MISRA C++和AUTOSAR C++的合并:软件开发行业专家的圆桌讨论

原创|行业资讯|编辑:郑恭琳|2020-06-02 14:38:12.883|阅读 53 次

概述:汽车工业软件可靠性协会(MISRA)宣布了MISRA C++和AUTOSAR C++的未来合并,这两种领先的安全性至关重要的C++编码标准。这对标准用户意味着什么,这将对组织实现合规性产生什么影响? 我们在Parasoft召集了一组行业专家,以圆桌会议的形式讨论了MISRA C++的未来以及该新的合并标准带来的预期影响和收益。

# 您正在找协同办公软件吗?点击这里站长给您推荐 #

相关链接:

汽车工业软件可靠性协会(MISRA)宣布了MISRA C++和AUTOSAR C++的未来合并,这两种领先的安全性至关重要的C++编码标准。这对标准用户意味着什么,这将对组织实现合规性产生什么影响?


我们在Parasoft召集了一组行业专家,以圆桌会议的形式讨论了MISRA C++的未来以及该新的合并标准带来的预期影响和收益。

参加者是:


圆桌讨论


如今如何使用MISRA C++和AUTOSAR C++标准,以及您在汽车行业遇到的一些普遍问题是什么?

Mirek:尽管这两个标准都起源于汽车,但我们经常看到它们不仅用于汽车ISO 26262,而且还用于IEC 61508(工业自动化标准)、医疗设备和IEC62304。因此,当我们谈论MISRA和AUTOSAR时,它不仅适用于汽车行业。

就问题而言,根据我与多个行业的不同客户合作的经验,我想说,遵守编码标准最困难的部分是:

  • 在团队的静态分析工具中设置标准
  • 第一次分析后的初始阶段
  • 处理大量违规

成功肯定取决于将标准引入组织的方式,建立合规性流程对于成功采用任何功能安全标准(包括这两个标准)至关重要。

Andrey:我绝对同意。对于MISRA C++和AUTOSAR C++规则使用静态分析,我们看到的一个常见问题是报告的违规数量。如果打开所有规则,则将有很多违规行为,而且我的意思是很多,尤其是对于遗留代码库而言。

因此,现在,我认为大多数客户正在采用的方法试图找到中间立场。并非所有规则都是强制性或必需的。因此,他们需要制定一个良好的流程。例如,他们运行一些检查器,并对代码进行一些分析,找出适用于其开发和记录该子集的规则的子集。他们知道他们不需要遵守所有规则,他们只需要有理由说明为什么不使用该规则,将其记录下来就可以了。

一旦了解了流程,他们就进行了分析,甚至积压了数千个警告,这些客户在一些点上可以划清界线,继续积压问题,以期与他们联系并解决这些问题。

Michal:是的。我认为,在此奋斗的另一个原因是,对于那些试图最终实现与MISRA之类的编码标准的合规性的公司,即使他们开始开发新的代码,他们也在寻找最终的合规性。而不是从头开始。起步较晚是他们可能首先遇到大量违规行为的最大原因之一。


是什么导致组织无法在实践中强制执行这些编码标准?

Andrey:许多组织实际上已经在使用自己的内部编码标准,该标准已经在内部开发并使用了多年。这些公司都有内部文件和遵循的政策,它们需要进行现代化以达到MISRA之类的标准,但是公司发展势头很大,需要很长时间进行更改。

这些组织的策略是解决违规问题,查看自己的编码标准,然后将Parasoft静态分析检查器映射到他们自己的编码标准,同时还要检查需要针对MISRA更新C语言其自身编码标准并更新其代码的地方。

对于C++,由于较旧的编码标准,当前情况实际上更糟。它们不支持新的语言结构(例如自动指针)以及新的现代C++引入表中的其他内容,因此该过程更加耗时。

Mirek:我提到我们看到AUTOSAR C++和MISRA C++经常被用作功能安全标准(例如ISO 26262和IEC 61508)的合规过程的一部分。要遵守这些功能安全标准,需要有纪律的开发过程,其中包括准备文档。客户需要一种方式来正式证明他们符合功能安全标准以及编码标准,这是功能安全符合性过程的一部分。

