Logiques pour raisonner sur la correction de systèmes distribués reconfigurables

Logics for Reasoning about the Correctness of Reconfigurable Distributed Systems

• Auteur / Autrice : Lucas Bueri
• Direction : Radu Iosif, Marius Bozga
• Type : Projet de thèse
• Discipline(s) : Informatique
• Date : Inscription en doctorat le ; Soutenance le 12/12/2024
• Etablissement(s) : Université Grenoble Alpes
• Ecole(s) doctorale(s) : École doctorale Mathématiques, sciences et technologies de l'information, informatique (Grenoble ; 1995-....)
• Partenaire(s) de recherche : Laboratoire : VERIMAG
• Jury : Président / Présidente : Mihaela Sighireanu
• Jury : Examinateurs / Examinatrices : Radu Iosif, Parthasarathy Madhusudan, Marius Bozga, Nicolas Peltier, Anca Muscholl, Stephane Demri
• Jury : Rapporteur / Rapporteuse : Parthasarathy Madhusudan, Stephane Demri

Mots clés

Mots clés libres

Reconfiguration

Vérification formelle

Systèmes distribués

Reconfiguration

Distributed Systems

Model Checking

Formal Verification

Résumé

Le calcul distribué est massivement utilisé dans de nombreux systèmes numériques vitaux, tels les centres de données ou les réseaux d'information. Tous ces systèmes nécessitent des modifications régulières, pour la maintenance, la correction d'erreurs, le développement ou les problèmes de routage. Cependant, il peut être pénalisant voire impossible d'interrompre le système, ce qui motive l'utilisation de systèmes dynamiquement reconfigurables. La reconfiguration dynamique est une source majeure d'erreurs, pouvant endommager le système entier si réalisée incorrectement. Le besoin de modélisation et vérification des systèmes distribués reconfigurables est primordial ; c'est ce que nous abordons ici. Les systèmes distribués considérés suivent une structure similaire aux hypergraphes : un ensemble de composantes (éléments d'un univers) et d'interactions (tuples de relation entre composantes). Un exemple simple mais classique sont les chaînes : suites finies de composantes, chacune reliée au suivant par une relation binaire. En parallèle d'un comportement distribué (comme un jeton bougeant le long de la chaîne), il nous faut exécuter un programme de reconfiguration (comme raccourcir la chaîne). Une preuve de cette procédure permet d'éviter des états bloquants ou dangereux (comme perdre le jeton). Les langages de structures sont décrits par une logique de séparation sur les relations (SLR), à l'aide d'un ensemble de définitions inductives (SID). Atomes de relation et prédicats sont combinés par la conjonction de séparation (issu de la logique de séparation standard), interprété comme une composition localement disjointe des modèles (les relations des systèmes composés doivent être disjointes). Un système satisfait une formule lorsque les tuples de relation apparaissant dans la formule sont exactement ceux présents dans la système. Cela permet des propriétés locales intéressantes, augmentant grandement les performances des problèmes de vérification décisionnels, comparé à la logique monadique du second ordre (MSO). Cette thèse apporte dans un premier temps une preuve de décidabilité du problème de satisfaisabilité en SLR. Les configurations sont abstraites en base tuples (plus proches de la définition logique), permettant de vérifier la satisfaction, ainsi que d'autres problèmes reliés. Néanmoins, le problème d'implication logique (entailment) tout aussi crucial requiert des contraintes supplémentaires. La largeur arborescente (treewidth) d'une structure évalue sa similarité à un arbre. La seconde contribution est une procédure de décision pour vérifier si une formule SLR décrit un langage à largeur arborescente bornée. On s'appuiera ici sur le fait que chaque modèle peut être décrit comme fusion de modèles canoniques (obtenus par une interprétation injective), la largeur arborescente de ces derniers étant toujours bornée. La définissabilité en MSO apporte de bonnes propriétés sur les graphes, notamment pour décider l'implication logique sur des structures riches de taille ou degré non borné. Pour caractériser les SIDs exprimables en MSO, on utilisera le théorème de translation inverse pour les transductions MSO-définissables, sur l'opérateur de fission (l'inverse de la fusion de structures). La dernière contribution est une application au processus de reconfiguration (changer les composantes et interactions) en parallèle aux actions chaotiques (le comportement distribué continu du système). On étudie la décidabilité et complexité du problème d'invariance chaotique. La preuve est basée sur un transducteur d'arbres, pour représenter les actions chaotiques dans le monde des automates, exploitant ainsi des résultats connus. L'objectif est de permettre une preuve à la Hoare pour certifier automatiquement la correction d'un processus de reconfiguration malgré la présence d'interactions de communication entremêlées.

Distributed computing are increasingly used in many digital systems, with numerous vital applications, such as data centres or social networks. All these systems require regular modifications to remain efficient, should be for maintenance, bug correction, development, data traffic issues. However it can be penalizing or impossible to stop the system, hence the use of dynamically reconfigurable systems. Dynamic reconfiguration is a major source of errors, that can damage the entire system if done incorrectly. The need for modelling and verification of reconfigurable distributed systems is essential, and this is what we aim to contribute with our logical framework. The distributed systems considered follow a structure similar to hypergraphs : a set of components (elements in a universe) and interactions (relation tuples of components). A simple but typical example to consider are chains : models of finite lists of components, each linked to the previous one by a binary relation tuple. Alongside a distributed behaviour (like a token moving through the chain), we want to perform a reconfiguration procedure (like shortening the chain). A Hoare-style proof on this procedure allows to prevent any deadlock or unsafe state (like losing the token). This leads to central decision problems such as satisfiability, entailment or havoc invariance (invariance of a property to any chaotic actions of the distributed behaviour). Languages of structures are described logically using a Separation Logic of Relations (SLR), through a set of inductive definitions (SID). Relation atoms and predicates are combined by the separating conjunction (from standard Separation Logic), which interprets a locally disjoint composition of models (relations of both side must be distinct). A system satisfies a formula when exactly the relation tuples occurring in the formula are present. This allows useful local properties, greatly improving performances for deciding verification problems, compared to Monadic Second Order (MSO) logic. This thesis first brings a decidability proof for the satisfiability problem in SLR. Configurations are abstracted into base tuples (much closer to the logical definition), allowing the satisfiability check, as well as other related problems. However, to decide the crucial entailment problem, we need additional constraints : Treewidth boundedness and MSO-decidability. The treewidth of structures is a similarity distance evaluating how close the structure is to a tree. The second contribution is a decision procedure for checking whether a SLR formula describes a treewidth-bounded language. We rely on the fact that every model can be described as a fusion of canonical models (models obtained by an injective store), the latter having always a bounded treewidth. MSO-definability offers great graph properties, necessary to decide entailments on rich shape structures of unbounded size and degree. To characterize SIDs that can be expressible in MSO, we make use of the backward translation theorem for MSO-definable transductions, on the fission operation (the inverse of the fusion of structures). The last contribution is an application to the reconfiguration processes (changing components or interactions) together with havoc actions (the continuous distributed behaviour of the system). We study the decidability and complexity of the havoc invariance problem. The proof uses tree transducers to represent the havoc actions in the automata world, exploiting well-known results from automata theory. The goal is to enable a Hoare-style proof to certify automatically the correctness of a reconfiguration process despite the presence of intertwined communication interactions.