基于DTMA的web服务组合分析与建模方法

基于DTMA 的web 服务组合分析与建模方法1李勇，李津，高春鸣湖南师范大学数学与计算机科学学院，长沙（410081）E-mail ：yong_li@摘 要：本文基于离散时间的移动ambient 演算（DTMA ）编码了进程代数中的一些基本进程结构,并系统地给出BPEL4WS 基本活动的编码,重点分析和建模了BPEL4WS 多层上下文辖域scope 的故障与补偿处理,为进一步的复杂Web 服务组合结构的分析和验证奠定了基础． 关键词：BPEL4WS ；ambient 演算；DTMA ，形式化建模 中图分类号：TP311.11. 引 言当前Web 服务组合语言及其形式化验证方法和自动验证工具的研究已经成为当前Web 服务技术的重要热点之一．对web 服务组合语言BPEL4WS 的形式化描述及验证的研究虽有一定的进展,例如加拿大YORK 大学提出了基于CCS 的BPE 演算来描述BPEL4WS,但其缺乏对时间、故障和补偿处理的表示,虽然简化了BPEL4WS 规范的形式花描述,但不能验证依赖于故障和补偿处理的BPEL4WS 规范行为[3]．故障处理、补偿处理等都是BPEL4WS 的高级属性,它们对于定义和执行业务流程至关重要,但目前的进程代数建模方法尚不能给出形式化描述[1]．我们在过去的工作中,采用π演算描述了单层scope 中的出错与补偿处理建模,发现由于没有空间算子,对于多层scope 的出错与补偿处理无法用pi 演算描述；加之时间不能表达,也导致了pick 结构化活动中重要的延时处理不能被描述,或者以内部活动τ简化表示延时活动[1],这种约简严重降低了形式化模型的详细程序行为的刻画能力．Mobile Ambient 演算在描述分布、自治和移动进程这类问题上具有一定的优势[2],并且Ambient 演算符号语义非常的接近程序语义, 本文通过离散时间移动ambient 演算（DTMA ）对BPEL4WS 中的基本活动和故障和补偿处理机制进行分析和建模,为进一步的对BPEL4WS 服务组合的验证提供很好的基础．本文第2节给出了DTMA 的语法和规约语义;第3节给出了用DTMA 编码的进程结构;第4节用DTMA 建模BPEL4WS 活动,第5节讨论了BPEL4WS 中的多层Scope 和出错与补偿处理机制,并给出了一个对两层嵌套Scope 建模的实例．第6节进行了总结并说明了下一步的工作．2. DTMA 基本语法和语义离散时间移动Ambient 演算（Discrete Timed Mobile Ambient,简称DTMA ）是通过在Mobile Ambient 演算[2]中增加时间算子后的扩充,以此来刻画系统中的实时行为．在DTMA 中,用非负整数集0N ≥表示时间,时钟变量x 是定义在时间0N ≥上的变量,时钟变量集合用C 表示,时钟变量集合上定义的时间表达式用()C Φ表示,具体定义如下:1）．,t u T x V ∀∈∀∈都是时间表达式; 2）．若,(),u T e C ∀∈∈Φ则u e ×是时间表达式;3）．,e f 为时间表达式,则e f +, e f ,max(,)e f 及min(,)e f 都是时间表达式,其中如果1本课题得到湖南省重点科技攻关项目(编号：05GK2002)，湖南省自然科学基金项目(编号：03JJY6023)，长沙市科技攻关重大项目(编号：K06070001-12)的资助。

e f≥,则e f e f =− ,否则0e f = ．引入了一个∞符号,规定时间的定义域为{}T D T =∪∞≤（，）．定义了与∞有关的一些运算如下:,min(,),max(,)e e e e ∞=∞∞=∞=∞ 表示运算符+− ，，,另外,1∞+=∞． DTMA 演算的语法可参见表1．Def )P :: Pr M::= Message nil inactivity t (C){}DTMA ocess π∈=∈Φ∞∪（ () restriction n nameP|P parallel e vn P e'e time expression M[P] ambient in_M @ entry capability at t !P replication t e'e e'e e'e out_M @ exit capability at t M.P exercise a capability open_M @ open capability at t (n)@. input locally at t, and e t e' t t t P ≤≤e'e empty path <M>@ output locally at t, and e t e' M.M' composite patht ε≤≤表1可看到，DTMA 基本语法和移动Ambient 演算[2]类似,只是在能力和输入输出动作上引入了时间算子,如对含输入动作前缀的进程e'e (n)@.t P,它限定了允许输入动作执行的时间段分别为[,']e e ,,'e e 都是时间表达式,时钟变量t 用于记录输入、输出这个动作发生的时刻.DTMA 演算的语义通过规约关系P Q →、延时关系P Q 和结构同余关系P Q ≡给出：P Q →与P Q 定义了进程在时间上的演变,P Q ≡是在规约的定义中的一个辅助关系．结构同余关系类似于一般移动ambient 演算,可参看文献[2],限于篇幅,在此不列出．规约关系如表2所示.表2 DTMA 的规约语义e'e e'e'-ue e-u e'e e'e [_m @.|]|[][[|]|]{/} , e u e'[_m @.|]|[][_m @t.|]|[]{/} , u e'[[_m @t.P|Q]|R] [|]|[]{/} , e u e'[[_m @t.P|Q]|R][[_m u u u u n in t P Q m R m n P Q R u t n in t P Q m R n in P Q m R t u t m n out n P Q m R u t m n out m n out ⎯⎯→≤≤+≤⎯⎯→≤≤ e'-u e-u e'e e'e'-ue e-u ''@t.P|Q]|R]{/} , u e'[open_@t.]