Maintenant que sont pr´esent´es la notion d’auto-stabilisation et le contexte du r´eparti, je vais lister les contributions principales que j’estime avoir apport´e `a ce domaine scientifique. Je range ces contributions en sept points du plus technique au plus g´en´eral.
3.3.1 El´´ egance des preuves
Ayant une culture math´ematique, j’aime faire des preuves techniquement
fiables mais aussi lisibles. Nous avons d´ej`a vu (page 28) que les mesures sur les configurations, aussi appel´ees fonctions de potentiel, constituaient une technique privil´egi´ee pour satisfaire ce souci d’´el´egance. Les fonctions de potentiel avaient, jusqu’`a pr´esent, ´et´e utilis´ees pour prouver l’auto-stabilisation dans un mod`ele de communication par registres partag´es [Tel94], qui implique principalement que l’espace des configurations est fini. J’ai ´etendu les preuves par fonctions de
poten-tiel au mod`ele de communication par passage de messages [DT02, DDT06] (voir
´
egalement les sections A.3 page 67 et A.4 page 79), o`u il existe en g´en´eral un nombre infini de configurations (si les canaux de communication peuvent conte-nir un nombre arbitrairement grand de messages en transit). Cette extension passe par la d´efinition de classes d’´equivalence de configurations et d’une injection de ces classes d’´equivalence vers les valeurs de la fonction de potentiel. `A ma connais-sance, ces techniques de preuve appliqu´ees aux algorithmes auto-stabilisants par passage de messages sont les premi`eres du genre.
Pour juger de l’apport de la m´ethode, il est int´eressant de comparer le r´esultat initial sur l’auto-stabilisation des r-op´erateurs [DT01] ´ecrit pour un mod`ele de communications `a registres partag´es, dont les preuves sont longues et difficiles `a lire – nombreuses notations et r´ecurrences imbriqu´ees – et sa version g´en´eralis´ee au mod`ele de communication par passage de messages [DDT06] incluant pertes, du-plications et d´es´equencements (qui prend donc en compte un nombre d’ex´ecutions possibles plus grand), dont la preuve est `a la fois plus compacte et, je crois et j’esp`ere, plus simple `a comprendre.
3.3.2 Travail sur l’identit´e
Nous avons vu dans les sections Absence de connaissance de l’´etat global et difficult´e d’initialisation page 31 et Difficult´e de la connaissance des ac-teurs page 32 que la notion d’identit´e est cruciale.
Je m’y suis int´eress´ee, d’une part, d’un point de vue de l’obtention de connais-sances globales (les noms de tous les utilisateurs [DT02]) dans un contexte r´eparti classique o`u on connaˆıt d´ej`a son voisinage et, d’autre part, en envisageant une connaissance locale dans un contexte moins classique, celui des communications sans fil, o`u un probl`eme est justement la d´ecouverte du voisinage.
Connaissances globales des identit´es. Cette connaissance doit
naturelle-ment ˆetre mise `a jour lorsque des arriv´ees et des d´eparts d’utilisateurs surviennent. La propri´et´e d’auto-stabilisation est alors utilis´ee dans un but de mise `a jour des informations plutˆot que dans un but de tol´erance aux pannes. Il faut donc s’at-tendre `a ce que les d´efaillances ne soient plus transitoires mais intermittentes (de temps `a autre, un nouvel utilisateur rejoint ou quitte le syst`eme r´eparti).
d´ecouvert suite `a l’´elaboration d’un algorithme auto-stabilisant comportant le nombre
minu-mal d’´etats possibles par processus. Dans un autre registre, l’utilisation de r-op´erateurs [DT01,
DDT06] donne gratuitement lors de l’ex´ecution dans un mod`ele `a passage de messages la
3.3. Comprendre mes contributions 35
Si le temps de stabilisation est ´elev´e (par exemple, sup´erieur au temps moyen entre deux apparitions ou disparitions d’utilisateurs), le syst`eme reste dans des configurations ill´egitimes en permanence et n’est pas tr`es utile. Si le temps de sta-bilisation est tr`es petit par rapport au mˆeme temps moyen, le syst`eme contient des informations correctes la plupart du temps dans toute ex´ecution.
