Softwaretooling - Error!

50 | 3
Achtergrond Codeerstandaarden
Eenieder die C-code klopt voor missiekritieke
embedded systemen heeft een
goede kans dat hij zich moet houden
aan de Misra-standaarden: een set restricties
waarmee het iets moeilijker wordt om
veelgemaakte fouten ook daadwerkelijk te
begaan. Oorspronkelijk werd de standaard
opgesteld door een groep Britse leveranciers
in de automotivesector, maar ondertussen
zijn de richtlijnen tot ver buiten deze markt
verspreid. Uit een recente inventarisatie
van VDC Research bleek dat de helft van de
bedrijven die een codeerrichtlijn gebruiken
hun eigen standaard ontwikkelen, maar
daarna is Misra-C veruit het populairst met
een aandeel van bijna achttien procent. Bovendien
zijn de interne richtlijnen vaak ook
weer op Misra-C gebaseerd.
De Misra-richtlijnen werden oorspronkelijk
in 1998 gepubliceerd en in 2004
aangepast aan de voortschrijdende inzichten.
Dat gebeurt nu opnieuw: op 18 maart
is de Misra-C:2012-richtlijn gepubliceerd.
Bits&Chips sprak met Paul Burden van Programming
Research, dat onder meer tools
ontwikkelt om broncode op het naleven
van Misra en andere codeerstandaarden te
controleren. Als lid van het standaardisatiecommité
was Burden betrokken bij de ontwikkeling
van de nieuwe versie.
Wat doet de Misra-standaard
eigenlijk precies?
‘Misra is een set regels om op een defensieve
manier code te schrijven, zodat de
kans kleiner wordt dat je bugs introduceert
– het soort bugs dat je niet met een tool
kunt vinden. De standaard voorkomt dat je
code produceert die weliswaar valide is in C,
maar waarschijnlijk wel fout.’
Nieuw setje duimschroeven voor
missiekritieke programmeurs
Misra is een van de populairste richtlijnen voor C-code om bugs te vermijden. Na
acht jaar kwam half maart de nieuwe versie uit, onder meer met ondersteuning voor
C:99. Misra-specialist Paul Burden van Programming Research legt uit wat de standaard
precies behelst en wat er allemaal is veranderd in de 2012-versie.
Pieter Edelman
Kunt u een voorbeeld geven?
‘Er is een simpele regel die betrekking
heeft op het for-statement. Als je na de drie
controle-expressies per ongeluk een puntkomma
schrijft, is dat compleet valide in
C, want een puntkomma is een statement
Paul Burden van Programming Research
werkte mee aan de nieuwe Misra-versie.
op zichzelf – het null-statement dat niks
doet. Maar het is in potentie een bug, zelfs
zeer waarschijnlijk een bug. Dus een van de
Misra-regels is dat er op een for-statement
altijd een samengesteld statement tussen
accolades moet volgen. Dat voorkomt ook
dat je een enkel ingesprongen statement
als blok kunt gebruiken. Daarmee kun je de
mist in gaan als je een extra statement wilt
toevoegen aan je loop-body.’
‘Codeerregels beperken je ook in de operaties
die een grote kans hebben om fout te
zijn. Het is in C bijvoorbeeld toegestaan om
een negatieve waarde toe te kennen aan een
unsigned variabele, maar dat is niet verstandig
om te doen.’
Het zijn dus allemaal regels die makkelijk
met een tool te controleren zijn?
‘De meeste wel. Een codeerstandaard
heeft alleen zin als je kunt controleren of
die wordt nageleefd. Maar er is een onderscheid
tussen wat we noemen rules en
directives. De meeste codeervoorschriften
zijn eigenschappen van de broncode,
dat zijn harde rules. Van alle 143 van deze
regels in de nieuwe 2012-standaard kan
een tool zeggen of ze worden nageleefd
door simpelweg naar de broncode te kijken.
Er zijn echter ook voorschriften waarover
een tool niet simpel een beslissing kan nemen.
Misra-C verbiedt het bijvoorbeeld
om een stuk code te inactiveren met commentaarsymbolen.
Een probleem met een
dergelijke regel is dat een tool daarvoor het
commentaar moet analyseren en beslissen
of dat C-code is of niet. Voor ons is dat eenvoudig,
maar voor de tool is dat erg lastig.
Die geeft bij zo’n voorschrift een subjectief
oordeel in plaats van een zwart-witbeslissing.
Daarom noemen we dat een directive.
In Misra-C:2012 zijn er zestien van dergelijke
richtlijnen.’
Waarom is er nu een nieuwe versie?
‘Er zijn twee belangrijke redenen. Een: we
zagen ruimte voor verbetering, en twee: