[论文解读] Starting a Dialog between Model Checking and Fault-tolerant Distributed Algorithms

Annu John, Igor Konnov+3 more|arXiv (Cornell University)|Oct 14, 2012

Distributed systems and fault tolerance参考文献 27被引用 3

一句话总结

本文提出了一种领域特定的框架，通过扩展带阈值守卫和非确定性的参数化控制流自动机，对基于阈值的容错分布式算法进行形式化建模。该框架能够精确、可模型检查地形式化不同故障模型和弹性条件下的算法，实验结果证实其与固定规模系统理论结果一致，为后续论文中的参数化验证奠定了基础。

ABSTRACT

Fault-tolerant distributed algorithms are central for building reliable spatially distributed systems. Unfortunately, the lack of a canonical precise framework for fault-tolerant algorithms is an obstacle for both verification and deployment. In this paper, we introduce a new domain-specific framework to capture the behavior of fault-tolerant distributed algorithms in an adequate and precise way. At the center of our framework is a parameterized system model where control flow automata are used for process specification. To account for the specific features and properties of fault-tolerant distributed algorithms for message-passing systems, our control flow automata are extended to model threshold guards as well as the inherent non-determinism stemming from asynchronous communication, interleavings of steps, and faulty processes. We demonstrate the adequacy of our framework in a representative case study where we formalize a family of well-known fault-tolerant broadcasting algorithms under a variety of failure assumptions. Our case study is supported by model checking experiments with safety and liveness specifications for a fixed number of processes. In the experiments, we systematically varied the assumptions on both the resilience condition and the failure model. In all cases, our experiments coincided with the theoretical results predicted in the distributed algorithms literature. This is giving clear evidence for the adequacy of our model. In a companion paper, we are addressing the new model checking techniques necessary for parametric verification of the distributed algorithms captured in our framework.

研究动机与目标

• 为解决容错分布式算法缺乏标准、精确的建模框架的问题，该问题阻碍了形式化验证和实际部署。
• 通过支持对复杂故障假设下的算法进行精确形式化，弥合分布式算法、形式化验证与软件工程之间的方法论鸿沟。
• 通过提供一种能捕捉分布式系统固有特征（如弹性条件、故障模型和非确定性）的形式化语言，支持容错算法的系统化验证。
• 通过创建一个共享的、形式化的正确性分析基础，促进模型检查与分布式算法研究社区之间的对话。
• 通过确保模型精确且语义上忠实于文献，为分布式算法的参数化验证奠定基础。

提出的方法

• 提出一种参数化系统模型，其中过程通过扩展了阈值守卫的控制流自动机（CFAs）来指定，以表达弹性条件。
• 将异步消息传递、交错执行步骤以及故障过程行为引发的非确定性直接集成到CFA语义中。
• 使用Kripke结构表示系统实例，与基于原子步骤的标准分布式计算模型保持一致。
• 通过显式处理故障模型和弹性约束，将文献中的算法从伪代码翻译到CFA框架中，实现算法的形式化。
• 对固定规模系统使用模型检查技术验证安全性和活锁性质，以确认模型的充分性。
• 依赖后续论文中的参数化验证技术，通过抽象化方法将验证扩展至所有系统规模。

实验结果

研究问题

• RQ1 如何对容错分布式算法进行形式化建模，以保留其关于故障、弹性及非确定性的核心假设？
• RQ2 基于参数化控制流自动机的形式化模型在多大程度上能准确反映在各种故障模型下知名容错算法的行为？
• RQ3 对固定规模实例进行的模型检查实验能否确认分布式算法文献中的理论正确性结果？
• RQ4 将基于伪代码的算法转换为形式化、机器可检查规格时，面临的关键建模挑战是什么？
• RQ5 形式化框架如何支持从固定规模实例的验证向所有系统规模的参数化验证的过渡？

主要发现

• 所提出的框架成功地在多种故障假设下形式化了一类知名容错广播算法，包括拜占庭故障。
• 针对固定系统规模的模型检查实验始终与分布式算法文献中的理论正确性结果一致，验证了模型的充分性。
• 该框架准确捕捉了阈值守卫、弹性条件以及由异步性和故障引发的非确定性等关键特征，而这些在以往的形式化方法中常被简化或忽略。
• 该模型足够稳健，能够处理超出崩溃故障的复杂故障模型，如拜占庭行为，其中阈值条件至关重要。
• 形式化过程揭示了以往形式化中的细微差异，例如在经典算法（如面包店算法）中对寄存器语义的错误假设。
• 该框架支持系统化验证，并为在所有系统规模下对相同算法实现参数化验证铺平了道路，如附录论文所示。