Slide 1

Size: px

Start display at page:

Download "Slide 1"

なつきままだ
5 years ago
Views:

1 何が嬉しい? 何が変わった?MISRA-C:2012 Toyo Corporation Software Solution

2 本日の内容 1. MISRA C とは? 2. MISRA C:2012 の発行経緯 3. MISRA C:2004 と MISRA C:2012 の主な違い 4. 既存コードへの MISRA C:2012 の適用 2

3 本日の内容 1. MISRA C とは? 2. MISRA C:2012 の発行経緯 3. MISRA C:2004 と MISRA C:2012 の主な違い 4. 既存コードへの MISRA C:2012 の適用 3

C:1998 を改訂し新しいルールを追加 Exemplar suite によるルール解釈の補足

4 MISRA C とは? MISRA C:1998 フォード社およびローバー社向けに PRQA 社が開発したコーディングガイドラインがベースになっている車載ソフトウェア向けのコーディングガイドラインとして英国で策定 MISRA C:2004 MISRA C:1998 を改訂し新しいルールを追加 Exemplar suite によるルール解釈の補足 MISRA C:2012 経験豊富な 10 人のメンバーで構成される MISRA 委員会により策定 4 年間におよぶ策定作業 2013 年 3 月 18 日に発行 MISRA C:2004 からの大幅な進歩 MISRA C:2004 のルールは IPA/SEC の中で多数参照されている 4

5 MISRA C の意義 1. より安全な言語サブセットの定義 2. 形骸化の回避 3. コード品質の改善信頼性保守性移植性 5

6 より安全な言語サブセットの定義コンパイラ A ISO C 言語標準規格リスクのある用法コンパイラ B コンパイラ C より安全な言語サブセット 6

7 より安全な言語サブセットの定義 ISO 設計及び実装の正しさを支援するために, モデリング又はプログラム言語に対する設計とコーディングのガイドラインは, 表 1 で列挙された項目を取り扱わなければならない表 1 の抜粋 1b 言語サブセットの使用 b IEC61508 をベースにもつ機能安全規格は同等の規定をもつ b 手法 1b の目的は, 次のとおり - 異なるモデル作成者, プログラマ, コードジェネレータ, 又はコンパイラによって, 異なった解釈をされるかもしれない, 曖昧に規定された言語構文の排除. - 経験上, 間違いを簡単に犯しやすい, 例えば, 条件付き代入又はローカル変数, 及びグローバル変数の同じ名前のような言語構文の排除 - 処理されずに終わる可能性がある実行時エラーとなる言語構文の排除出典 : INTERNATIONAL STANDARD ISO 英和対訳版 7

8 リスクに基づいてルールを規定 ISO C リスクありリスクなし使わざるを得ない機能使わなくてもよい機能使用可能使用範囲を限定可能使用範囲を限定不能使用禁止使用範囲を限定するルール指針を提示文書化を要求 8

9 MISRA C が +α で注目したリスクプログラミング言語にそもそも備わっている脆弱性未定義の動作など文法的にも制約的にも問題はなくコンパイラはエラーを出力する義務もマニュアルで注意を促す義務も動作を保証する義務もない C99 では 190 個以上 int int buf[10]; buf[10] buf[10] = 0; 0; C より式の評価中に例外 (exception) が発生する場合 ( すなわち結果が数学的に定義できないか又は結果の型で表現可能な値の範囲にない場合 ) その動作は未定義とする 9

10 形骸化の回避ツールの力を最大限借りられる明確なルールを策定例えば MISRA C:2012 Rule 12.4 Evaluation of constant expressions should not lead to unsigned integer wrap-around ( 定数式の評価では, ラップアラウンドが発生しないようにすべきである ) [MISRA C:2004 Rule 12.11] リスクの対象を変数ではなく定数式に限定することでツールの力を最大限借りられるルールを策定 10

11 本日の内容 1. MISRA C とは? 2. MISRA C:2012 の発行経緯 3. MISRA C:2004 と MISRA C:2012 の主な違い 4. 既存コードへの MISRA C:2012 の適用 11