Le temps de stabilisation de l’algorithme que nous avons propos´e [DT02] est optimal pour le probl`eme consid´er´e (proportionel au diam`etre du r´eseau). Par ailleurs, nous utilisons un mod`ele `a passage de messages le moins restrictif pos-sible : la topologie est quelconque, les liens de communication peuvent ˆetre uni-directionels14 et les messages peuvent ˆetre perdus, d´es´equenc´es, ou dupliqu´es.
Connaissance des identit´es du voisinage Les communications sans fil ne
rel`event plus du contexte r´eparti classique et pr´esentent un d´efi particulier pour l’´etablissement de connaissances sur son voisinage par un processus. Quand on re¸coit un message, on ignore qui en est l’exp´editeur (les adresses r´eseau utilis´ees peuvent ˆetre falsifi´ees et on ne peut identifier un exp´editeur `a un lien de commu-nication comme dans un r´eseau filaire). Comme dans un r´eseau filaire anonyme, on n’a pas de moyen de connaˆıtre l’identit´e de ses voisins et on ne peut pas non plus savoir combien ils sont si deux messages ont ´et´e ´emis par la mˆeme entit´e. Ces caract´eristiques facilitent grandement les attaques contre un syst`eme r´eparti o`u les communications sont sans fil. Un type d’attaque particulier est celui des at-taques Sybilles [Dou02]15, o`u un mˆeme individu joue le rˆole de plusieurs, dans le but de tromper les processus corrects : par exemple, un individu pourrait envoyer des messages de reconnaissance du r´eseau en utilisant plusieurs adresses r´eseau diff´erentes pour faire croire aux processus corrects se trouvant `a port´ee que leur voisinage est tr`es dense. Ce type d’attaque emp`eche typiquement les protocoles d’accord Byzantin de fonctionner car ils sont, en g´en´eral, bas´es sur l’hypoth`ese qu’une minorit´e de processus sont Byzantins ; avec une attaque Sybille, un seul Byzantin peut devenir toute une arm´ee.
J’ai abord´e la question de l’identification du voisinage en pr´esence de processus
malveillants de deux fa¸cons [VNTD08, DMRT11].
D’abord, comme l’attaque Sybille sans hypoth`ese suppl´ementaire est impos-sible `a r´esoudre [Dou02], nous avons propos´e, par analogie avec les d´etecteurs de d´efaillance [CT96, CHT96] dans le contexte de l’algorithmique robuste dans les syst`emes r´epartis asynchrones avec crash, des d´etecteurs d’Univers. Informelle-ment, un d´etecteur d’Univers [VNTD08] d´etermine, quand on lui pr´esente plu-sieurs univers (par exemple des voisinages possibles qui, pris ind´ependamment, sont coh´erents, mais qui, consid´er´es deux `a deux, sont incoh´erents entre eux), quel est l’univers qui correspond `a la r´ealit´e. Nous en avons d´efini plusieurs variantes (comme pour les d´etecteurs de d´efaillances crash) en faisant varier les contraintes sur l’exactitude et la compl´etude. Il s’av`ere que le d´etecteur le plus faible, pour r´esoudre le probl`eme de l’obtention du voisinage en cas d’attaque Sybille dans un syst`eme compl`etement asynchrone, est extrˆemement puissant et impossible `a implanter sans infrastructure cryptographique parfaitement sˆure.
Ensuite, nous avons consid´er´e un mod`ele d’ex´ecution o`u les processus mal-veillants ne pouvaient envoyer des messages sur le support de communication sans fil qu’au mˆeme rythme que les processus corrects [DMRT11] (un malveillant ne peut donc tenter de cr´eer une nouvelle identit´e qu’une fois par tour de commu-nication), et nous avons consid´er´e que l’identit´e des processus ´etait confondue avec 14. Cet aspect pr´esente un int´erˆet, par exemple, dans le cas de r´eseaux communicants sans fil, car des puissances d’´emission diff´erentes ou des obstacles peuvent conduire `a ce qu’un processus p puisse communiquer avec un processus q, mais pas l’inverse.
