形式化验证工具TLA+：程序员视角的入门之道

一 引言

女娲是飞天分布式系统中提供分布式协同的基础服务，支撑着阿里云的计算、网络、存储等几乎所有云产品。在女娲分布式协同服务中，一致性引擎是核心基础模块，支持了Paxos，Raft，EPaxos等多种一致性协议，根据业务需求支撑不同业务状态机。如何保证一致性库的正确性是一个很大挑战，我们引入了TLA+、Jepsen等工具保证一致性库的正确性。本文即从程序员视角介绍形式化验证工具TLA+。

从理论上证明一个程序或者算法的正确性往往是困难的，工程中一般使用测试来发现问题，但再多的测试也无法保证覆盖到了所有的行为，那些没覆盖到的行为就成为潜在的隐患，一旦在线上再暴露出来，往往会带来不可预期的结果。形式化验证正是为了解决这样的问题，它使用计算机强大的计算能力，暴力的搜索所有可能的行为，检查是否满足事先设定的属性，任何不符合预期的行为都能被发现，从根本上保证算法的正确性。

二 TLA+简介

TLA+(Temporal Logic of Actions) 是Leslie Lamport开发的一门形式化验证语言，用于程序的设计、建模、文档和验证等，特别是并发系统和分布式系统。TLA+的设计初衷是用简单的数学理论和公式精准地对系统进行描述。TLA+及其相关工具有助于消除程序中很难找到、纠错成本高的基本错误。

使用TLA+对程序进行形式化验证，首先要用TLA+对程序进行描述，这样的描述称为规范(Specification)。有了Specification以后就可以使用TLC模型检查器来运行它，运行的过程会遍历所有可能的行为，检查Specification中设定的属性，发现非预期的行为。

TLA+基于数学，使用的是数学思维，与任何编程语言都不相似。为了降低TLA+的门槛，Lamport又开发了PlusCal语言，PlusCal与编程语言类似，可以很方便的描述程序逻辑，并且借用TLA+提供的工具可以直接将PlusCal翻译成TLA+。大多数工程师会发现PlusCal是开始使用TLA+的最简单方法，但简单带来的代价就是PlusCal不具备TLA+的一些功能，有时不