12 発行の動機 MISRA C:2004 の利用者に与えていた過剰な負担を軽減する - 利便性の高いC99の機能を逸脱の手続きなしで利用できるように! - ルール違反になる条件を明確にして誤解釈を防止! - 静的解析ツールの適用範囲を明確にして遵守手段を整理! - 危険度の高い型変換を検出するための枠組みを完成形に! - 自動生成コードの扱いを一つのドキュメントに一本化! - 厳しすぎて現実的ではなかったルールの見直し! 12

13 ISO C99 対応 ISO:C9 0 ISO:C9 9 様々なコンパイラおよびツールによる充実したサポート危険性に関する十分な理解浸透制約 - 例 : ブール型は使用できない _Bool 型 inline 関数などより多くの機能が利用可能に未定義の動作の追加などによる危険性の増加 C99 のすべての機能をサポートするコンパイラはほとんど存在しない MISRA C:1998 MISRA C:2004 MISRA C:2012 MISRA C:2012 ISO:C1 1 現在のところ最新の C 言語標準規格 C11 をサポートしているツールは非常に限られている十分な適用実績をもつ C99 規格の機能を利用可能に!c 13

14 ガイドラインの内容改善 3 行ガイドラインの要件が説明文の中に紛れていることもあった 45 行ルールに違反する条件の明確化! ガイドラインの構造化内容の充実内容の明瞭化不要な制約の除去を実施 14

15 ツールの適用範囲の明確化ガイドラインの分類を明確化 Rule ( ルール ) Or Directive ( 指針 ) ツールによるチェック限界を明確化 Decidable ( 決定可能 ) Or Undecidable ( 決定不能 ) ツールによるチェック範囲を明確化 Single Translation Unit ( 単一の翻訳単位 ) Or System ( システム ) 静的解析ツールの適用範囲の明確化! 15

16 ガイドラインの分類 MISRA C:2012 からガイドラインは 2 つの種類に分類されています Rule ( ルール ) 要件が明確に定義されている一部のルールを除いて静的にチェックすることが可能 Directive ( 指針 ) 要件が十分明確には定義されていない ( 要件の解釈に幅を持たせることが可能 ) プロセス要件または文書化要件に対応可能静的解析ツールの適用を想定しているガイドラインがルールに分類されます 16

17 チェック限界の明確化 MISRA C:2012 からすべてのルールが Decidable ( 決定可能 ) または Undecidable ( 決定不能 ) に分類されていますどのようなプログラムにおいてもコードがルールに準拠しているか否かをあるツールが常に判断できる場合そのルールは Decidable ( 決定可能 ) とみなされますそれ以外の場合は Undecidable ( 決定不能 ) とみなされますルールに準拠しているか否かを論理的に区別できるツールを作り出せると考えられる場合そのルールは Decidable に分類されています Decidable に分類されているルールであってもそのルールがすべてのツールで確実にチェックできるとは限りません 17

18 チェック範囲の明確化 MISRA C:2012からすべてのルールが System ( システム ) または Single Translation Unit ( 単一の翻訳単位 ) に分類されています System ( システム ) Single Translation Unit ( 単一の翻訳単位 ).c.c.c.h.h.h.h.h.h 18

19 MISRA C 独自の概念の改善 MISRA C:2004 から危険度の高い型変換をシステマティックに抽出するための新しい概念と用語を導入 signed signed long long sl; sl; sl sl = L; 16384L; /* /* オーバーフロー ( 危険な型変換を含む式 ) */ */ signed signed long long sl; sl; sl sl = 16384L 16384L ; 16384; /* /* OK OK */ */ int =16bit long = 32bit の場合上の式は危険度高下の式は危険度低と判断できるようにする int =16bit long = 32bit の場合 19

20 MISRA C 独自の概念の改善 MISRA C:2004 MISRA C:2012 underlying type ( 潜在型 ) essential type ( 実質的な型 ) complex expression ( 複合式 ) composite expression ( 複合式 ) effectively Boolean ( 実質的なブール型 ) essentially Boolean ( 実質的なブール型 ) 先進的な取り組みであったが列挙型やビットフィールドが考慮されていないなどの多くの穴があったどのような算術型の式でも表すことができる完成された枠組みを構築 20

21 自動生成コードの扱い自動生成コードに関する別ドキュメント MISRA-AC-AGC を統合するために以下の付録が追加されました Appendix E Applicability to automatically generated code 分離されていた 2 つのドキュメントを一本化 21