ses coordonn´ees g´eographiques (c’est-`a-dire, les coordonn´ees g´eographiques d’un processus – obtenues par un syst`eme GPS par exemple – lui servent d’identifiant). Obtenir un voisinage correct revient donc `a obtenir les coordonn´ees g´eographiques r´eelles des processus qui nous envoient des messages. Du fait des propri´et´es phy-siques du signal transmis (et en particulier son affaiblissement dans l’espace et le fait qu’il ne peut ˆetre re¸cu avant d’avoir ´et´e ´emis), il est possible d’inf´erer des propri´et´es g´eom´etriques sur les positions g´eographiques qui peuvent ˆetre occup´ees par les processus dont on re¸coit des messages. Par exemple [DMRT11] si on utilise l’intensit´e du signal re¸cu, quatre processus corrects (et non colin´eaires), qui ne sont pas situ´es sur le mˆeme cercle, peuvent d´ebusquer une minorit´e de proces-sus malveillants qui mentent sur leur position r´eelle ; si on utilise un m´ecanisme d’aller-retour de communication, six processus corrects (et non colin´eaires), qui ne sont pas situ´es sur la mˆeme hyperbole, peuvent d´ebusquer une minorit´e de processus malveillants. Cette derni`ere contribution montre que, mˆeme si les com-munications sans fil renforcent la puissance des entit´es malveillantes sur certains cˆot´es (possibilit´e de plusieurs identit´es en particulier), elles l’amoindrissent aussi si on prend en compte les propri´et´es physiques des communications.
3.3.3 Passage de messages
L’auto-stabilisation ne fait aucune hypoth`ese sur la nature ou l’´etendue des pannes qui surviennent dans le syst`eme, `a la condition qu’elles demeurent tran-sitoires, c’est-`a-dire qu’elles cessent de survenir apr`es un temps donn´e. La plu-part des travaux existants consid`erent que les communications sont parfaitement fiables et ´etablies dans un mod`ele de haut niveau o`u les communications entre voisins sont atomiques et instantan´ees. Pour implanter ces algorithmes dans un v´eritable r´eseau ou syst`eme distribu´e16, il est n´ecessaire de recourir `a des pri-mitives de communications qui pr´eservent la propri´et´e d’auto-stabilisation, mais qui sont capables de s’ex´ecuter dans des mod`eles r´epartis `a granularit´e plus fine (qui correspondent aux r´eseaux r´eels). Une grande part de mes travaux a rap-port avec la conception et la preuve d’algorithmes auto-stabilisants dans des syst`emes r´epartis o`u les machines communiquent au moyen de passage de mes-sages. D’apr`es moi, ce mod`ele constitue un bon compromis entre la possibilit´e d’´ecrire des preuves math´ematiquement satisfaisantes (et humainement lisibles) et la possibilit´e d’une implantation r´eelle.
En particulier, je me suis int´eress´ee `a plusieurs probl`emes qui demandent une coordination globale des machines (c’est-`a-dire les probl`emes qui n´ecessitent d’ob-tenir des informations de toutes les autres machines du r´eseau, comme la construc-tion d’un arbre de routage suivant une m´etrique particuli`ere [G¨03, DDT06] ou
le recensement des machines dans un r´eseau [BDT99, DT02]) dans un contexte
o`u les canaux de communication qui v´ehiculent les messages entre les machines ne sont pas fiables (des messages peuvent ˆetre perdus, dupliqu´es, d´es´equenc´es, que ce soit pendant la phase stabilis´ee ou pendant la phase de stabilisation), tout en pr´eservant la propri´et´e d’auto-stabilisation pour tol´erer des corruptions ini-tiales arbitraires de toutes les machines et de tous les contenus des canaux de communication.
Nous avons propos´e une premi`ere approche [DT02], universelle (cette no-16. Un syst`eme distribu´e est un syst`eme r´eparti, un algorithme r´eparti est un algorithme dis-tribu´e et vice versa. La traduction fran¸caise de distributed avait ´et´e d´efinie comme ´etant
r´eparti dans la mˆeme dynamique que computer science avait ´et´e baptis´e
informa-tique et non science des computeurs et que computer se traduit ordinateur et
ni computeur ni calculateur . Aujourd’hui, on glisse vers distribu´e quand on veut
insister sur le cˆot´e pratique du propos et on conserve r´eparti quand on veut parler fran¸cais
3.3. Comprendre mes contributions 37
tion d’universalit´e sera pr´ecis´ee dans la section Aide `a la conception d’algo-rithmes auto-stabilisants page 39), qui donne une solution globale `a tous les probl`emes consid´er´es tant que les machines poss`edent des identifiants uniques. Les hypoth`eses faites sur le voisinage sont particuli`erement faibles : un nœud ne connaˆıt que le nombre de ses canaux entrants (num´erot´es arbitrairement et de mani`ere purement locale), et aucun de ses canaux sortants. Si le graphe est forte-ment connexe, tous les probl`emes impliquant la totalit´e des processus peuvent ˆetre r´esolus, sinon les probl`emes impliquant les ancˆetres du graphe de communication peuvent l’ˆetre, ce qui est le mieux que l’on puisse faire.
