MISRA C 2012 标准浅析

MISRA(The Motor Industry Software Reliability Association)，汽车工业软件可靠性联会； 1994年，英国成立。致力于协助汽车厂商开发安全可靠的软件的跨国协会，其成员包括：AB汽车电子、罗孚汽车、宾利汽车、福特汽车、捷豹汽车、路虎公司、Lotus公司、MIRA公司、Ricardo公司、TRW汽车电子、利兹大学和福特VISTEON汽车系统公司。

MISRA支持C语言标准的发展历程：

MISRA C 2012目前已经修订了多次，最近版本是AMD2，已经支持C11标准。MISRA主要是功能安全，而CERT C/C++则更多的关注安全威胁。MISRA C 2012:AMD2总计规则数175条，其中规则158条，指令17条。其中指令基本上是无法被SAST工具所检测分析的。175条规则中强制为15条、必要规则120条、建议规则40条。

MISRA标准中每一条规则有很多描述信息，包括类别、可判断性、支持语言标准、分析范围、规则编号、规则描述等。请见下图示意：

对于这些规则描述项说明如下：

标准分类：规则（Rule）和指令(Directive)之间的区别：

指令是一种描述性的指导规范，它无法提供执行符合性检查所需的完整描述。为了能够进行检查，需要给评测人员提供额外的信息，如设计文件或需求说明。

指令部分主要分为：实现、编译与构建、要求追踪、代码设计四个部分，共16条规范。

规则可以对相关要求提供完整的描述，评测人员或静态分析工具可以在不需要额外信息的情况下检查源代码是否符合对应规则。

指令：仅仅依靠源代码分析，无法对指令进行合规性判定，往往需要开发人员提供更多的信息，如设计文档和要求说明。静态代码分析工具可以判断代码符合指令，但对于代码不符合指令的情况，代码分析工具给出的结果可能不一致。

规则：仅仅依靠源代码分析，就可以对规则进行判断，不需要开发人员提供更多的信息，所有的静态代码检测工具都应具有对规则进行合规性判定的能力。

Category类别：

Mandatory guidelines 强制的：2012版增加的

声明符合Misra的C代码应遵守所有强制性准则-不允许偏差

Required guidelines必须的：

公司或项目可以选择将任何必须的准则视为强制性准则，不符合需要正式的偏差许可

Advisory guidelines建议的：

建议性的，不符合应被记录，但是无需正式的偏差许可

Decidability可判定性和Undecidable 不可判定性：

Decidable可判断的，总是能够在任何程序中使用工具确定代码是否合规，否则就是不可判定的

例如：

可判定的，规则11.3：取决于源指针和目标指针的类型

不可判定的，规则12.2：取决于移位运算符右侧操作数的值。

Analysis Scope分析范围

Single translation unit rule 单一编译单元

通过隔离分析每个编译单元中的源代码，可以可靠地进行验证的代码

System rules系统级

只能通过分析整个系统中的源代码了完全检查验证

MISRA合规对于企业的价值：

1. MISRA是汽车行业公认的C/C++语言编码规范；
2. MISRA和AUTOSAR已经联合，即将发布C++最佳行业实践标准；
3. 符合编码规范是ISO 26262:2018-6软件功能安全开发标准的内在要求之一，开发ASIL功能安全项目必须满足；
4. 客户软件过程能力审核要求；
5. 在研发生命周期早期发现软件中的缺陷，预防成本投入会大幅度降低投产后的售后维护成本。

对于C、C++语言开发，我们关注里面包括的运行时缺陷，例如缓冲区溢出、整数溢出、数组越界、内存泄露、空指针解引用等缺陷。但是对于出海的企业，例如车企其开发软件遵守MISRA标准是必要的。这些规则虽然大多数不会导致程序崩溃，但是会给这些软件运行带来潜在的出错风险，对于可能造成重大生命财产随时的软件还是应该去遵守的。下面我们列举几个例子、说明代码不安全性主要来源。

1. 开发者编码引入的错误；

     例如M6-2-1：赋值运算符不得用于子表达式；  a = b = c = 10;    if((x=y) != 0)

1. 开发者对C/C++语言的误解;

      例如：M5-0-2: 表达式中的 C++ 运算符优先规则应受到有限的依赖

     x = ( a + b );       x = static_cast< uint16_t > ( a ) + b; 

1. 编译器不执行开发人员所期望的操作；

     例如：规则 M4-5-3：类型（普通）char 和 wchar_t 的表达式不得用作除赋值运算符 =、相等运算符 == 和 ! 之外的内置运算符的操作数 = 和一元 & 运算符。

     if ( ( ch &gt;= ‘a’ ) &amp;&amp; ( ch <= ‘z’ ) )

1. 编译器包含错误；

    例如： M1-0-2： （强制性，工具链，非自动化）仅当多个编译器具有通用的定义接口时，才应使用多个编译器；

如果一个模块要用C++以外的语言实现，或者使用不同的编译器编译，需确保这个模块的正确集成。强制性考虑的问题包括：堆栈使用、参数传递、数据值的存储方式（长度、对齐、混叠、叠加等）。

1. 运行时错误；

 例如A18-0-2： 应检查从字符串到数值的转换的错误状态：

std::uint16_t a;     std::cin &gt;&gt; a;    // 没有检测到错误

目前，业界对于MISRA C 2012:ADM2支持最好的SAST工具是Coverity，支持的规则最多，检测效果最好。其次是北大Cobot，检测效果还可以。下面是MISRA C 2012规则全集，请参考。

（结束）

代码007普通

打赏 收藏 海报 链接