[论文解读] Model Checking Data Flows in Concurrent Network Updates (Full Version)

Bernd Finkbeiner, Manuel Gieseking+2 more|arXiv (Cornell University)|Jul 25, 2019

Software-Defined Networks and 5G参考文献 39被引用 5

一句话总结

本文提出一种基于带转移的佩特里网与Flow-LTL的模型检测方法，用于验证软件定义网络（SDN）中并发网络更新的数据流正确性。该方法通过Flow-LTL指定时间流属性，将无限状态验证问题转化为LTL的电路模型检查问题，从而利用ABC等工具实现高效验证，并在真实网络拓扑上展现出良好的可扩展性。

ABSTRACT

We present a model checking approach for the verification of data flow correctness in networks during concurrent updates of the network configuration. This verification problem is of great importance for software-defined networking (SDN), where errors can lead to packet loss, black holes, and security violations. Our approach is based on a specification of temporal properties of individual data flows, such as the requirement that the flow is free of cycles. We check whether these properties are simultaneously satisfied for all active data flows while the network configuration is updated. To represent the behavior of the concurrent network controllers and the resulting evolutions of the configurations, we introduce an extension of Petri nets with a transit relation, which characterizes the data flow caused by each transition of the Petri net. For safe Petri nets with transits, we reduce the verification of temporal flow properties to a circuit model checking problem that can be solved with effective verification techniques like IC3, interpolation, and bounded model checking. We report on encouraging experiments with a prototype implementation based on the hardware model checker ABC.

研究动机与目标

• 为解决在软件定义网络（SDN）中并发网络配置更新期间验证数据流正确性的挑战。
• 克服现有方法依赖一致更新的局限性，后者效率低且资源消耗大。
• 仅在必要时验证特定并发更新，最大限度减少性能开销。
• 支持对复杂真实网络拓扑的高可扩展性验证。

提出的方法

• 扩展标准佩特里网，引入转移关系，以精确建模转换输入与输出令牌之间的数据流。
• 提出Flow-LTL，一种线性时间时序逻辑，允许为单个数据流时间线独立指定属性，不受其他流影响。
• 将带转移的无限状态佩特里网对Flow-LTL的验证问题，约简为有限状态LTL模型检查问题。
• 将所得LTL问题转化为硬件电路模型检查问题，以实现高效分析。
• 采用IC3、插值和基于ABC硬件模型检查器的有界模型检查等成熟验证技术。
• 通过原型实现，在真实网络配置上评估了可扩展性。

实验结果

研究问题

• RQ1 是否可以在不强制要求一致更新的前提下，验证并发网络更新期间的数据流正确性？
• RQ2 在存在并发配置变更的情况下，如何形式化指定并检查单个数据流的时间属性？
• RQ3 能否将并发网络更新的无限状态行为约简为有限状态验证问题？
• RQ4 该方法在具有复杂路由更新的真实网络拓扑上的可扩展性如何？
• RQ5 现有硬件验证工具能否被有效重用于网络配置验证？

主要发现

• 该方法成功将并发网络更新中数据流属性的验证约简为电路模型检查，从而可利用成熟的验证工具（如ABC）进行处理。
• 基于ABC的原型实现展现出良好的可扩展性，验证时间在不同网络拓扑上从不足1秒到超过1500秒不等。
• IC3在大多数基准测试中表现良好，在25个测试用例中的15个上验证时间低于1000秒；而BMC3在较小实例上速度更快。
• 对于更大、更复杂的拓扑（如KentmanJan2011和Iinet），IC3验证超时（TO），表明其可扩展性存在局限。
• 该方法成功验证了真实网络更新中的数据流属性，如无环性与正确转发，包括Belnet2009和Garr200404等复杂拓扑。