SnapCC：利用系统化状态探索进行有效的文件系统一致性测试

《ACM Transactions on Software Engineering and Methodology》：SnapCC: Effective File System Consistency Testing Using Systematic State Exploration

1. SnapCC通过系统调用生成和磁盘状态系统化探索，有效检测文件系统崩溃一致性漏洞，实验表明其覆盖率和漏洞发现数量显著优于B3和Hydra，并成功发现15个新漏洞。

　　现代文件系统在功能上日益丰富和复杂，这使得确保其崩溃一致性变得愈发困难。崩溃一致性指的是在系统发生意外故障（如电源中断、磁盘故障或人为错误）时，文件系统能够保持其内部数据结构和用户数据的有效性，从而在恢复后仍能维持一致状态。尽管已有的工具如B3和Hydra在发现崩溃一致性问题上取得了一定成效，但它们在测试覆盖范围、发现新错误的能力以及适应现代文件系统复杂性的方面仍存在局限性。本文提出了一种新的测试方法，通过系统性地探索文件系统的持久状态，提升崩溃一致性测试的有效性。

文件系统需要将数据写入非易失性存储设备，以确保其在系统重启后仍能正确恢复。然而，随着文件系统功能的扩展，例如Linux的BTRFS和FreeBSD的OpenZFS引入了压缩、加密、快照等高级特性，这些新功能使得崩溃恢复过程更加复杂。同时，传统的崩溃一致性测试方法主要关注POSIX兼容的文件系统操作，忽略了文件系统特定操作及其与POSIX操作的交互，这导致部分崩溃一致性错误未被发现。此外，由于文件系统在执行过程中会异步写入磁盘，因此捕捉所有可能的磁盘状态成为挑战。而手动检查大量测试用例又不现实，因此需要更高效的测试工具。

为了解决这些问题，本文提出了SnapCC，一种用于检测文件系统崩溃一致性错误的系统性测试工具。SnapCC的设计核心在于利用系统调用生成和反馈机制，以生成能够触发文件系统各种功能的测试用例。通过系统性地探索文件系统的磁盘状态，并结合自动化有效状态查找机制，SnapCC能够更全面地检测崩溃一致性错误。其工作流程主要包括以下几个步骤：首先，通过系统调用生成器和变异器生成多样化的文件系统调用序列；其次，使用系统性的磁盘状态探索技术生成所有可能的磁盘状态作为测试用例；接着，通过自动化有效状态查找机制确定文件系统在恢复后的正确状态；最后，使用一致性验证器比较实际磁盘状态与有效状态，以判断是否存在一致性错误。

SnapCC的实现基于现有的系统调用规格，如Syzkaller，结合了文件系统特定的调用信息，从而更有效地生成和变异调用序列。为了高效地进行磁盘状态探索，SnapCC利用了QEMU的qcow2镜像格式和BTRFS的子卷快照功能，实现了一种基于写时复制（Copy-on-Write）的磁盘状态迭代机制。这种机制不仅降低了存储和处理的开销，还使得SnapCC能够在执行过程中快速生成和处理多个磁盘状态，从而提高测试效率。

SnapCC在Linux文件系统BTRFS、F2FS和ext4上的测试结果显示，其在覆盖范围方面比Hydra提高了16%到44%。在为期14天的测试中，SnapCC发现了15个新的崩溃一致性错误，而Hydra和B3分别只发现了6个和2个。此外，SnapCC还被应用于其他文件系统，如UFS、XFS、BCacheFS和OpenZFS，共发现了7个新的错误。这些结果表明，SnapCC不仅在现有文件系统上表现出色，还具备良好的适应性。

SnapCC的执行开销相较于Hydra稍高，但其在发现错误方面的效果显著。在执行过程中，SnapCC通过系统性地探索所有可能的磁盘状态，使得其在覆盖代码和触发错误的能力上远超传统工具。此外，通过对比实验，即使在不使用文件系统特定操作（如ioctl）的情况下，SnapCC仍然能够比B3和Hydra多覆盖22%的代码，显示出其在普通POSIX操作中的强大检测能力。

SnapCC的设计不仅提升了文件系统崩溃一致性测试的效率，还通过系统性探索磁盘状态，增加了测试的全面性。同时，其使用了自动化有效状态查找机制，减少了手动分析的负担，提高了测试的可扩展性。在实际应用中，SnapCC能够检测到一些其他工具难以发现的文件系统特定错误，例如在BCacheFS中发现的一个由于子卷创建和删除操作引起的错误。这一错误在SnapCC的系统性测试中被成功识别，并通过相应的修复程序得到解决。

综上所述，本文提出的SnapCC在文件系统崩溃一致性测试方面具有显著优势。它通过系统性地生成和探索磁盘状态，有效提高了测试的覆盖范围和错误发现能力。SnapCC不仅适用于主流的Linux文件系统，还展示了其在不同文件系统上的良好适应性。通过对比实验和实际案例分析，本文证明了SnapCC在发现文件系统崩溃一致性错误方面的高效性和准确性。这一工具的引入为现代文件系统的稳定性测试提供了新的思路和方法，有助于进一步提高文件系统的可靠性和安全性。