通过从可观测的读取和写入操作推断依赖图，生成简洁、人类可读的异常解释。
• 弥合理论隔离形式化（Adya 等人）与真实世界数据库黑盒测试之间的差距。

提出的方法

• 从客户端观察到的事务中构建 Adya 风格的依赖图，利用读写操作推断可见性和提交顺序。
• 使用可追踪和可恢复的数据类型——特别是仅追加列表——使得每个对象的每个版本唯一对应一个事务，从而精确推断版本历史。
• 在依赖图中应用环检测，识别 G0、G1a、G1b、G1c、G-single 和 G2 等隔离异常。
• 利用实时和进程内依赖关系，检测涉及时间顺序和崩溃行为的异常。
• 采用无约束、线性时间的算法，其性能随历史长度线性增长，且在并发度上近乎恒定，避免使用 NP 完全求解器。
• 生成简洁、人类可读的反例，明确说明特定异常发生的原因，精确定位问题事务及其执行顺序。

实验结果

研究问题

• RQ1 黑盒数据库检查器能否在不依赖手工证明不变量的前提下，检测所有标准隔离异常（G0、G1a、G1b、G1c、G-single、G2）？
• RQ2 是否仅通过读取操作返回的值和访问的对象，就能从客户端可观测操作中推断出事务依赖图？
• RQ3 此类检查器能否在保持线性时间复杂度（与历史长度成线性关系）的同时，扩展到包含数十万笔事务的真实历史记录？
• RQ4 检查器能否区分不同类型的异常，并为每类异常提供信息丰富、人类可读的解释？
• RQ5 该方法能否推广至任意事务模式，并支持多种隔离级别，包括较弱的隔离级别（如读已提交或快照隔离）？

主要发现

• Elle 是可靠的：其报告的任何异常在所有对观察历史的解释中都必然存在，确保无误报。
• Elle 是高效的：其运行时间与历史长度成线性关系，且在并发度上近乎恒定，优于线性一致性检查器和基于约束求解器的检查器。
• Elle 是有效的：在所有测试的真实数据库中均检测到异常，包括内部不一致、已中止读取和反向依赖环。
• Elle 是通用的：它适用于任意事务模式下的可追踪和可恢复数据类型（如仅追加列表），这类类型在现代数据库中广泛支持。
• Elle 是信息丰富的：它生成简短、人类可读的证据，明确说明导致每类异常的具体事务和操作，有助于调试。
• Elle 能够检测广泛的异常类型，包括脏更新、垃圾读取、重复写入以及内部一致性违规，远超串行可串行化违规的检测范围。