22 ルールの見直し Rule コード例 MISRA C 2004 MISRA C uint16_t ui = 42; // 右辺の方は signed int 違反 OK 2.2 x = y; // C++ 形式のコメント違反 OK 19.4 #define MM { for (i=0; i<n; ++i) { foo();} } // do-while でないマクロ違反 18.1 struct S *pst; // S は不完全型違反 OK OK 過剰な制限を課していたルールの見直し 22

23 本日の内容 1. MISRA C とは? 2. MISRA C:2012 の発行経緯 3. MISRA C:2004 と MISRA C:2012 の主な違い 4. 既存コードへの MISRA C:2012 の適用 23

24 MISRA C:2012 における変更 MISRA C:2012 を MISRA C:2004 と比較するとコンテンツ量の増加追加 / 削除 / 統廃合によってガイドラインの数が従来の 142 個から 159 個に変化コンテンツを構造化してより充実した内容に更新ガイドラインの多くの内容は実質的に変更されていない表現が見直されガイドラインの定義がより明確にガイドラインの番号は変更されている従来のコードは MISRA C:2012 に準拠しない場合があるいくつかの新しい要件が追加されているただしいくつかの制約が削除されている 24

25 追加 / 変更 / 削除に関する情報 MISRAの掲示板でマッピング情報と変更 / 削除内容に関する資料を公開 MISRA C:2012 MISRA C:2004 MISRA C:2004 MISRA C:2012 変更 / 削除内容 25

26 コンテンツの構造化要件を明確化 Amplification 要件の詳細な説明分類を追加 Rationale ガイドラインの必要性に関する説明 Example より多くのコード例を追加 Exception 例外事項を追加 26

27 コンテンツの構造化 Amplification, Rationale, Exception, Example を追加項目 Amplification Rationale Exception Example 目的ガイドラインの詳細な要件を記述してガイドラインの見出し文が複雑になることと要件が Rationale に紛れてしまうことを回避今まで通りガイドラインの必要性を説明ガイドラインの要件から除外する事項を記述してガイドラインの見出し文の複雑になることと要件が Rationale に紛れてしまうことを回避準拠 / 非準拠を明確に示したコード例を提示 MISRA C:2004 MISRA C: 行 45 行 27

28 Amplification の例 MISRA C:2004 Rule 8.11 The static storage class specifier shall be used in definitions and declarations of objects and functions that have internal linkage (static 記憶域クラス指定子は, 内部結合をもつオブジェクト及び関数の定義及び宣言に対して用いなければならない ) Rule 8.8 定義は宣言を兼ねる用語であり冗長な記述であったためガイドラインの見出しから分離して Amplification に記述 MISRA C:2012 Amplification The static storage class specifier shall be used in all declarations of objects and functions that have internal linkage Since definitions are also declarations, this rule applies equally to definitions. 28

29 Exception の例 MISRA C:2004 Rule 7.1 Octal constants (other than zero) and octal escape sequences shall not be used. ((0 以外の )8 進定数及び 8 進拡張表記は, 用いてはならない ) (0 以外の ) の部分をガイドラインの見出しから分離して Exception に記述 8 進拡張表記に関する要件は Rule 4.1 に分離 MISRA C:2012 Rule 7.1 Octal constants shall not be used Exception The integer constant zero (written as a single numeric digit), is strictly speaking an octal constant, but is a permitted exception to this rule 29

30 ガイドラインの分類 Type ( 種類 ) Directive( 指針 ) Rule( ルール ) Category ( カテゴリ ) Advisory( 推奨 ) Required( 必要 ) Mandatory( 必須 ) Decidability ( 決定可能性 ) Language ( 対象言語 ) C90 C99 C90, C99 Analysis Scope ( 解析範囲 ) Single Translation Unit ( 単一の翻訳単位 ) System ( システム ) Decidable ( 決定可能 ) Undecidable ( 決定不能 ) 30