||{/} , e u e'[open_@t.]|([open_@.]|){/} , u e'()@.|@'{/}{(,)/(,')} ,max(f,e)u min(f'u u u e f e f u t u t m m P Q P Q u t m m P Q m m t P Q t u t nil niln t P M t M n u u t t +≤⎯⎯→≤≤+≤<>→≤≤ '''',e')()@.|@'()@.|@'{(,)/(,')} ,u f',u e'' Q '' Q '|'|'|'|''!!' e f e u f u e f u e u f u u u u u u u u u n t P M t n t P M t t u t u t t P P Q P P Q P Q P Q P Q P Q P P P P −−<><>++≤≤→→→→⇒→ ()()[][] , P P', Q Q'P'''!!' ()()u u u u u u u u u u P Q vn P vn Q P Q n P n Q P Q Q P P P P P Q vn P vn Q→⇒→→⇒→→≡≡⇒→⇒⇒表1 DTMA 基本语法为便于表达简洁,在本文中规定：在DTMA 表示中,对一些没有时间要求的动作或进程,理论上这些动作和进程可以在系统的任何时刻执行,这些进程形如0@.M t P ∞,0()@.x t P∞,0@M t∞<>分别将它们简写为：., ().,M P x P M <>．3. DTMA 编码基本进程结构在对BPEL4WS 基本活动编码之前,我们先对BPEL4WS 中用到的基本进程结构编码． 1)顺序控制结构的编码:借助 “锁机制”[2],可以实现Ambient 进程中两个并发进程间的顺序控制,如:$. | .lP Q P release l acquire l Q ,其中: 顺序控制算子标记为“$l”,l 表示“锁”的名字．. []|release n P n P ,. .acquire n P open n P．规定:1212123123$$($)$l l l l P P P P P P ≡．2)实时通道的编码:在某些实时系统中,如银行贷款审批系统,客户在发出其贷款请求后,需要在某个合适的时间内得到审批结果．这就要求我们在刻画系统与外界的交互时也要加入实时性．在文献[2]编码π演算中的通道的基础上,根据DTMA 的语义,我们编码带时间限制的通道如下:e e eef f f f [! ] @ [ .@]()@. ()([ .()@.[ .]]|buf n n open io n Mt io in n Mt n x t P vp io in n x t p out n P ′′′′ )open p带时间限制的通道有如下规约:e f 1f 2u 2e|@|()@. |{}{/} max(,)min{','}buf n n M t n x t P buf n P x M u t e f u e f ′′→←≤≤3)非确定性选择:非确定性选择,它表示由系统自己内部做出决定,选择执行一个行为,不受环境干扰．由于系统内部选择的具体机制,并不清楚或者无需关注,从而能够提高规约的抽象级别和忽略相关细节．对DTMA 中的非确定选择可如下编码（其中()fn P 表示进程P 中所有名字的集合）：()( |[]|[]) (()())P Q vx open x x P x Q x fn P fn Q +∉ ∪4. 基于 DTMA 对BPEL4WS 基本活动建模BPEL4WS 的基本活动的DTMA 建模由表3给出．限于篇幅,不作详细解释．通道名由动作的标准属性组成,例如,receive 活动的建模中,通道n 被定义为//def n plValue ptValue oValue ,其中”plValue” , “ptValue”, “oValue”分别是标准属性”partnerLink”, “portType”, “operation”的值．表3中的函数T 用于将BPEL4WS 中表达时间的字符串映射为非负整数,该整数表示了时间持续期．另外,我们还假设系统的响应时间是即时的,因为作为发送响应消息的reply 活动,假定外部服务的QOS 属性良好是可以的．5. 基于DTMA 对多层Scope 的出错与补偿处理编码在BPEL4WS 中,作用域Scope 提供每个活动的执行上下文,它可以包含故障处理程序、事件处理程序、补偿处理程序．在对多层的Scope 的编码过程中,对每层scope,将整个Scope 作为一个Ambient,其中的故障处理程序,补偿处理程序,业务流程及直接下一级子Scope 作为该Ambient 的子Ambient ．因此对多层Scope 的编码框架如下：1[||Pr |_ |( min )min []|( )[ . min .0]]nii Scope scopename FaultHandler CompensationHandler ocess Scope child v ter ate ter ate v suspend suspend acquire term in ter ate =∏其中scopename 是外层scope 的名字；Process 是Scope 中的业务流程编码,可参照第四节对BPEL4WS 中基本和结构化活动的编码；Scope_child i 是该Scope 中的下一级子Scope,i 表示子Scope 的序号,它们的编码同外层Scope 的编码；FaultHandler 、CompensationHandler 将在下面分别介绍．5.1 故障处理的编码故障处理的一般形式为：<faultHandlers> <catch faultName="qname"? faultVariable="ncname"?>* activity</catch> <catchAll>？ activity </catchAll> </faultHandlers>其中“*”表示一个或多个元素,“？” 表示o 或一个元素．