借助MISRA C++和AUTOSAR C++,Parasoft工具为合规性过程的这一正式方面提供了专门的支持。我们的报告框架会生成符合MISRA Compliance:2016“实现MISRA编码准则的遵从性”文档中定义的要求的特殊文档。最终变得非常重要。试图达到标准要求的客户可以通过使用Parasoft工具来自动执行遵从过程的这一部分。

Piotr:从采用和执行标准的角度来看,还有一件事是,标准本身也为规则提供了一些分类机制,这极大地帮助组织引入了标准。例如,对于MISRA C++,准则有不同的类别(强制性、必需和建议性)。AUTOSAR C++集合也是如此,并且还有一些其他分类框架。从最关键的类别开始,清理代码,然后再进一步,该机制还可以用于简化整个实现过程,并基本上帮助人们分阶段进行。


从这些标准开始的组织是否了解分类和优先级的重要性?

Andrey:组织并不一定要考虑这一点。作为解决方案架构师,我得到的最大要求是:“好吧,Parasoft,我们看到您有成千上万的规则,并且我们拥有庞大的代码库。帮助我们选择规则,以帮助我们发现真正的错误,实际上找到有趣的东西,有价值的东西以及值得修复的东西。”

在这一点上,我们要退后一步来确定其具体目标是什么。但是,我们经常看到客户开始时的选择更为广泛,因为尽管需要遵守编码标准,但他们没有时间仔细研究所有规则并进行分析。这就是分类和一般优先级的来源。

我们还可以询问团队管理人员,例如,是否遵循所有必需和强制性规则,他们是否需要强硬方法来遵守法规。在大多数情况下,管理层不会划清界限,而是将决定权交给工程师,他们的工程师“足够聪明”以找出需要遵守哪些规则。期望开发团队将记录他们为什么打开或关闭规则的理由。

因此,从这个角度来看,我还没有看到人们实际上在“强制执行”。这更多是一种教育方法。例如,当我解释有必需和强制性规则时,您可以偏离规则(但必须按照MISRA 2016合规性文档中的说明进行记录),实际上,这对于很多人来说是大开眼界的人。根据我的经验,在这个领域中肯定有学习曲线,需要咨询。

Mirek:我同意。我们不仅在汽车行业,而且在其他对安全性要求较高的组织中也都迫切需要获得咨询服务,以更实际地执行该标准并确定实现目标的优先级。我们有几个合作伙伴可以在这个领域为我们的客户提供服务,但是显然需要获得更多的教育和执法机会。


您认为整合AUTOSAR C++和MISRA C++准则的动力是什么?是否存在某个标准或其他标准缺少的重要内容?

Piotr:合并这些标准的主要原因仅仅是为C++制定一个单一标准。从历史上看,MISRA C++ 2008是基于C++ 2003的,而MISRA C++已有近10年的历史。AUTOSAR C++最初以MISRA C++ 2008为基础,但随后在顶部添加了许多与现代C++更相关的新规则,包括C++ 11和C++ 14的功能。因此,集成这两个标准的主要动力是采取AUTOSAR C++小组所做的工作并将其转换为下一个MISRA C++标准。


MISRA C++是否已将AUTOSAR C++编码标准替换为标准?

Michal:是的,这是计划。当前版本的AUTOSAR C++中的注释将将来的增量参考由MISRA驱动的编码指南。因此,正如Piotr所说,我们可以考虑将AUTOSAR C++作为基于MISRA C++的MISRA C++标准的更新版本,并从MISRA中直接提取了许多规则。其中一些规则已更新,并且添加了规则。因此,计划是采用这些更新的规则,并将其带回MISRA C++。


这个新的集成标准将以何种方式帮助用户?

Mirek:我认为在市场上拥有一种标准非常有价值。我们已经与许多不愿意采用合规性标准的组织进行了交谈,因为他们不确定MISRA是否会提供更新,并正在考虑采用AUTOSAR C++。因此,他们推迟了这一决定。因此,合并可以澄清这种情况,明显的好处是市场上只有一种标准,而且基本上毫无疑问可以走哪条路——新的MISRA C++标准成为合规性的主要选择。


MISRA C++和AUTOSAR C++集成会影响现有用户吗?