Nous avons ensuite affin´e le concept [DDT06] en raisonnant sur les
pro-pri´et´es alg´ebriques qui permettent l’acquisition implicite de la propri´et´e d’auto-stabilisation en d´epit de communications non fiables. Cette solution consid`ere que les calculs effectu´es sur chaque nœud peuvent ˆetre exprim´es sous la forme d’un op´erateur d´efini sur les valeurs re¸cues des voisins, d’une part, et sur les constantes propres au nœud, d’autre part. Si l’op´erateur est un infimum [Tel01], la stabili-sation peut ˆetre assur´ee lorsque l’op´erateur est binaire, associatif, commutatif et idempotent. Par exemple, si chaque nœud calcule le minimum des valeurs de ses ant´ec´edants, alors, au bout d’un temps fini, plus aucune nouvelle valeur ne sera produite. Ces infimums ne stabilisent cependant pas en pr´esence de cycles dans le graphe de communication pour certaines valeurs initiales. Une g´en´eralisation des infimums, appel´e r-op´erateurs strictement idempotents [DT01], qui conduit `a l’auto-stabilisation du syst`eme r´eparti dans tous les cas de figure est la suivante : 1. Pour un entier n > 1 donn´e, il existe une fonction f :Sn7→ S d´efinie par :
f (x0, . . . , xn) = x0⊕ r1(x1)⊕ · · · ⊕ rn(xn) ;
2. L’ensemble de d´efinitionS est fini, ou S est infini et toute suite strictement croissante est non born´ee ;
3. ⊕ est un infimum qui induit une relation d’ordre total ⊕ surS (i.e. x ⊕
y≡ x ⊕ y = x) ; on note e⊕ le plus grand ´el´ement deS ;
4. Les fonctions ri sont des homomorphismes de (S, ⊕) (ri(x⊕ y) = ri(x)⊕ ri(y)) ;
5. Pour toute fonction ri et pour tout x∈ S\{e⊕}, x ≺⊕ri(x) (i.e. x⊕ri(x) et x6= ri(x)).
Par exemple, que l’op´erateur (x, y)7→ min(x, y + 1) v´erifie ces propri´et´es et four-nit un algorithme auto-stabilisant ; il permet de calculer la distance `a la source (c’est-`a-dire le processus dont la constante vaut z´ero) la plus proche. Il ´etait connu que l’auto-stabilisation ´etait garantie quand la communication s’effectuait par registres partag´es (que l’atomicit´e soit forte [DT03] ou faible [DT01]). Mon tra-vail [DDT06] montre que la propri´et´e peut ˆetre ´etendue aux communications par passage de messages, mˆeme en cas de pertes, duplications, ou d´es´equencements.
Enfin, je me suis int´eress´ee `a la propri´et´e de stabilisation instantan´ee [BDPV07]. On a vu dans la section 3.1.4, Comparaison avec d’autres modes de stabilisa-tion page 26 qu’un algorithme instantan´ement stabilisant doit r´epondre `a la premi`ere requˆete qui lui est adress´ee de fa¸con correcte (c’est `a dire que le pre-mier r´esultat fourni `a l’utilisateur est correct vis-`a-vis de la sp´ecification du ser-vice). Jusqu’alors, tous les travaux pr´esentaient des algorithmes instantan´ement stabilisants dans un mod`ele `a communications locales parfaites (en une ´etape atomique, un nœud est capable de connaˆıtre de mani`ere imm´ediatement fiable l’´etat du registre partag´e de chacun de ses voisins et de mettre `a jour son propre ´
etat). On voit qu’il y a l`a un probl`eme potentiel d’implantation, car il n’exis-tait jusqu’alors aucun algorithme capable de donner une telle garantie dans un mod`ele d’ex´ecution r´ealiste comme celui de la communication par passage de
messages (c’est-`a-dire, un algorithme instantan´ement stabilisant de communica-tion entre voisins). Ma contribucommunica-tion a ´et´e, entre autres, [DDNT10] (voir la sec-tion A.5 R´epondre imm´ediatement page 91 pour plus de d´etails sur les autres contributions), de permettre une telle implantation.
