With hindsight, Amazon’s path to fo

With hindsight, Amazon’s path to formal methods seems straightforward;
we had an engineering problem and
found a solution. Reality was some-
what different. The effort began with
author C.N.’s dissatisfaction with the
quality of several distributed systems
he had designed and reviewed, and
with the development process and
tools that had been used to construct
those systems. The systems were considered successful, yet bugs and operational problems persisted. To mitigate
the problems, the systems used well-
proven methods—pervasive contract
assertions enabled in production—to
detect symptoms of bugs, and mechanisms (such as “recovery-oriented
computing” 20 ) to attempt to minimize
the impact when bugs are triggered.
However, reactive mechanisms can-
not recover from the class of bugs that
cause permanent damage to customer
data; we must instead prevent such
bugs from being created.
When looking for techniques to prevent bugs, C.N. did not initially consider formal methods, due to the pervasive
view that they are suitable for only tiny
problems and give very low return on in-
vestment. Overcoming the bias against
formal methods required evidence they
work on real-world systems. This evidence was provided by Zave, 22 who used
a language called Alloy to find serious
bugs in the membership protocol of a
distributed system called Chord. Chord
was designed by an expert group at MIT
and is successful, having won a “10-year
test of time” award at the SIGCOMM
2011 conference and influenced several
systems in industry. Zave’s success motivated C.N. to perform an evaluation of
Alloy by writing and model checking a
moderately large Alloy specification of
a non-trivial concurrent algorithm. 18
We liked many characteristics of the Alloy language, including its emphasis on
“execution traces” of abstract system
states composed of sets and relations.
However, we also found that Alloy is not
expressive enough for many use cases at AWS; for instance, we could not find
a practical way in Alloy to represent
rich data structures (such as dynamic
sequences containing nested records
with multiple fields).
Alloy’s limited expressivity appears
to be a consequence of the particular
approach to analysis taken by the Alloy Analyzer tool. The limitations do
not seem to be caused by Alloy’s conceptual model (“execution traces” over
system states). This hypothesis motivated C.N. to look for a language with
a similar conceptual model but with
richer constructs for describing system
states. C.N. eventually stumbled on a
language with those properties when
he found a TLA+ specification in the
appendix of a paper on a canonical algorithm in our problem domain—the
Paxos consensus algorithm. 12
The fact that TLA+ was created by
the designer of such a widely used
algorithm gave us some confidence
that TLA+ would work for real-world
systems. We became more confident
when we learned a team of engineers
at DEC/Compaq had used TLA+ to
specify and verify some intricate
cache-coherency protocols for the Alpha series of multicore CPUs. 5,16 We
read one of the specifications 13 and
found they were sophisticated distributed algorithms involving rich mes-
sage passing, fine-grain concurrency,
and complex correctness properties.
That left only the question of whether
TLA+ could handle real-world failure
modes. (The Alpha cache-coherency
algorithm does not consider failure.)
We knew from Lamport’s Fast Paxos
paper 12 that TLA+ could model fault
tolerance at a high level of abstraction and were further convinced when
we found other papers showing TLA+
could model lower-level failures. 15
C.N. evaluated TLA+ by writing a
specification of the same non-trivial
concurrent algorithm he had written in
Alloy. 18 Both Alloy and TLA+ were able
to handle the problem, but the comparison revealed that TLA+ is much
more expressive than Alloy. This difference is important in practice; several
of the real-world specifications we have
written in TLA+ would have been infeasible in Alloy. We initially had the opposite concern about TLA+; it is so expressive that no model checker can hope
to evaluate everything that can be expressed in the language. But so far we
have always been able to find a way to
express our intent in a way that is clear,
direct, and can be model checked.
After evaluating Alloy and TLA+,
C.N. tried to persuade colleagues at
Amazon to adopt TLA+. However, engineers have almost no spare time for
such things, unless compelled by need.
Fortunately, a need was about to arise.