由于catch 活动是根据匹配名字faultName和faultVariable 来捕捉故障的,因此我们在给某个故障命名的时候,将两个名字用“#”串联,如 #faultName faultVariable ．如果某个名字缺省时,用空表示．对faulthandler 元素的具体编码如下：11[! .(().[[()@.((),)]])] | . .0|! ',...,,...,k k FaultHandler faultHandler open fault x p x name t P Q acquire restart open susp open p name P =_1'[ ... .0] 1'[ 0activity i i k P p out p out faultHandler P release restart i kQ p out p out faultHandler P release restart +≤≤其中：x 表示接收的一个故障名,用该故障名与faultHandler 中嵌套的能捕捉的故障名（即iname ）进行匹配,如果能匹配成功,表示该故障能被故障处理程序捕捉并处理,则执行相应的进程(1)i P i k ≤≤,并向外部释放“锁”restart ,供外部进程. .0acquire restart open susp 接收该锁并打开ambient susp ,使挂起的业务流程重新启动（5．3节做详细解释）；如果不能匹配所有的(1)i name i k ≤≤,则会执行以超时处理进程1k P +表示的catchAll 中的故障处理程序．当故障处理程序中有catchAll 元素时,表示其所属的作用域中的所有故障都能捕获并获得处理,因此上面的1k P +直接就是catchAll 元素中活动的编码；否则,当故障处理程序中没有catchAll 元素时,就存在某些故障不能在本作用域中被捕捉,需要向上一层作用域抛出,此时Q 为：( . . ).[.]|[ . .]Q go out p out faultHandler out scopeName fault in faultHandler x term out p out faultHandler in suspend <> 其中的x 在抛出故障时已经被实例化为一个具体的故障名,scopeName 为当前作用域的名字,ambient fault 移入上级faultHandler 空间做进一步处理；[.]term out p out faultHandler 用于发送一个终止通知（term ）,令当前作用域异常终止整个业务流程活动．5.2 补偿处理的编码补偿处理程序存在两种补偿方式：显式补偿或隐式补偿调用．显式补偿在执行compensate 活动时发生．compensate 活动必须在故障处理或补偿处理程序中显式定义,compensate 活动中的scope 属性表示了要被回滚补偿的作用域．当一个compensate 活动被触发时,它在指定的作用域内运行补偿处理程序．隐式补偿在故障被处理并传播时发生,例如作用域A 包含一个已经正常完成的可补偿的作用域B,隐式补偿通过运行它的补偿处理程序来确保撤销在作用域B 中所做的一切工作．下面是对BPEL4WS 的补偿处理机制的编码：_1[ . | .[ . .]]compensationni i compensate i i CompensationHandler compensationHandler open complete P open ChildSN p out compensationHandler in ChildSN P =∏以compensationHandler 命名的Ambient 内的补偿进程由并发算子分为两个子进程, 第一个子进程是针对作用域中的业务流程正常完成后,可能发生的隐式补偿处理程序调用；第二个子进程是针对故障处理程序中显式定义补偿处理所发生的调用．在5．1节已经提到,故障处理程序以显式方式通过当前作用域的子域名字调用compensationHandler 结构内定义的补偿处理程序,该补偿处理程序_compensate iP 会进入相应的子作用域进行回滚补偿处理．5.3 编码实例为了便于解读编码细节,我们仅对一个二层作用域的出错和补偿处理实例进行编码,二层以上的多层出错和补偿处理编码方式类似于二层作用域．下面是BPEL4WS 语言实例：<scope name="outer"><faulthandlers> …… </faulthandlers><compensationHandler> …… </compensationHandler> <scope name="interior"> <faulthandlers> <catch faultName="foo"> <P 1/> </catch> <catch faultVariable="bar"> <P 2/> </catch> <catch faultName="foo" faultVariable="bar"> <P 3/> </catch> <catchAll> <P 4/> </catchAll> </faulthandlers><compensationHandler><invoke partnerLink="Seller" portType="Purchasing" operation="CancelPurchase"inputVariable="getResponse" outputVariable="getConfirmation"> </invoke> </compensationHandler> <sequence><invoke partnerLink="Seller" portType="Purchasing" operation="SyncPurchase" inputVariable="sendPO" outputVariable="getResponse"><throw faultName="foo" faultVariable="bar"/> </invoke><invoke partnerLink="partner" portType="send" operation="sendMessage" inputVariable="message" outputVariable="Response"> </invoke> </sequence></scope> …… </scope>为便于解释,先编码该实例的形式化框架如下：[[...]