作者:paradoxfx 來源:電子產品世界 如果我們自己編寫了一個程序,程序能正常編譯,運行起來也實現了我們期望的輸出,那是不是這個程序就很完善了呢?對于工業產品來說,“好”、“能用”和“完善”,或者說“標準”,甚至是代碼的“安全”,顯然不是一個層面的東西。因為C語言雖然是我們開發嵌入式應用的最主要工具之一,然而C語言并非是專門為嵌入式系統設計,相當多的嵌入式系統較一般計算機系統對軟件安全性有更苛刻的要求;例如在那些對安全性要求很高的系統中,如飛行器、汽車和工業控制中,只要代碼的工作稍有偏差,就有可能造成重大的財產損失或者人員傷亡。 那么如何衡量我們的代碼是否滿足某些標準,是“安全的”、“健壯的”呢?此時我們就可以根據具體的應用來查找相關的行業標準。舉個例子,在工業領域中,MISRA-C就是在的某些行業中要求遵守的行業標準。MISRA C是由汽車產業軟件可靠性協會(MISRA,motor industry software reliability association)提出的C語言開發標準。其目的是在增進嵌入式系統的安全性及可移植性。針對C++語言也有對應的標準MISRA C++。MISRA C一開始主要是針對汽車產業:如果我們去參加近幾年的有關汽車行業的基于自動代碼生成技術和基于模型的設計技術的講座、研討會等等,無一例外都會聽到有關MISRA-C 2004,甚至是MISRA-C 2008、MISRA-C 2012等更新版本的介紹。此外,其他產業也已經逐漸開始使用MISRA C:包括航空航天、電信、國防、醫療設備、鐵路等領域中都已有廠商使用MISRA C:這些領域無一不對代碼的規范,特別是代碼的安全有非常高的要求。MISRA C的第一版《Guidelines for the use of the C language in vehicle based software》是在1998年發行,一般稱為MISRA-C:1998.。MISRA-C:1998有127項規則,規則從1號編號到127號,其中有93項是強制要求,其余的34項是推薦使用的規則。在2004年時發行了第二版的MISRA C的第一版《Guidelines for the use of the C language in critical systems》(或稱作MISRA-C:2004),其中有許多重要建議事項的變更,其規則也重新編號。MISRA-C:2004有141項規則,其中121項是強制要求,其余的20項是推薦使用的規則。規則分為21類,從“開發環境”到“運行期錯誤”。通常認為,如果能夠完全遵守這些標準,則你的C代碼是易讀、可靠、可移植和易于維護的。最近很多嵌入式開發者都以MISRA C來衡量自己的編碼風格,比如著名的uC/OS-II就得意地宣稱自己99%遵守MISRA標準。目前有許多工具聲稱可以檢查代碼和MISRA規則相容性,不過MISRA沒有相關認證的程序。相關工具可以幫助使用者評估和比較檢查的結果,也會提供一些可符合MISRA-C規定的指南,但是目前大部分的工具對靜態代碼分析的工具檢查基本能實現,對動態代碼分析則還不能完美實現。 考慮到MISRA-C:2004有141項規則,其中僅強制要求就有121項,其余的20項是推薦使用的規則,顯然讓我們僅僅是把這么多規則瀏覽一遍就需要花費大量的時間,更不用提手工對照規則來檢查我們的軟件了。幸好我們使用的DSP編程環境CCS提供了相應的選項,使得編譯器可以自動檢查我們的代碼是否違反了MISRA-C的相關規則,并提供給我們詳細的診斷與警告信息。 在C語言的標準ANSI C 和 ISO C之后,又產生了更新的C99以及最新的C11 (ISO/IEC 9899:2011),但是因為最新版本的規范從推出到各大編譯器廠家支持以及開發者的適應都需要一定的時間,所以目前最常用的仍然是ANSI C或者C99。與此類似, 雖然MISRA-C的標準最弱已經有最新的2012,但是人們談論和使用最多的仍然是2004版本,所以在CCS的編譯器選項里仍以MISRC-C:2004的規則為準。 啟用了--check_misra={all|required|advisory|none|rulespec}的選項使能MISRC-C:2004規則檢查之后,還可以在代碼中可以配合相關的預處理指令使能某些代碼的檢查/停止檢查功能,包括: #pragma CHECK_MISRA ("{all|required|advisory|none|rulespec}"); #pragma RESET_MISRA ("{all|required|advisory|rulespec}"); 其中,CHECK_MISRA用來使能或者禁止對MISRC-C:2004規則的檢查,它的作用與--check_misra是一致的。RESET_MISRA則用來復位MISRC-C:2004規則檢查的狀態。 rulespec參數則可以用來指定我們使用哪些MISRC-C:2004中的哪些規則來進行特點的檢查,包括: [-]X 使能 (或者禁止) X主題下各個規則的檢查。(主題包括變量、字符、初始化等) [-]X-Z 使能 (或者禁止) 從X到Z主題下各個規則的檢查 [-]X.A 使能 (或者禁止) X主題下規則A的檢查。 [-]X.A-C 使能 (或者禁止) X主題下從規則A到規則C的檢查。 舉例說明:--check_misra=1-5,-1.1,8.2-4的含義是: 檢查從主題1到主題5的規則。(不清楚的網友可以去搜索MISRA規范,1.環境;2.語言擴展;3.文檔;4.字符集;5.標識符) 禁止規則1中1.1條目的規則(規則1.1(強制): 所有代碼都必須遵照ISO 9899:1990 “Programming languages - C”,由ISO/IEC 9899/COR1:1995,ISO/IEC 9899/AMD1:1995,和ISO/IEC9899/COR2:1996 修訂),規則1中的其它規則保持有效。 檢查主題8中的規則2到4.為了方便,我們可以列出這幾條規則的定義(其內容較長,有興趣的網頁請在搜索引擎中檢索): 主題8: 聲明與定義 規則8.2(強制): 不論何時聲明或定義了一個對象或函數,它的類型都應顯式聲明。 規則8.3(強制): 函數的每個參數類型在聲明和定義中必須是等同的,函數的返回類型也該是等同的。 規則8.4(強制): 如果對象或函數被聲明了多次,那么它們的類型應該是兼容的。 |