ผลลัพธ์ (ไทย) 1:

With hindsight, Amazon’s path to formal methods seems straightforward;we had an engineering problem andfound a solution. Reality was some-what different. The effort began withauthor C.N.’s dissatisfaction with thequality of several distributed systemshe had designed and reviewed, andwith the development process andtools that had been used to constructthose systems. The systems were considered successful, yet bugs and operational problems persisted. To mitigatethe problems, the systems used well-proven methods—pervasive contractassertions enabled in production—todetect symptoms of bugs, and mechanisms (such as “recovery-orientedcomputing” 20 ) to attempt to minimizethe impact when bugs are triggered.However, reactive mechanisms can-not recover from the class of bugs thatcause permanent damage to customerdata; we must instead prevent suchbugs from being created.When looking for techniques to prevent bugs, C.N. did not initially consider formal methods, due to the pervasiveview that they are suitable for only tinyproblems and give very low return on in-vestment. Overcoming the bias againstformal methods required evidence theywork on real-world systems. This evidence was provided by Zave, 22 who useda language called Alloy to find seriousbugs in the membership protocol of adistributed system called Chord. Chordwas designed by an expert group at MITand is successful, having won a “10-yeartest of time” award at the SIGCOMM2011 conference and influenced severalsystems in industry. Zave’s success motivated C.N. to perform an evaluation ofAlloy by writing and model checking amoderately large Alloy specification ofa non-trivial concurrent algorithm. 18We liked many characteristics of the Alloy language, including its emphasis on“execution traces” of abstract systemstates composed of sets and relations.However, we also found that Alloy is notexpressive enough for many use cases at AWS; for instance, we could not finda practical way in Alloy to representrich data structures (such as dynamicsequences containing nested recordswith multiple fields).Alloy’s limited expressivity appearsto be a consequence of the particularapproach to analysis taken by the Alloy Analyzer tool. The limitations donot seem to be caused by Alloy’s conceptual model (“execution traces” oversystem states). This hypothesis motivated C.N. to look for a language witha similar conceptual model but withricher constructs for describing systemstates. C.N. eventually stumbled on alanguage with those properties whenhe found a TLA+ specification in theappendix of a paper on a canonical algorithm in our problem domain—thePaxos consensus algorithm. 12The fact that TLA+ was created bythe designer of such a widely usedalgorithm gave us some confidencethat TLA+ would work for real-worldsystems. We became more confidentwhen we learned a team of engineersat DEC/Compaq had used TLA+ tospecify and verify some intricatecache-coherency protocols for the Alpha series of multicore CPUs. 5,16 Weread one of the specifications 13 andfound they were sophisticated distributed algorithms involving rich mes-sage passing, fine-grain concurrency,and complex correctness properties.That left only the question of whetherTLA+ could handle real-world failuremodes. (The Alpha cache-coherencyalgorithm does not consider failure.)We knew from Lamport’s Fast Paxospaper 12 that TLA+ could model faulttolerance at a high level of abstraction and were further convinced whenwe found other papers showing TLA+could model lower-level failures. 15C.N. evaluated TLA+ by writing aspecification of the same non-trivialconcurrent algorithm he had written inAlloy. 18 Both Alloy and TLA+ were ableto handle the problem, but the comparison revealed that TLA+ is muchmore expressive than Alloy. This difference is important in practice; severalof the real-world specifications we havewritten in TLA+ would have been infeasible in Alloy. We initially had the opposite concern about TLA+; it is so expressive that no model checker can hopeto evaluate everything that can be expressed in the language. But so far wehave always been able to find a way toexpress our intent in a way that is clear,direct, and can be model checked.After evaluating Alloy and TLA+,C.N. พยายามชักชวนเพื่อนร่วมงานที่อเมซอนจะนำมาใช้ TLA + อย่างไรก็ตาม วิศวกรได้แทบไม่มีเวลาว่างสำหรับสิ่งของต่าง ๆ เว้นแต่ถูกตามต้องการโชคดี ความจำเป็นที่จะ เกิดขึ้น

ผลลัพธ์ (ไทย) 2:

