Granice formalne verifikacije i savremenog softverskog inženjerstva

Uspon formalnih metoda u razvoju softvera

Razvoj savremenih softverskih sistema suočava se sa sve većim izazovima u pogledu pouzdanosti i bezbednosti. Pojavom novih alata za generisanje koda i autonomnih sistema, inženjeri traže načine da matematički dokažu odsustvo grešaka. Formalne metode, a posebno jezici za specifikaciju poput TLA plus, dobijaju na popularnosti u industriji. Ovi alati omogućavaju modelovanje složenih istovremenih procesa i pronalaženje suptilnih logičkih propusta pre nego što kod uopšte stigne do produkcije.

Ipak, sa porastom interesovanja širi se i nerealna percepcija njihovih mogućnosti. Pojedini akteri u tehnološkom sektoru veruju da formalna verifikacija može u potpunosti da reši problem kvalitetnog i bezbednog razvoja softvera. Takva očekivanja zanemaruju činjenicu da nijedan matematički alat ne može da nadomesti nedostatak jasnog razumevanja problema koji se rešava. Pre nego što sistem bilo šta proveri, inženjer mora precizno da definiše šta se zapravo proverava.

Osnovna snaga alata poput TLA plus leži u analizi ponašanja sistema kroz nizove stanja. Korišćenjem logičkih operatora moguće je opisati pravila koja važe u svakom trenutku ili prelaze iz jednog stanja u drugo. Inženjeri ove pristupe koriste za sprečavanje neželjenih situacija i garantovanje da će sistem pod određenim uslovima ispravno funkcionisati. I pored toga, spektar onoga što ovi sistemi mogu prirodno da izraze znatno je uži nego što se često misli u široj javnosti.

Temeljna struktura i izražajne moći

Razumevanje formalne verifikacije zahteva uvid u način na koji se sistemi predstavljaju kroz logičke izraze. TLA plus deli posmatrani sistem na skup ponašanja, pri čemu je svako ponašanje niz sukcesivnih stanja. Unutar svakog pojedinačnog stanja mogu se definisati jednostavni logički uslovi koji opisuju trenutne parametre sistema. Ovi uslovi se zatim kombinuju sa vremenskim logičkim operatorima radi opisivanja dinamičkih promena.

Jedan od ključnih koncepata jeste invarijanta, odnosno svojstvo koje mora da bude istinito u svakom stanju svakog ponašanja. Invarijante predstavljaju osnovnu odbranu od kritičnih grešaka jer obezbeđuju da se neželjena stanja nikada ne dogode. Pored bezbednosti, formalne metode prate i takozvana svojstva živosti koja garantuju da će se u sistemu na kraju desiti nešto pozitivno, poput uspešnog izbora novog lidera u distribuiranoj mreži.

Kombinovanjem logičkih operatora inženjeri mogu da definišu uslove uzročne povezanosti između različitih stanja. Ovi mehanizmi omogućavaju dokazivanje da određeni događaj uvek dovodi do željenog ishoda u budućnosti. Iako ovi alati pokrivaju širok spektar uobičajenih scenarija u projektovanju konkurentnih sistema, njihova primenljivost naglo opada kada se od njih zatraži modelovanje složenijih odnosa.

Ograničenja u izražavanju složenih svojstava

Prva i najočiglednija prepreka u primeni formalnih metoda jeste ljudski faktor formalizacije. Ukoliko inženjer nije u stanju da precizno pretoči ljudsku zamisao u matematičku formulu, nijedan modeler neće moći da pomogne. Mnogi važni aspekti funkcionisanja softvera previše su apstraktni ili zavisni od konteksta da bi se mogli jednostavno svesti na osnovnu logiku.

TLA plus ima tehnička ograničenja koja se tiču broja posmatranih koraka. Svojstva bezbednosti u ovom modelu operišu na nivou pojedinačnih stanja ili pojedinačnih prelaza između dva stanja. To znači da je nemoguće direktno definisati pravila koja obuhvataju tri ili više koraka u kontinuitetu. Na primer, operacije poput poništavanja prethodnog koraka i vraćanja u originalno stanje zahtevaju složenije zaobilaženje osnovne strukture.

