嵌入式软件测试技术[MISRA]

– 行业标准
• GJB 5369 – 航天型号C语言安全子集 • ……
10
嵌入式软件静态测试技术
一切为了安全
• MISRA C概述
– 关于MISRA – MISRA标准，为什么 – MISRA-C2规则一览
11
一切为了安全
MISRA C概述
• 关于MISRA
– MISRA = The Motor Industry Software Reliability Association
13
一切为了安全
MISRA C概述
• MISRA标准，为什么
没有任何一种编程语言能够确保它的最终执行过程会和程 序员的预期完全吻合 –程序员的失误——这是常有的事。错误发生时，C往往能 容忍
• 书写错误 • 算法理解错误 • C语言非常灵活，可以写出风格和表达截然不同的文章
–程序员对语言的误解
• 误会语言构造的作用 • 没有正确理解编程语言的全部内容
3
质量从代码抓起
源代码分析技术概述
• 早期静态分析技术
–“古老的”静态分析方法――代码审查
• 直到现在，代码审查的方式仍在应用。这种 方式的确有利于提高代码的质量，最大的好 处是简单易行，可以发挥人的主观能动性。 • 对审查人员的要求较高 • 经验表明，超过百万行的代码进行审查时， 发现问题是很困难的 • 人工方式有很大的局限：耗时、易犯错、可 靠性低 • 对内缺乏可持续性，对外不具备权威性
12
一切为了安全
MISRA C概述
• MISRA标准，为什么
–在汽车电子和实时嵌入式应用中，C的使用越来越体现出广 泛性和重要性。这主要取决于C语言在嵌入式行业的应用优 势：
• C可用于硬件操作。对多数微处理器来说，C往往是最佳甚至是唯一 的选择。 • C对高速、底层、输入/输出操作等提供了很好的支持。而这些特性 是许多汽车嵌入式系统的基本特性。 • 由于嵌入式系统日益复杂，高级语言C较之汇编语言显然更为适合。 • 相对于其他一些高级语言，C能够产生较少的代码和较少的RAM密集 性（RAM-intensive）。 • 不断增长的可移植性需求。市场竞争要求可以通过移植到新的和/或 低成本的处理器，以降低硬件成本。 • 不断增长的自动产生C代码的需求，以及对开放系统和主机环境 （hosted enviroments）的兴趣。
– 解释
• 不同的编译器对基本类型会使用不同的底层表达方式。例如 int 类型在 某个编译器中是 16 位，而在另一个编译器中被当作 32 位处理 • 对数据类型一目了然，不至混乱，便于移植和维护。
23
从细节做起
数据类型
• 规则6.1（强制）
–单纯的char类型只可用于字符值。
• 规则6.2（强制）
–求人不如求己
• ——避免来自编译器的隐患
2
嵌入式软件静态测试技术
质量从代码抓起
• 测试从需求开始 质量从代码抓起
–“优质”代码：软件质量的基础 –静态测试：获取“优质”代码的重要手段
• 关于软件静态测试
–又称静态分析，也称源代码分析 –与动态测试相对应 –不运行被测代码，只对源代码本身进行分析 –无需测试用例 –无需事先假设，没有预期性 –自动化，简单易行 –源代码分析技术的发展，使软件测试从要求功能性正确 向如何获得高质量代码的方向发展
• 汽车工业软件可靠性联合会
–源自于英国政府1990年成立的“安全IT”计划的一个项目
• 1994年正式独立出来，总部在英国
–致力于协助汽车厂商开发安全可靠的软件，其主要成果就是 MISRA C/C++标准 –MISRA常设一个指导委员会，目前成员是：
• • • • • • • 福特汽车（Ford） 捷豹路虎（Jaguar Land Rover） 莲花公司（Lotus Engineering） 米拉汽车设计（MIRA Ltd） 里卡多公司（ Ricardo plc） TRW汽车电子 利兹大学（The University of Leeds ）
• 编译器也是软件，也有缺陷 • 对于C的一些难以理解的地方，编译器的编写者很容易错误地解释 和实现
–操作平台的差异
• 尽管语言一样，但在不同的目标平台上表现不一样
–运行时错误
• 也许语言本身并没有问题，但某些特殊的数据会在代码运行时产 生错误
15
一切为了安全
MISRA C概述
• MISRA标准，为什么
19
建议规则 1 1 1 0 3 1 0
一切为了安全
MISRA C概述
• MISRA C2规则一览
–8—14类，共56条（49+7） 序号 8 9 10 11 12 13 14 分类 声明与定义 初始化 数值类型转换 指针类型转换 表达式 控制表达式 控制流 强制规则 12 3 6 3 9 6 10