ด้วยความเข้าใจถึงปัญหาเส้นทางของ Amazon กับวิธีการอย่างเป็นทางการดูเหมือนตรงไปตรงมาเรามีปัญหาด้านวิศวกรรมและพบวิธีแก้ปัญหา ความเป็นจริงเป็น some- สิ่งที่แตกต่างกัน ความพยายามที่เริ่มต้นด้วยความไม่พอใจของผู้เขียน CN กับคุณภาพของระบบการกระจายหลายที่เขาได้รับการออกแบบและการตรวจสอบและมีการพัฒนากระบวนการและเครื่องมือที่ได้รับการใช้ในการสร้างระบบเหล่านั้น ระบบที่ประสบความสำเร็จได้รับการพิจารณา แต่ข้อบกพร่องและปัญหาการดำเนินงานยังคง เพื่อลดปัญหาระบบที่ใช้ดีวิธีการแพร่หลายสัญญาการพิสูจน์ยืนยันเปิดใช้งานในการผลิตเพื่อตรวจสอบอาการของข้อบกพร่องและกลไก(เช่น "การกู้คืนที่มุ่งเน้นการใช้คอมพิวเตอร์" 20) พยายามที่จะลดผลกระทบเมื่อมีการหารือข้อบกพร่องอย่างไรก็ตามกลไกปฏิกิริยา can- ไม่ฟื้นตัวจากระดับของบักที่ทำให้เกิดความเสียหายถาวรให้กับลูกค้าข้อมูล เราจะต้องป้องกันไม่ให้แทนเช่นข้อผิดพลาดจากการถูกสร้างขึ้น. เมื่อมองหาเทคนิคในการป้องกันไม่ให้เกิดข้อบกพร่อง, CN ไม่ได้ในตอนแรกพิจารณาวิธีการทางการเนื่องจากการแพร่หลายมุมมองที่พวกเขามีความเหมาะสมสำหรับขนาดเล็กเพียงปัญหาและให้ผลตอบแทนที่ต่ำมากในหเสื้อคลุม เอาชนะอคติกับวิธีการทางการหลักฐานที่จำเป็นที่พวกเขาทำงานในระบบโลกแห่งความจริง หลักฐานนี้ให้ได้โดย Zave 22 ที่ใช้เป็นภาษาที่เรียกว่าแม็กซ์ที่จะหาที่ร้ายแรงบกพร่องในโปรโตคอลเป็นสมาชิกคนหนึ่งของระบบการกระจายเรียกว่าคอร์ด คอร์ดได้รับการออกแบบโดยกลุ่มผู้เชี่ยวชาญที่ MIT และประสบความสำเร็จได้รับรางวัลเป็น "10 ปีการทดสอบของเวลา" รางวัลที่ SIGCOMM 2011 การประชุมและมีอิทธิพลหลายระบบในอุตสาหกรรม ความสำเร็จ Zave ของแรงจูงใจที่จะดำเนินการ CN การประเมินผลของแม็กซ์โดยการเขียนและรูปแบบการตรวจสอบสเปคแม็กซ์ขนาดใหญ่ในระดับปานกลางของอัลกอริทึมพร้อมกันที่ไม่น่ารำคาญ 18 เราชอบหลายลักษณะของภาษาแม็กซ์รวมทั้งเน้น"ร่องรอยการดำเนินการ" ระบบนามธรรมรัฐประกอบด้วยชุดและความสัมพันธ์. แต่เรายังพบว่าแม็กซ์ไม่ได้มีความหมายมากพอสำหรับกรณีการใช้งานจำนวนมากใน AWS; ตัวอย่างเช่นเราไม่สามารถหาวิธีการปฏิบัติในแม็กซ์จะเป็นตัวแทนของโครงสร้างข้อมูลที่อุดมไปด้วย(เช่นแบบไดนามิกลำดับที่มีการบันทึกซ้อนกับเขตข้อมูลหลาย). expressivity จำกัด แม็กดูเหมือนจะเป็นผลมาจากการโดยเฉพาะอย่างยิ่งวิธีการวิเคราะห์นำโดยเครื่องมือวิเคราะห์ล้อแม็ก. ข้อ จำกัด