💻 computer science

Astragalus: Automatic Configuration Repair for Production Networks

Astragalus 是一种基于语法的自动配置修复工具，它采用“定位 - 修复 - 验证”流水线，在不依赖昂贵语义建模的情况下，高效且有效地解决生产环境中的网络错误，从而实现高修复率和快速执行时间。

原作者： Zhenrong Gu, Peng Zhang, Xing Feng, Xu Liu

发布于 2026-05-22

📖 1 分钟阅读☕ 轻松阅读

原作者： Zhenrong Gu, Peng Zhang, Xing Feng, Xu Liu

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一座庞大而繁忙的城市，每秒钟都有数百万辆汽车（数据）需要从 A 点驶向 B 点。交通信号灯、路牌和单行道由城市规划者（网络工程师）编写的一套复杂指令控制。这就是计算机网络。

有时，规划者在指令中犯了一个微小的拼写错误——也许他们不小心在一条本应畅通的道路上放了一个“禁止进入”的标志。刹那间，交通陷入停滞，城市陷入混乱。这就是网络中断。

多年来，每当这种情况发生，工程师们不得不像侦探一样行动。他们会查看交通报告，猜测哪个标志错了，手动修复它，并祈祷它能奏效。这需要数小时，而城市依然停滞不前。

现在，Astragalus 登场了。这是一款旨在自动修复这些错误的新工具。以下是其工作原理的简单解释：

旧方法：“数学天才” Approach

以前的工具试图通过扮演超级聪明的数学天才来修复网络。它们会尝试编写一个巨大的、完美的方程，精确描述整个城市应该如何运行。然后，它们会让计算机求解该方程，以找出缺失的部分。

问题在于：城市太大、太复杂。编写那个巨大的方程需要耗费永恒的时间，而计算机在尝试求解时会陷入僵局。这就像试图通过计算每一种可能的走法，来解开一座摩天大楼大小的魔方。在紧急情况下，这种方法太慢，毫无用处。

新方法：“整形手术” Approach

本文的作者意识到，与其进行复杂的数学运算，不如借用一种修复计算机软件的技巧，即**“整形手术假说”**。

将网络想象成一家拥有数百名相同医生（设备）的医院。如果一名医生在处方中犯了错误，你并不需要从头发明一种新药。你只需查看其他 99 名正确执行相同工作的医生，复制他们的处方，并将其粘贴覆盖在错误之上。

Astragalus 正是这样做的。它并不试图理解网络规则的深层“含义”；它只是查看指令的文本，并将坏的部分与其他设备中的好部分进行交换。

Astragalus 如何工作（三步舞）

Astragalus 通过一个包含三个简单步骤的循环来修复网络：

侦探（定位）：
首先，它像侦探一样行动。它会运行城市交通的模拟。它会问：“哪一条具体的指令行卷入了交通堵塞？”它并不确定该行是否是原因，但它知道该行是“可疑的”。它会给每一行分配一个“可疑度分数”。
外科医生（修复生成）：
一旦找到可疑行，它就扮演起外科医生的角色。它会查看网络中其他正在执行相同任务的“健康”设备。它会从健康设备中取出一行有效的代码，并尝试将其“移植”（粘贴）到损坏的设备上。
- 示例： 如果某设备说“封锁这条路”，Astragalus 可能会查看邻居设备，发现它们说“允许这条路”，然后尝试交换这些词语。
- 它也可以尝试删除一行或修改一个数字。
交警（验证）：
在告诉工程师修复完成之前，它会运行一次快速模拟（试驾）。它会问：“如果我们做出这个更改，交通是否恢复流动？我们是否意外封锁了另一条路？”
- 如果是：成功！修复已就绪。
- 如果否：它会尝试列表中下一个最佳的“移植”方案。

为什么这很重要

该论文在两种类型的网络上测试了 Astragalus：

合成网络：由数千台设备组成的虚构城市。
真实生产网络：由一家大型云提供商使用的、包含数千台实际设备的庞大真实网络。

结果：

速度：当旧的“数学天才”工具耗时数小时或陷入僵局时，Astragalus 在几秒钟内修复了错误（平均约 7 秒）。
成功率：在真实网络中，它修复了测试错误的 97.5%。
可扩展性：它在小型网络上的表现与在拥有数千台设备的巨型网络上一样出色。当网络变得过大时，旧工具会崩溃；而 Astragalus 则持续运行。

论文中的真实案例

作者分享了来自一家真实云提供商网络的两个故事：

故事 1（黑洞）：由于某设备意外拒绝了自己的流量，一条路由被阻塞。Astragalus 查看了“可疑”行，找到了一台正确处理该流量的类似设备，并交换了指令。它在不到 2 分钟内修复了问题。
故事 2（路由翻转）：流量在两个交换机之间来回反弹，导致环路。Astragalus 没有立即找到确切的根本原因，但它建议了一项更改，停止了这种反弹。这为人类工程师提供了寻找真正问题的线索。它在大约 5 分钟内找到了可行的解决方案。

结论

Astragalus 是一款通过将网络配置视为复制粘贴任务而非复杂数学问题来阻止网络中断的工具。通过查看其他设备做对了什么并加以复制，它可以在几秒钟内修复损坏的网络，使操作员免于数小时充满压力的手动调试。

注意：该论文严格专注于修复数据中心中的路由错误（如 BGP）。它并不声称能修复硬件故障、操作系统中的软件漏洞或物理电缆切断。

技术摘要：Astragalus——面向生产网络的自动配置修复

1. 问题陈述

网络配置错误是导致灾难性服务中断的主要原因，在大型云服务提供商（CSP）网络的事件中占据了相当大的比例。尽管现有的网络验证工具能够检测诸如无环性和可达性等属性的违规情况，但它们通常仅能识别问题而无法解决。运维人员必须手动定位根本原因并修复配置，这一过程往往耗时且容易延误。