Mirek:肯定会有影响。例如,如果依赖于MISRA C++ 2008的组织要迁移到AUTOSAR C++,则他们必须处理大约200条新规则(因为在当前的AUTOSAR C++版本18.10中,大约45%的规则直接继承自MISRA C++ 2008) )。

因此,如果组织依赖MISRA C++ 2008,则对他们而言,迁移到AUTOSAR C++是一项巨大的工作。但是,这样做还有很大的价值,因为MISRA C++ 2008和AUTOSAR C++之间的差异解决了自2003年以来C++语言的变化。因此AUTOSAR C++中包含了C++ 11和C++ 14的所有新颖性。是的,这是有影响的,但是更新到新标准也有很多价值。

Andrey:如果客户从MISRA C++更改而他们已经符合其既定的编码标准,并且更改了标准(例如AUTOSAR C++),那么所产生的影响有时也会更加后勤。

这些客户已经在内部进行了正当化,记录在案并抑制了警告,甚至有可能通过审核。例如,假设违反了MISRA C++规则11.5,但已记录并记录了偏差。那是压制的例子,或者在这种情况下是偏差,它需要报告和文书工作。现在,如果我转到AUTOSAR C++,那么来自MISRA C++的规则可能是相同的规则,但是工具供应商将其报告为AUTOSAR C++规则17.6。这是一个不同的名称,但这是唯一的区别——仅是标签。静态分析工具将其再次标记为错误,并且忽略了抑制。禁止标记有不同的规则编号,现在它们有大量违规行为。


那么安全性呢?AUTOSAR C++以及大概新的MISRA C++是否涵盖安全性?

Mirek:好吧,主要是功能安全标准,但是安全性和安全性是相关的。两者都是关于创建没有导致无法预料的行为的构造的软件的,这意味着遵循AUTOSAR C++或MISRA C++进行功能安全的组织通常在安全性方面被很好地涵盖。安全是为了消除程序的不可预测性,当然,安全性也可以提高安全性。

但是像CERT这样的安全性准则更为详尽,并且包含了更多与安全性相关的准则。当前,我们在许多组织(尤其是成熟的汽车组织)中看到的是,他们选择功能安全标准作为主要来源,然后通过包括来自诸如CERT C++的安全标准的其他选定准则来增强规则集。

是否有任何动力将更高的安全性纳入这些安全关键标准中,例如合并诸如CERT C++之类的安全性标准?还是您认为公司会自己继续合并规则集?

Mirek:我个人不会很快将CERT与MISRA或AUTOSAR集成或合并。由于安全性的范围更广,而在语言子集方面则不那么严格,因此始终需要与安全性标准分开的面向安全性的标准。

因此,例如,在MISRA C++ 2008中,您有一条规则可以阻止您使用动态内存分配。如果要与MISRA C++ 2008兼容,则不能使用它。但是,对于CERT C++,这是完全可以的。您可以使用动态内存分配,并且有关于如何以安全方式进行分配的规则。

Piotr:是的,您可以在MISRA网站上找到官方文件,这些文件提供有关MISRA C 2012和CERT C之间映射的信息,例如,这些映射清楚地告诉您所缺少内容的区别。因此,开发人员可以了解有关在选择规则时要从CERT C/C++中包括哪些指南的信息。并且在AUTOSAR C++和CERT C++之间也存在可追溯性映射。我认为所有CERT C++指南中约有50%在AUTOSAR C++本身中也有类似的规则。

Mirek:另外,我认为采用这些标准在地区方面。正如我们随着MISRA的逐步采用所看到的那样,现在CERT C和C++看到了类似的模式。例如,我们在日本的客户很快就采用了最新的标准,他们似乎领先于世界其他地区。我们的日本客户是第一个比其他地区至少提前一年要求MISRA C 2012支持的客户,现在我们看到CERT C和C++的情况类似,日本汽车市场上有更多需要CERT C/C++支持的请求。


AUTOSAR C++是非常动态的标准,每年发布两个版本。频繁更新对试图实现合规性的组织有什么影响?您预见到新的MISRA C++标准会遵守此时间表吗?