ที่ไม่ได้ดูเหมือนจะมีสาเหตุมาจากรูปแบบความคิดของแม็กซ์("ร่องรอยการดำเนินการ" มากกว่ารัฐระบบ) สมมติฐานนี้มีแรงจูงใจ CN ที่จะมองหาภาษาที่มีรูปแบบความคิดที่คล้ายกันแต่มีโครงสร้างที่ดียิ่งขึ้นสำหรับการอธิบายระบบรัฐ CN ที่สุดก็สะดุดในภาษาที่มีคุณสมบัติเหล่านั้นเมื่อเขาพบว่าสเปคTLA + ในภาคผนวกของกระดาษในขั้นตอนวิธีการที่ยอมรับในปัญหาโดเมนของเราขั้นตอนวิธีฉันทามติPaxos 12 ความจริงที่ว่า TLA + ถูกสร้างขึ้นโดยนักออกแบบดังกล่าวใช้กันอย่างแพร่หลายขั้นตอนวิธีการทำให้เรามั่นใจว่าTLA + จะทำงานจริงของโลกระบบ เรากลายเป็นความมั่นใจมากขึ้นเมื่อเราได้เรียนรู้ทีมวิศวกรที่ธันวาคม/ Compaq ได้ใช้ TLA + เพื่อระบุและตรวจสอบบางส่วนที่ซับซ้อนโปรโตคอลแคชเชื่อมโยงกันสำหรับชุดอัลฟาซีพียูแบบมัลติคอร์ของ 5,16 เราอ่านของข้อกำหนด13 และพบว่าพวกเขามีความซับซ้อนกระจายขั้นตอนวิธีการที่เกี่ยวข้องกับการที่อุดมไปด้วยข้อความที่ผ่านสะระแหน่, เห็นพ้องปรับเมล็ดพืชและคุณสมบัติถูกต้องที่ซับซ้อน. ที่เหลือเพียงคำถามที่ว่าTLA + สามารถจัดการกับความล้มเหลวที่แท้จริงของโลกโหมด (แคช-เชื่อมโยงกันอัลฟาอัลกอริทึมจะไม่พิจารณาความล้มเหลว.) เรารู้จาก Lamport เร็ว Paxos กระดาษ 12 TLA + สามารถจำลองความผิดความอดทนในระดับสูงของนามธรรมและมีความเชื่อมั่นมากขึ้นเมื่อเราได้พบเอกสารอื่นๆ ที่แสดง TLA + สามารถจำลองความล้มเหลวในระดับต่ำกว่า . 15 C.N. ประเมิน TLA + โดยการเขียนคุณสมบัติของที่ไม่น่ารำคาญเดียวกันขั้นตอนวิธีพร้อมกันที่เขาเขียนในแม็กซ์ 18 ทั้งล้อแม็กและ TLA + มีความสามารถที่จะจัดการกับปัญหาแต่การเปรียบเทียบเปิดเผยว่า TLA + มากยิ่งขึ้นกว่าที่แสดงออกล้อแม็ก ความแตกต่างนี้เป็นสิ่งสำคัญในการปฏิบัติ; หลายของข้อกำหนดโลกแห่งความจริงที่เราได้เขียนในTLA + จะได้รับเป็นไปไม่ได้ในแม็กซ์ เราเริ่มมีความกังวลเกี่ยวกับตรงข้าม TLA +; มันจึงเป็นเรื่องที่แสดงออกที่ตรวจสอบรูปแบบที่ไม่สามารถหวังว่าในการประเมินทุกอย่างที่สามารถแสดงออกในภาษา แต่จนถึงขณะนี้เราได้รับเสมอสามารถที่จะหาวิธีที่จะแสดงความตั้งใจของเราในทางที่เป็นที่ชัดเจนโดยตรงและสามารถตรวจสอบรูปแบบ. หลังจากการประเมินล้อแม็กและ TLA + CN พยายามชักชวนเพื่อนร่วมงานที่อเมซอนจะนำมาใช้TLA + แต่วิศวกรมีเกือบจะไม่มีเวลาว่างสำหรับสิ่งดังกล่าวเว้นแต่บังคับโดยความต้องการ. โชคดีที่ความต้องการที่กำลังจะเกิดขึ้น