|[...]|[...]| int [ ||Pr |inner inner inner Scope outer faultHandler compensationHandler process erior FaultHandler CompensationHandler ocess |min ] | [...]|min [...] ]inner inner Suspend Ter ate suspend ter ate下面是对命名为interior 的子ambient 内部五种结构的编码：1234[! .(().()[(( #*,*#,#)@. (,,,))]| . .0|! ' '[ . .inner i FaultHandler faultHandler open fault x vp p x open foo bar foo bar t P P P P acquire restart open susp open p P p out p out faultHandler P = 其中_1231. .0] 14/sin //sin ///[ .(activity i inner release restart i k Seller Purcha g CancelPurchase k Seller Purcha g SyncPurchase k partner send sendMessageCompensationHandler compensationHandler open complete k g ≤≤< 111123122Re $()| ]Pr [[(',,,)(()( |[()$(Re )]|[[ . l inner l et sponse k getConfirmation buf k ocess process n vl l l l vx open x x vl k sendPO k get sponse x fault out n out proc ><>3233". .#]$[ ]])$($(Re )) $(( ). .0))]| . .(.). []|! . l l l l ess in faultHandler foo bar susp out n k message k sponse go out n release l acquire l open n go out process in compensationHandler complete acquire susp in suspe <><>.0][ . min .0]min min []inner inner nd Suspend suspend acquire term in ter ate Ter ate ter ate在第4节BPEL4WS 中基本和结构化活动编码的基础上,interior 的子ambient 内部的faultHandler 出错处理、compensationHandler 补偿处理及process 进程均按照前面介绍的方法进行编码．interior 的suspend 及terminate 子ambient 的定义与多层Scope 的故障处理机制有关．按照BPEL4WS1．1规范,当前作用域在接收到一个故障后,首先停止嵌套在它内部的所有活动．在没有故障处理程序的情况下,当前作用域会停止它的活动,然后将故障重新抛给它的上级作用域．当一个作用域向上级作用域抛出故障时,作用域本身接着就会异常终止；如果故障在其出错的当前作用域中捕捉到并被处理,当前作用域会正常评估抛出故障的活动的传出链接,并继续进行执行该活动后面的业务流程．BPEL4WS1．1规范的语义表明BPEL4WS 的业务流程有三种状态,分别为正常执行的运行状态,业务流程中某个活动抛出故障的悬挂状态和本层作用域抛出故障的异常终止状态．为清楚地说明这些状态的编码,我们考虑更加简化的场景：存在二个作用域A 和作用域B,B 是A 的子作用域,B 中的业务流程抛出某个故障E,且作用域B 不能捕获该种类型的故障,于是E 被抛出到作用域A ．该场景可编码为：[|( min )min []|[...|[...]|[...|! . .0]|()[.min .0]|(min )min [ ]]]A v ter ate ter ateB faultHandler process acquire susp in suspend v suspend suspend acquire term in ter ate v ter ate ter ate其ambient 演算编码的解释是,当作用域B 中的业务流程活动抛出故障时,同时会释放“锁”susp,该锁被ambient process 中的子进程获得,该进程将process 移入名字为suspend 的ambient 之中,导致process 中的进程不能与外界通信而中止执行,即[|[]]suspend process ．对应于上面提及的悬挂状态．如果该故障被抛出到上级作用域,同时也会释放“锁”term,该“锁”进入suspend 命名的ambient,term[]与acquire term 产生溶解,激活ambient 内的能力子进程,该能力子进程将suspend 移入到本层作用域B 中的子ambient terminate 内,即[min [[|[]]]]B ter inate suspend process ,从而终止出错的业务流程执行．从上述编码实例的分析,可以说明ambient 演算由于具有空间描述算子,因而具有较其他进程代数更强的程序语义表达能力,能够描述复杂的多层程序结构,具体地表达进程运行的派生路线,有利于对BPEL4WS 从抽象到具体实现的分层次形式化建模。