[论文解读] Towards deductive verification of MPI programs against session types

Eduardo R. B. Marques, Francisco Martins+3 more|Dec 10, 2013

Distributed systems and fault tolerance参考文献 15被引用 9

一句话总结

本文提出了一种使用会话类型对MPI程序进行归纳验证的框架，将协议规范转换为VCC验证的C语言注解。通过将会话类型合约集成到C代码中，利用软件验证器实现通信正确性的形式化验证——特别是死锁自由性——在非平凡的MPI示例中，手动注解开销极低（低于代码大小的5%）。

ABSTRACT

The Message Passing Interface (MPI) is the de facto standard message-passing infrastructure for developing parallel applications. Two decades after the first version of the library specification, MPI-based applications are nowadays routinely deployed on super and cluster computers. These applications, written in C or Fortran, exhibit intricate message passing behaviours, making it hard to statically verify important properties such as the absence of deadlocks. Our work builds on session types, a theory for describing protocols that provides for correct-by-construction guarantees in this regard. We annotate MPI primitives and C code with session type contracts, written in the language of a software verifier for C. Annotated code is then checked for correctness with the software verifier. We present preliminary results and discuss the challenges that lie ahead for verifying realistic MPI program compliance against session types.

研究动机与目标

• 为解决验证复杂MPI程序通信正确性（尤其是死锁自由性）的挑战。
• 提供一种建设性的形式化方法，确保MPI程序遵循预定义的通信协议。
• 通过使用静态验证工具进行归纳验证，减少对模型检测或动态分析的依赖。
• 通过经过验证的C接口，将会话类型与MPI的集体操作和非阻塞调用集成。
• 通过自动生成功能（特别是循环和选择结构）的注解，最小化手动注解工作量。

提出的方法

• 定义一种通信类型语言，扩展会话类型以支持集体操作、选择结构以及依赖函数类型，以建模MPI特有的行为。
• 将全局会话类型协议转换为VCC兼容的项，将通信合约表示为数据类型和公理。
• 使用VCC的requires/ensures谓词和函数合约对MPI C代码进行注解，以强制执行协议合规性。
• 使用VCC验证器检查每个函数的通信行为是否符合其指定的会话类型。
• 开发一个Eclipse插件，自动化通信类型的类型检查和VCC项的生成。
• 扩展该框架以支持非阻塞MPI操作，并通过一等依赖类型和for-each结构提升类型表达能力。

实验结果

研究问题

• RQ1 会话类型能否有效扩展以建模MPI的集体操作和非阻塞通信模式？
• RQ2 在C+MPI程序中，通信协议注解在多大程度上可以实现自动生？
• RQ3 与现有的模型检测或动态分析技术相比，该验证方法的手动注解开销如何？
• RQ4 通信类型系统能否基于先前消息的值表达通信步骤之间的依赖关系？
• RQ5 对于具有复杂控制流和通信模式的真实MPI应用程序，该验证过程的可扩展性如何？

主要发现

• 该框架成功验证了四个非平凡的MPI程序（260–430行代码），手动注解极少，始终低于总代码大小的5%。
• 每100行C代码的平均手动注解数低于5个，其中函数级别的前置和后置条件占了大部分手写注解。
• VCC在双核机器上以合理时间完成验证，1核与2核虚拟化环境之间无显著性能差异。
• 作者发现循环和选择结构的注解可被自动生，从而减轻程序员负担。
• 当前通信类型语言在表达能力上存在局限——尤其在依赖函数类型的放置上，其被限制在顶层。
• 团队正在开发一个Eclipse插件，以自动化类型形成检查和VCC项的生成，并计划扩展语言以支持for-each结构和基于值的通信。