ผลลัพธ์ (ไทย) 3:

กับ hindsight , Amazon เส้นทางวิธีเป็นทางการดูเหมือนตรงไปตรงมา ;

เรามีปัญหาทางวิศวกรรม และพบทางออก ในความเป็นจริงบาง -
สิ่งที่แตกต่างกัน ความพยายามของผู้เขียนเริ่มด้วย

ซี. ไม่พอใจคุณภาพของหลายระบบกระจาย
เขาออกแบบและตรวจสอบ และกระบวนการพัฒนาและ

ด้วยเครื่องมือที่ถูกใช้เพื่อสร้าง
ระบบเหล่านั้นระบบถือว่าประสบความสำเร็จ แต่ข้อบกพร่องและปัญหาก็ยืนยัน โดย
ปัญหา ระบบที่ใช้กันแพร่หลาย สัญญา

วิธีการพิสูจน์แล้วยืนยันการใช้งานในการผลิต

ตรวจสอบอาการของแมลง และกลไก ( เช่น " การกู้คืนคอมพิวเตอร์เชิง
20 ) เพื่อพยายามที่จะลดผลกระทบเมื่อเกิดบั๊ก
.
-
แต่ปฏิกิริยากลไกได้ไม่ฟื้นตัวจากระดับของข้อบกพร่องที่ก่อให้เกิดความเสียหายถาวรให้ข้อมูลลูกค้า

; เราต้องแทน ป้องกันแมลง เช่น

จากที่ถูกสร้างขึ้น เมื่อมองหาวิธีการเพื่อป้องกันแมลง ซี. ไม่ได้เริ่มต้นพิจารณาวิธีเป็นทางการ เนื่องจากความแพร่หลาย
มุมมองที่พวกเขาจะเหมาะสำหรับแค่นิด
ปัญหาและให้ผลตอบแทนต่ำมาก -
เสื้อคลุม . การเอาชนะอคติกับ
วิธีการทางการต้องการหลักฐานที่พวกเขา
ทำงานบนระบบที่แท้จริงของโลก หลักฐานนี้ได้โดย zave 22 ที่ใช้เรียกโลหะผสม
ภาษาเพื่อหาจุดบกพร่องร้ายแรง
ในสมาชิกโพรโทคอลของระบบที่เรียกว่า
กระจายคอร์ด คอร์ด
ถูกออกแบบโดยผู้เชี่ยวชาญกลุ่มที่ MIT
และประสบความสำเร็จได้รับรางวัล " รางวัล 10 ปี
ทดสอบเวลาที่ sigcomm 2011 การประชุมและได้รับอิทธิพลหลาย

ในระบบอุตสาหกรรม ความสำเร็จของแรงจูงใจ zave ซี. จะทำการประเมินผลสัมฤทธิ์โดยการเขียนและการตรวจสอบรูปแบบ

มีขนาดใหญ่ปานกลางผสมคุณสมบัติของ
ไม่ไร้สาระแบบอัลกอริทึม 18
เราชอบลักษณะของโลหะผสมหลายภาษา รวมถึงเน้น
" ประหารร่องรอยของบทคัดย่อระบบ
สหรัฐอเมริกาประกอบด้วยชุดและความสัมพันธ์ .
แต่เรายังพบว่าโลหะผสมไม่ใช่
แสดงออกเพียงพอสำหรับกรณีใช้หลายที่ AWS ตัวอย่าง เราสามารถหาวิธีปฏิบัติในโลหะผสม