• 基于C90。废除了15条旧规则，部分规则细化，新引入一些数学 操作的规则 • 共141条规则
– 121条强制：必须遵守。 – 20条建议：通常情况下要遵守。
–MISRA C3
• 基于C99
17
一切为了安全
MISRA C概述
• MISRA标准的应用
–最初，MISRA C是为了增强汽车工业软件的安全性。事实 上，MISRA C标准确实迎合了很多汽车厂商的需要 –与此同时，MISRA C不仅在汽车工业行业开始普及，也影 响到了嵌入式开发的其他方向。
–基于词法/语法的代码分析
• • • • 自动扫描 能够区分有问题的词汇和语法缺陷 会产生误报，没有考虑代码的语义 编译工具的一种补充
4
质量从代码抓起
源代码分析技术概述
• 新一代静态分析技术
–基于规则的代码检查
• 以某种编程标准（规则）为依据分析源代码，发现其违反或不 合规则的地方，并给出“违规”的具体信息 • 规则是指导我们写出高质量代码的标准。我们有理由相信符合 规则的代码就是高质量、少缺陷的代码 • 通过找出“不合规则”的代码剔除可能的缺陷 • 提高产品的可移植性、可靠性、可读性 • 除明显的错误外，一般不深入分析缺陷 • 重在“预防”，影响深远
嵌入式软件测试技术
（静态篇-代码规则检查）
皮永辉
2012年8月
1
内容提要
• 嵌入式软件静态测试技术
–质量从代码抓起
• ——源代码分析技术概述
–一切为了安全
• ——MISRA-C概述
–从细节做起
• ——数据类型
–清晰无误的表达
• ——函数和表达式
–安全正确的指向
• ——指针和数组
–别犯路线错误
• ——程序流程的规范做法
–signed char和unsigned char类型只可用于数字值
• 规则6.4（强制）
–位域只能被定义为unsigned int或singed int类型
• 规则7.1（强制）
–不得使用八进制常数(0除外)或八进制转义符 –解释：
• 八进制数以字母 O 打头，极易看成数字 0
24
从细节做起
数据类型转换
22
从细节做起
数据类型
• 规则6.3（建议）
– 不要直接使用 char, int, float等基本数据类型。而应使用“特定 长度”的typedef，显式地指示数据类型的大小和符号。 – 为此，MISRA建议，对于32位计算机：
typedef typedef typedef typedef typedef typedef typedef typedef typedef signed sigigned unsigned char char short int long chat short int 1ong chat_t； int8_t； intl6_t； int32_t； int64_t； uint8_t； uint16_t； uint32_t； uint64_t；
6
质量从代码抓起
源代码分析技术概述
• 新一代静态分析技术
–三招“打造”高质量的代码 –代码规则检查——
• 预防为主
–代码质量分析——
• 强身健体
–代码缺陷分析——
• 检查治疗
7
源代码分析技术概述
代码规则检查
• 代码规则的作用
–对可靠性和正确性的强制要求，对语言使用的规则说明
• • • • • • • 避免使用未定义的、不明确的语言特性 限制特定库、特定结构的使用 防止编译器的错误 防止一般编程错误 提高预防性编程实践 限制程序的复杂性 提供统一的编程风格和命名规范
14
一切为了安全
MISRA C概述
• MISRA标准，为什么
–程序员对编译器的误解
• C语言中许多地方是未经完善定义的，其实际行为取决于编译器的 解释，可能与程序员的预期完全不同 • “未定义行为”可能会随着编译器的改变而改变 • 某些情况下其行为甚至在同一个编译器内也会根据上下文而发生 变化
–编译器的错误
20
建议规则 0 0 0 2 4 1 0
一切为了安全
MISRA C概述
• MISRA C2规则一览
–15—21类，共55条（48+6） 序号 15 16 17 18 19 20 21 分类 switch语句 函数 指针与数组 结构与联合 预处理指令 标准库 运行时错误 强制规则 5 9 5 4 13 12 1
– 所以，在安全相关系统中使用C语言需要相当小心。 MISRA的建议： –首先，只能使用在ISO标准中定义的语言。因此排除了 以下方面的使用
• K&R C • C++ • C的私有扩展
–其次，不要使用所有的C语言特性 –而且，必须对语言的使用加以限制，避免那些确实可能 产生问题的地方，直到它是可以应用的 –另外，汇编语言不再适合于安全相关系统，在某些方面 可能更糟，不建议使用