现有的自动配置修复（ACR）工具主要依赖于语义驱动方法。这些方法将网络语义、转发属性和配置建模为一组可满足性模理论（SMT）约束，并通过求解这些约束来寻找修复方案。然而，这种方法在可扩展性和通用性方面面临严重局限：

复杂性：分布式路由协议产生了高度复杂的语义，使得约束构建变得困难。
可扩展性：约束数量随网络规模呈爆炸式增长（例如，45 节点的胖树网络需要 7,900 个约束），导致 SMT 求解器在生产网络中运行得极其缓慢，难以实用。
通用性：现有工具通常仅覆盖部分协议或功能，限制了其在多样化生产环境中的适用性。

2. 方法论：Astragalus

受自动程序修复（APR）的启发，特别是“塑料手术假说”，作者提出了Astragalus，这是一种语法驱动的 ACR 方法。该方法假设有效的修复要素已存在于配置仓库中，并尝试通过“嫁接”它们来修复错误，而无需对全局网络语义进行建模。

Astragalus 在一个“定位 - 修复 - 验证”的流水线中迭代运行多次：

2.1 建模

配置被表示为抽象语法树（AST）。系统区分标准配置单元和“容器”单元（支持添加或删除同类型子节点的节点，如路由策略或前缀列表）。这种结构确保了生成的修复在语法上是有效的。

2.2 步骤 1：定位（SBFL）

Astragalus 采用**基于谱的故障定位（SBFL）**来识别可疑的配置行。

测试套件：系统将网络前缀（通过 bgp network 命令宣告或外部路由）视为测试用例。
执行概况：网络模拟器计算数据平面，并记录每个前缀“执行”（覆盖）了哪些配置单元。
错误向量：规范（如可达性、无黑洞）决定了前缀是通过还是失败。
评分：系统使用Ochiai系数计算每个配置单元的可疑度得分。对失败测试用例贡献更大的单元会获得更高的得分。

2.3 步骤 2：修复生成

基于可疑度得分，系统使用三种语法运算符生成候选更新：

删除（Remove）：从 AST 中删除一个节点（及其子树）。
插入（Insert）：将一个来自“模板设备”（具有相同角色的设备）的节点插入到可疑单元中。
修改（Modify）：将节点的值更改为在模板设备中找到的值。
系统优先执行删除操作（因为它们通常更有可能成功），其次是插入和修改，并根据源单元的可疑度对候选项进行排序。

2.4 步骤 3：验证

将候选更新应用到配置中，网络模拟器根据规范重新评估数据平面。

如果网络完全修复，过程终止。
如果错误减少但未消除，系统将迭代运行，在新的配置状态下重新定位。
采用深度优先搜索策略来探索状态空间，如果某条路径耗尽则进行回溯。

3. 主要贡献

范式转变：本文论证并展示了从语义驱动（基于 SMT）向语法驱动方法转变用于 ACR 的可行性，利用了来自 APR 的见解。
Astragalus 系统：设计并实现了一个通用、可扩展的 ACR 工具，采用“定位 - 修复 - 验证”流水线。它依赖于现有的配置语法和现成的验证器，而非复杂的语义建模。
实证验证：在合成的胖树网络和来自主要 CSP 的真实生产网络配置上进行了广泛测试。

4. 实验结果

作者在 15 种注入错误类型上评估了 Astragalus 与最先进工具（AED 和 CEL）的性能。

合成数据上的性能：
- Astragalus 修复了合成胖树网络（ $k=4$ 到 $12$）中 100% 的错误。
- 速度：在小规模网络（ $k=4$ ）中，可达性事件的平均修复时间为 0.024 秒，路径变更事件为 0.097 秒。
- 可扩展性：与在 $k \ge 6$ 的网络上超时（10,000 秒）的 AED 和 CEL 不同，Astragalus 即使在 $k=12$ 时也能将修复时间保持在 1 分钟 以内。
真实数据上的性能：
- 在生产网络的一个子集（83 台设备）上进行了测试。
- 修复注入错误的成功率达到 97.53%。
- 平均修复时间为 6.93 秒，大多数错误在一秒内被修复。
- 在一个涉及约 1,000 台设备的真实案例研究中，Astragalus 在 6 分钟 内为网络事件提供了有效的修复建议。
修复质量：
- 虽然“命中率”（直接识别确切的注入错误位置）有所波动（平均 57.6%），但该工具经常提供可操作的修复方案以解决事件。
- 在事件 B（路由翻转）中，虽然该工具没有立即识别出根本原因（社区不匹配），但它提供的建议帮助工程师隔离了直接原因（本地优先级过低）并解决了路由抖动问题。

5. 意义与主张

本文主张，Astragalus 证明了语法驱动方法是大规模生产网络中自动配置修复的一种可行且优于语义驱动方法的替代方案。

可扩展性：通过避免 SMT 约束的爆炸式增长，Astragalus 能够处理数千台设备的网络，而现有工具在此规模下会失效。
通用性：基于语法而非特定协议语义的操作，使得该工具无需重新构建语义模型即可应用于不同的厂商和协议。
实用性：该工具成功修复了拥有 O(1,000)–O(10,000) 台设备的生产环境中的真实事件，并在几分钟内（而非几小时）提供建议。

作者承认了局限性，例如无法修复根本原因涉及缺失路由通告的配置（因为没有测试用例覆盖它们），以及目前主要关注控制平面（路由）而非数据平面转发配置。他们建议未来的工作可以整合大语言模型（LLM）用于修复生成，并将该方法扩展到数据平面配置。