Pored toga, formalni sistemi ove vrste imaju problem sa operacijama nad realnim vremenom i operacijama sa pokretnim zarezom. Logičko vreme u modelima ne odgovara uvek fizičkom protoku sekundi u produkcionom okruženju. Zbog toga se inženjeri često oslanjaju na aproksimacije koje mogu sakriti realne probleme u performansama hardvera i softvera.

Misterija hipersvojstava i alternativnih scenarija

Najznačajnije ograničenje leži u činjenici da se svojstva u TLA plus sistemu implicitno kvantifikuju nad svim mogućim ponašanjima pojedinačno. Svaka proverena tvrdnja mora da bude tačna za svaku pojedinačnu putanju sistema. Time se automatski isključuju iskazi koji govore o postojanju alternative, poput tvrdnje da postoji bar jedno ponašanje u kojem je određen uslov ispunjen.

Modeli ove vrste ne mogu na prirodan način da obrade takozvana hipersvojstva koja upoređuju više različitih ponašanja istovremeno. Tipičan primer je verifikacija energetskih režima, gde sistem treba da dokaže da štedljivi režim uvek troši manje struje od standardnog režima za potpuno isti niz korisničkih akcija. Za dokazivanje takve tvrdnje potrebno je istovremeno analizirati dva različita ponašanja i uporediti njihove putanje, što prevazilazi mogućnosti osnovnog modela.

Statistička svojstva i bezbednosni parametri koji zavise od distribucije performansi takođe ostaju van domašaja ovih alata. Ograničenja poput merenja devedeset petog percentila latencije zahtevaju posmatranje celokupnog skupa podataka i verovatnoću pojavljivanja, a ne determinističku proveru pojedinačnih stanja. Ignorisanje ovih faktora može stvoriti lažan osećaj potpune sigurnosti u verifikovani kod.

Zaobilazna rešenja i njihova cena

Inženjerska praksa je poznata po pronalaženju kreativnih rešenja za tehnička ograničenja alata. Iskusan programer može da oponaša višestepena svojstva kroz uvođenje takozvanih pomoćnih promenljivih. Čuvanjem istorije stanja unutar modela, složeni uslovi se mogu svesti na obične invarijante koje proverivač može bez problema da obradi.

Slični trikovi se koriste i za simulaciju hipersvojstava kroz takozvanu samokompoziciju, gde se dva ponašanja spajaju u jedan sistem. Ipak, ova rešenja donose ozbiljne kompromise u praksi. Uvođenje pomoćnih promenljivih narušava eleganciju i strukturu modela, dok samokompozicija dramatično povećava prostor stanja i usporava proces verifikacije.

Korišćenje ovih prečica zahteva izuzetnu stručnost i često dovodi do nečitkih specifikacija koje gube vezu sa stvarnim kodom. Hakovanje alata da bi se postigao željeni rezultat kvari osnovnu svrhu formalnih metoda, a to je jasnoća i nesumnjiva ispravnost. Kada modeli postanu previše složeni i komplikovani za održavanje, rizik od previda novih grešaka ponovo raste.

Izbor pravog alata za pravi zadatak

Razumijevanje granica formalnih metoda vodi ka racionalnijem pristupu razvoju softvera. Nijedan pojedinačni softverski alat ne može rešiti sve probleme sa kojima se arhitekti suočavaju tokom izgradnje složenih sistema. Umesto oslanjanja na univerzalno rešenje, industrija mora da kombinuje različite pristupe u zavisnosti od specifičnih ciljeva projekta.

U slučajevima kada je potrebno proveriti složene alternative i postojanje specifičnih putanja, alternativni jezici poput CTL logike mogu ponuditi bolje rezultate. S druge strane, sistemi za verifikaciju probabilističkih svojstava mogu pomoći u analizi statističkih parametara. Svaki alat nosi sopstvene kompromise i zahteva žrtvovanje efikasnosti u drugim domenima.

Suština leži u prepoznavanju takozvanih lakih pobeda koje formalne metode donose. Invarijante i provere živosti pokrivaju veliki deo kritičnih problema u distribuiranim sistemima i sasvim su dovoljne za većinu praktičnih primena. Prihvatanje onoga što alat ne može da uradi predstavlja prvi korak ka izgradnji zaista stabilnih i pouzdanih softverskih arhitektura.

Izvor: Hillel Wayne · Fotografija: Pexels / Freepik (ilustracija)