3.3.4 Multi-tol´erance aux fautes
Dans le paragraphe Passage de messages page 36, j’ai d´ej`a expliqu´e com-ment le passage `a un mod`ele de communication par passage de messages (quand les travaux ant´erieurs consid´eraient un mod`ele de communication moins r´ealiste) permettait de faciliter l’implantation effective des solutions envisag´ees. Dans le cas des solutions auto-stabilisantes [DT02, DDT06], l’apport n’est pas
seule-ment un changeseule-ment de mod`ele, mais aussi un nouveau type de tol´erance aux
fautes : les canaux de communications ne sont pas fiables, ils peuvent perdre, dupliquer ou d´es´equencer les messages en transit [Lyn96]. Bien sˆur, comme au paragraphe Travail sur l’identit´e page 34, on pourrait utiliser la propri´et´e d’auto-stabilisation pour tol´erer ces d´efaillances intermittentes en les consid´erant comme transitoires mais, si la moindre perte de message devait entraˆıner la re-stabilisation compl`ete du syst`eme (occasionnant par l`a mˆeme de nombreuses re-transmissions de messages, et donc de nombreuses nouvelles pertes), peu d’utili-sateurs trouveraient cette infrastructure utile. La propri´et´e que nous prouvons est plus forte : les pertes, duplications, et d´es´equencements ne perturbent en aucune mani`ere le syst`eme (en particulier, ils ne modifient pas la valeur de la fonction de potentiel utilis´ee pour prouver leur convergence). Ils peuvent donc se produire pendant la phase de stabilisation et pendant la phase stabilis´ee. On a donc bien une multi-tol´erance aux pannes transitoires et aux pannes intermittentes sur les canaux de communications dans la mˆeme ex´ecution.
La tol´erance aux pannes crash d´efinitives et aux pannes transitoires est im-m´ediate si les processus crash´es peuvent ˆetre imm´ediatement consid´er´es comme supprim´es du syst`eme (c’est `a dire, on dispose d’un d´etecteur de pannes crash parfait). Dans le cas contraire, de nombreux r´esultats d’impossibilit´e apparaissent [AH93]. Le cœur de ces r´esultats d’impossibilit´e r´eside dans le fait que l’on sup-pose que, dans une seule ex´ecution, des pannes transitoires et des pannes crash d´efinitives peuvent se produire. Une de mes contributions [DDP09] a ´et´e, tout d’abord, de consid´erer que si, dans une ex´ecution donn´ee, on a soit des occurences de pannes crash d´efinitives, soit des occurences de pannes transitoires (mais pas les deux dans la mˆeme ex´ecution) alors il est possible d’obtenir un algorithme `a la fois auto-stabilisant (quand des d´efaillances transitoires surviennent) et robuste (quand des d´efaillances d´efinitives surviennent) de mani`ere algorithmiquement tr`es simple. De plus, comme un algorithme robuste, cet algorithme garantit la sˆuret´e des r´esultats obtenus pour les mˆemes occurences de pannes d´efinitives. Il pr´esente l’avantage, par rapport `a un algorithme seulement robuste aux pannes crash d´efinitives, de revenir `a un comportement correct et robuste une fois le temps de stabilisation ´ecoul´e quand des d´efaillances transitoires surviennent (l’al-gorithme robuste non stabilisant, lui, ne satisfait plus jamais sa sp´ecification en cas d’occurences de pannes transitoires). Cette unification montre que les deux approches sont compl´ementaires et qu’elles ne doivent pas ˆetre oppos´ees, comme c’est trop souvent le cas.
3.3.5 Sˆuret´e des applications
L’id´ee de tol´erance aux pannes prˆon´ee par l’auto-stabilisation est optimiste [Tel00] (une machine essaie toujours d’ex´ecuter son code quelles que soient les circonstances, en esp´erant que les choses rentrent dans l’ordre toutes seules). En
3.3. Comprendre mes contributions 39
cela, elle est maintenant tr`es r´epandue dans nombre de protocoles r´eseaux qui uti-lisent la notion de best-effort [Her03, Per00] (on fait toujours de son mieux, en esp´erant que cela soit suffisant pour les couches sup´erieures qui utilisent le service qu’on offre). Dans certains types de syst`emes r´epartis, o`u les propri´et´es de sˆuret´e des calculs effectu´es sont importantes (les machines parall`eles, les grilles de calcul