重点:请记住,AUTOSAR C++准则是AUTOSAR自适应平台的一部分,因此每年的两个发行版是整个平台的发行周期。如果他们想使C++准则与平台保持同步,那么可以,这的确需要长期管理。但是不一定每个版本都会改变很多事情。

Mirek:正如我们已经讨论的那样,标准的变更存在一些问题。随着标准的频繁更改,您会遇到Andrey讨论的与物流有关的所有问题。准则更改后,客户需要更新其合规性框架,因为他们将面临所有重新报告的违规问题,而现在这些问题突然不再受到抑制。这是一个巨大的挑战,需要花费大量金钱。如果您有50、70或100个开发人员,并且在开发过程中已经引入了合规性流程,但是您对产品必须符合最新版本的标准有业务要求,那么您将面临挑战。

如果标准随着标准的重大变化而迅速发展,则客户必须以某种方式解决这一问题。通常这意味着从计划和预算中抽出额外的时间。这是一个问题,但是正如Piotr所说,我认为从长远来看,该标准将趋于稳定,并且每个版本之间的更改都不会那么重要,例如我们在AUTOSAR C++版本17.32和18.10之间的过渡中已经看到的那样。


在过去的两年中,C++语言的发展加速了。AUTOSAR C++当前基于C++ 14。对于MISRA C++相对于C++语言的发展,有什么期望?

Michal:目前,MISRA C++的下一个版本的计划是合并AUTOSAR C++ 14,并涵盖C++ 17(该语言的当前版本)。但是,我不能说它将来会发展多快,或者这些新版本将如何发布。就个人而言,我希望会为该语言的每个新版本创建一个新版本的标准,其基本思想是在标准足够成熟时对其进行更新。这样可以避免遇到基于C++ 14的AUTOSAR C++的情况,但每年仍需更改两次。


您预见到MISRA C++标准正在更新与ISO C++委员会发布该语言之间会有多长时间?

Michal:很难说,因为就AUTOSAR C++而言,标准化是在C++ 14发行之后开始的。AUTSAR C++的发布与该语言版本的发布或该语言的出现无关。

AUTOSAR C++从一开始就基于C++ 14。当AUTOSAR发布自适应平台时,他们发现没有涵盖C++ 14的编码标准,因此他们决定将该标准基于MISRA C++ 2008,并使用新的规则和对C++ 14的支持进行更新。


AUTOSAR C++更新是否由Adaptive Platform的发布时间表而非语言驱动?

Piotr:是的,我会这样说。

Mirek:需要指出的是,新合并的MISRA C++标准将在AUTOSAR C++之外进行更新。已经宣布将对新的集成标准进行更新,以包括在C++语言的新版本中引入的所有创新,包括C++ 17和C++ 20。对于许多组织而言,这是至关重要的。例如,现代C++功能在使用AI的系统中非常重要,这些系统依赖于最新版本的C++中经常开发的现代体系结构、现代平台和现代库。因此,声明标准将遵循语言的发展这点非常重要。



标签:

本站文章除注明转载外,均为本站原创或翻译。欢迎任何形式的转载,但请务必注明出处、不得修改原文相关链接,尊重他人劳动成果

登录 慧都网发表评论


暂无评论...

为你推荐

  • 推荐视频
  • 推荐活动
  • 推荐产品
  • 推荐文章
  • 慧都慧问
相关厂商
相关产品
Parasoft C/C++test

针对C/C++开发的专业白盒自动化测试方案,能有效提高软件开发效率和代码质量。

Parasoft Jtest

专业针对Java语言的开发测试方案,可无缝集成Parasoft SOAtest

Parasoft dotTEST

使用深度静态分析和高级覆盖率分析补充现有的Visual Studio工具

Parasoft Insure++

Parasoft Insure++是专用于 C 和 C++ 语言的运行时内存分析和错误检测工具。

Parasoft SOAtest

业内最全面的API、云服务和SOA测试平台,提供优秀的负载与性能测试、API安全测试等功能

在线
客服
咨询
电话
400-700-1020
在线
QQ
购物车 反馈 返回
顶部
在线客服系统
live chat