31 ガイドラインの分類に関するまとめ分類のまとめ Directive ( 指針 ) (16) Rule ( ルール ) (143) Category ( カテゴリ ) Advisory ( 推奨 ) 7 32 Required ( 必要 ) Mandatory ( 必須 ) 0 10 MISRA C:2012 からいくつかのルールが Mandatory( 必須 )" に分類されました Language ( 対象言語 ) C C C90 または C いくつかのルールは特定の C90 と C99 のどちらかにのみ対応します Decidability ( 決定可能性 ) Decidable ( 決定可能 ) Undecidable ( 決定不能 ) ルールを静的にチェックした場合にいくつかのルールに関してはその確実性が担保されません Analysis Scope ( 解析範囲 ) Single Translation Unit ( 単一の翻訳単位 ) System ( システム ) 単一の翻訳単位内でチェックできるルールは決定可能なルールです 31

32 本日の内容 1. MISRA C とは? 2. MISRA C:2012 の発行経緯 3. MISRA C:2004 と MISRA C:2012 の主な違い 4. 既存コードへの MISRA C:2012 の適用 32

33 既存コードへの MISRA C:2012 の適用新たに追加したコードと変更を加えたコードにのみ MISRA C:2012 の適用を検討するべきですレガシーコードは一定水準の品質が担保されているとみなして MISRA C:2012 の適用対象外とするべきです 33

and document MISRA Cを適用する際は以下のものを作成文書化する必要があります A compliance matrix, showing how compliance with each MISRA C guideline

34 MISRA C:2012 の適用にあたって MISRA C:2012 Section Process activities required by MISRA C "In order to use MISRA C, it is necessary to develop and document MISRA Cを適用する際は以下のものを作成文書化する必要があります A compliance matrix, showing how compliance with each MISRA C guideline will be checked それぞれのMISRA Cガイドラインのチェック方法を示した準拠マトリクス MISRA C:2012 Section Compliance "Where a guideline cannot be completely checked by a tool, then a manual review will be required. ツールでチェックできないガイドラインはマニュアルレビューを実施する必要があります 34

35 逸脱の手続き MISRA C:2012 Section Process activities required by MISRA C "In order to use MISRA C, it is necessary to develop and document MISRA Cを適用する際は以下のものを作成文書化する必要があります A deviation process by which justifiable non-compliances can be authorized and recorded 非準拠箇所の妥当性を承認および記録できる逸脱の手続き MISRA C:2012 Section 5.4 Deviation procedure " It is important that such deviations are properly recorded and authorized. このような逸脱の手続きは適切に承認および記録することが重要です逸脱の手続きは時として避けることができませんしかしながら逸脱の手続きを乱用してしまうとプロセスの完全性が損なわれます MISRA C ADC: Approved deviation compliance for MISRA C:2004 ISBN (PDF), February

36 MISRA C:2012 関連情報 MISRA C:2012 の概要資料とホワイトペーパーのダウンロード PRQA 社の MISRA C:2012 サイト : - 概要資料 ( 英語 ): Fact Sheet about MISRA C3 のリンクをクリックして下さい - ホワイトペーパー ( 英語 ): White Papers のフォームにご登録下さい東陽テクニカの会員サイト : - 概要資料 ( 和訳 ) : 会員登録後にホワイトペーパー ( 東陽作成 ) > FACT SHEET - MISRA C:2012 の順でリンクをクリックして下さい - ホワイトペーパー ( 和訳 ) : 会員登録後にホワイトペーパー ( メーカー作成 ) > ホワイトペーパー申込み : MISRA C:2012 の順でリンクをクリックして下さい 36

37 MISRA C:2012 関連情報 MISRA C:2012 の入手 MISRA のサイト : - The MISRA webstore のリンクをクリックして下さい MISRA C:ADC と MISRA C:2004 との比較資料の入手 MISRA の掲示板 : - The MISRA Bulletin Board のリンクをクリックして下さい本セミナーの内容と重複する点もありますが MISRA C:2012 に関する Webinar を 6 月に開催いたします 37

38 質疑応答 38

39 39

Microsoft PowerPoint - A3②　JaSST_MISRA2004ソースコード品質診断.ppt

Microsoft PowerPoint - A3②　JaSST_MISRA2004ソースコード品質診断.ppt ISO/IEC9126 & MISRA-C:2004 ベースソースコード品質診断 ~ MISRA-C:2004 ベース品質診断のご紹介 ~ 株式会社東陽テクニカソフトウェアソリューション MISRA とは Motor Industry Software Reliability Association の略ヨーロッパ自動車技術会 (MIRA) の下部組織 MIRA: Motor Industry