[论文解读] Preventing Atomicity Violations with Contracts

Diogo Sousa, Ricardo J. Dias+2 more|arXiv (Cornell University)|May 12, 2015

Distributed systems and fault tolerance参考文献 50被引用 5

一句话总结

本文提出了一种并发契约机制，通过指定必须以原子方式执行的方法调用序列，防止并发程序中的原子性违规。基于控制流和数据流的静态分析方法验证客户端程序是否遵守这些契约，确保即使单个方法被同步，程序仍保持正确性。该方法已在真实软件中得到验证，包括在 Apache Tomcat 6.0 中发现并迅速修复的一个关键错误。

ABSTRACT

Software developers are expected to protect concurrent accesses to shared regions of memory with some mutual exclusion primitive that ensures atomicity properties to a sequence of program statements. This approach prevents data races but may fail to provide all necessary correctness properties.The composition of correlated atomic operations without further synchronization may cause atomicity violations. Atomic violations may be avoided by grouping the correlated atomic regions in a single larger atomic scope. Concurrent programs are particularly prone to atomicity violations when they use services provided by third party packages or modules, since the programmer may fail to identify which services are correlated. In this paper we propose to use contracts for concurrency, where the developer of a module writes a set of contract terms that specify which methods are correlated and must be executed in the same atomic scope. These contracts are then used to verify the correctness of the main program with respect to the usage of the module(s). If a contract is well defined and complete, and the main program respects it, then the program is safe from atomicity violations with respect to that module. We also propose a static analysis based methodology to verify contracts for concurrency that we applied to some real-world software packages. The bug we found in Tomcat 6.0 was immediately acknowledged and corrected by its development team.

研究动机与目标

• 解决在组合第三方模块的同步方法时发生的原子性违规问题，即使单个方法是线程安全的。
• 提供一种形式化机制，用于指定哪些方法调用序列必须以原子方式执行，以保持正确性。
• 开发一种静态分析技术，验证客户端程序是否符合模块契约，确保相关操作的原子性。
• 通过基于契约的验证实现原子性违规的早期检测，从而提高并发系统中的软件可靠性。

提出的方法

• 作者将契约定义为公共方法上的无星正则表达式，指定必须以原子方式执行的序列，以防止违规。
• 静态分析从客户端程序中提取控制流和数据流信息，以确定模块方法调用的可能序列。
• 该分析检查客户端程序中的所有可能调用序列是否都被契约指定的序列所包含，从而确保原子性。
• 原型实现使用 ICFinder 进行过程间控制流分析，并应用过滤技术以减少宽泛模式带来的误报。
• 该方法与现有的契约设计方法集成，扩展其以处理并发特定的正确性属性。
• 验证过程完全为静态分析，避免了动态分析的开销和不精确性，同时保持了高精度。

实验结果

研究问题

• RQ1 如何系统性地防止在组合第三方模块的同步方法时发生原子性违规？
• RQ2 何种形式化规范机制能够表达必须以原子方式执行的方法调用序列，以保持正确性？
• RQ3 静态分析能否高效且精确地验证客户端程序是否遵守并发契约？
• RQ4 所提出的方法在检测生产环境中真实软件的原子性违规方面效果如何？

主要发现

• 所提出的基于契约的方法通过确保相关方法调用在单一原子作用域内执行，成功防止了原子性违规。
• 静态分析正确识别出 Apache Tomcat 6.0 中一个关键的原子性违规，该问题立即获得开发团队承认并修复。
• 该方法在检测原子性违规方面实现了高精度，通过过滤宽泛的控制流模式有效减少了误报。
• 原型在真实软件上表现出高效性能，证实了该方法的可扩展性。
• 结果表明，结合静态验证的并发契约显著提升了并发程序的可靠性。