ของโครงสร้างข้อมูลที่อุดมไปด้วย ( เช่นลำดับแบบไดนามิก

กับเขตข้อมูลหลายเขตข้อมูลที่ซ้อนกัน )

expressivity โลหะผสมจำกัดปรากฏเป็นผลมาจากวิธีการถ่ายโดยเฉพาะ
เพื่อการวิเคราะห์ ล้อแม็กเครื่องมือวิเคราะห์ . ข้อ จำกัดทำ
ไม่ได้เกิดจากการผสมของแนวคิดแบบ " ร่องรอย " ประหารกว่า
สหรัฐอเมริการะบบ ) สมมติฐานนี้มีแรงจูงใจ ซี. ที่จะมองหาภาษาคล้ายกัน แต่ด้วยแนวคิดแบบ

รวยสร้างในการอธิบายสถานะของระบบ

ซี. ในที่สุด stumbled บน

ภาษาที่มีคุณสมบัติเหล่านั้นเมื่อเขาพบ TLA สเปคใน
ภาคผนวกของรายงานเกี่ยวกับขั้นตอนวิธีแบบโดเมนปัญหาของเรา
paxos เอกฉันท์ขั้นตอนวิธี 12
ที่ว่า TLA ถูกสร้างขึ้นโดยนักออกแบบเช่น

อย่างกว้างขวางใช้ขั้นตอนวิธีให้เรามั่นใจว่าระบบจะทำงานให้ TLA
-
เราก็มั่นใจมากขึ้น
เมื่อเราเรียนรู้ทีมวิศวกร
ที่ธ.ค. / Compaq ใช้ TLA

ระบุและตรวจสอบบางซับซ้อน
แคชรับสั่งโปรโตคอลสำหรับอัลฟ่าแบบมัลติคอร์ซีพียู 5,16 เรา
อ่านหนึ่งในคุณสมบัติที่ 13
พบพวกเขาซับซ้อนกระจายขั้นตอนวิธีที่เกี่ยวข้องกับรวยเดือน -
เซจผ่านการเมล็ดดี และคุณสมบัติถูกต้อง

ที่ซับซ้อน เหลือเพียงคำถามว่า
TLA สามารถจัดการกับความล้มเหลว
ที่แท้จริงของโลก ( แคชรับสั่ง
อัลฟ่าขั้นตอนวิธีการไม่พิจารณาความล้มเหลว )
เรารู้จาก แลมพ ์ตของ paxos
รวดเร็วกระดาษ 12 ที่ TLA สามารถรูปแบบผิด
ความอดทนในระดับสูงของนามธรรมและได้ประจักษ์เมื่อ
เราเจอเอกสารอื่น ๆที่แสดง TLA
อาจรูปแบบความล้มเหลวระดับล่าง 15
ซี. ประเมิน TLA โดยการเขียน
สเปคเดียวกันไม่น่าเบื่อ

สำหรับขั้นตอนวิธีเขาเขียนในโลหะผสม18 ทั้งล้อแม็กและ TLA สามารถ
เพื่อจัดการปัญหา แต่การเปิดเผยว่า tla มาก
การแสดงออกกว่าโลหะผสม ความแตกต่างนี้เป็นสิ่งสำคัญในการฝึกหลาย ๆคนในสเปคที่เรามี

เขียน TLA จะถูกทำในโลหะผสม เราได้เริ่มต้นตรงข้ามกับ TLA ; มันจึงแสดงออกแบบที่ไม่ตรวจสอบสามารถหวังว่า
เพื่อประเมินทุกอย่างที่สามารถแสดงในภาษา แต่ตอนนี้เรา
ได้เสมอสามารถหาทาง
บริการของเราเจตนาในทางที่ชัดเจน
โดยตรง และสามารถเป็นนางแบบ . .

หลังจากการประเมินผลสัมฤทธิ์และ TLA ซี. , พยายามที่จะชวนเพื่อนร่วมงานที่
Amazon อุปการะ TLA . อย่างไรก็ตาม วิศวกร แทบจะไม่มีเวลาว่างสำหรับ
แบบนี้ นอกจากบังคับโดยต้องการ .
โชคดีความต้องการที่กำลังจะเกิดขึ้น