?????? 嵌入式系統(tǒng)的軟件設(shè)計中，“匯編語言+C語言”早已成為理所當(dāng)然的經(jīng)典組合。的確，對于硬件配置來說，匯編語言清晰明了；對于上層設(shè)計來說，C語言緊湊高效。這樣的搭配能夠滿足大多數(shù)傳統(tǒng)嵌入式系統(tǒng)應(yīng)用的需要。隨著技術(shù)水平的提高，今天的嵌入式系統(tǒng)也比過去更加深入到人們的日常生活中，大到汽車、飛機(jī)、火箭，小到手機(jī)、打印機(jī)、鬧鐘、手表，都可以找到嵌入式系統(tǒng)的蹤影。然而，這看似一成不變的情況，也在悄然轉(zhuǎn)變。隨著網(wǎng)絡(luò)、多媒體等技術(shù)的出現(xiàn)、發(fā)展與普及，對嵌入式系統(tǒng)應(yīng)用有了新的要求，也給了其他高級語言，特別是C++語言以機(jī)會。

　　由此帶來的在語言使用中的安全問題，目前雖然還未凸顯，但根據(jù)以往的經(jīng)驗來看，終將成為限制行業(yè)發(fā)展的新瓶頸。已有的C++語言國際標(biāo)準(zhǔn)雖然龐大細(xì)致，但作為一個“語言標(biāo)準(zhǔn)”，只能是盡力做得面面俱到，其目標(biāo)在于構(gòu)造一個語句合法性的權(quán)威依據(jù)，以約束人們對于C++的使用。但它并不是針對應(yīng)用而寫的規(guī)范，對于可能遇到的安全性問題也無法進(jìn)行特別深入的探討，更加沒有安全方面的實踐經(jīng)驗支撐。一個針對安全方面的、被國際所認(rèn)可的使用規(guī)范，無疑是C++語言在嵌入式系統(tǒng)中得到廣泛應(yīng)用的堅實基礎(chǔ)與助推劑。

　　1 C++在嵌入式應(yīng)用中的機(jī)遇與挑戰(zhàn)

　　C++作為一門高級語言，人們在提及它時，總難免會談到C語言。直至今天，很多人對于C++語言的認(rèn)識依然是“C語言的超集”。這是因為C++的起源與C語言有著千絲萬縷的聯(lián)系。

　　1978年，美國貝爾實驗室的Dennis Ritchie和BrianKernighan在BCPL以及其簡化版本B語言的基礎(chǔ)之上開發(fā)了C語言，并合作出版了《The C Programming Lan-guage》。C語言迅速得到了大家的認(rèn)可，并廣為流傳。1989年，ANSI推出了第一個C語言的標(biāo)準(zhǔn)——X3．159-1989，并被ISO采納，隨之發(fā)布。ISO／IEC 9899-1990。早在C語言標(biāo)準(zhǔn)發(fā)布之前，貝爾實驗室的Bjarne Stroustrup就致力于在C語言里增加類、函數(shù)類型檢查以及其他的一些優(yōu)秀特征，于1980年發(fā)布“C with Classes”。經(jīng)過持續(xù)的努力，他最終完成了對C語言的改造，由此創(chuàng)生出一門新語言——C++，并出版了《The C++ ProgrammingLanguage》一書。由于它帶來了持續(xù)的影響，ISO于1998年發(fā)布ISO／IEC 14882：1998；幾乎同一時間，ANSI也發(fā)布了類似標(biāo)準(zhǔn)，這標(biāo)志著C++作為一門獨立語言的標(biāo)準(zhǔn)化得到了官方的認(rèn)可。

　　統(tǒng)計數(shù)據(jù)表明，日常生活中一個美國人平均占用8個微控制器，這些都離不開嵌入式系統(tǒng)的應(yīng)用。然而嵌入式系統(tǒng)軟件技術(shù)似乎落后于當(dāng)前的軟件發(fā)展形勢，近年來才逐漸由匯編語言過渡到面向過程的C語言。但對于面向?qū)ο笳Z言的應(yīng)用還很有限。

　　這一方面是由于嵌入式開發(fā)人員多年來應(yīng)付有限資源的經(jīng)驗而養(yǎng)成的保守態(tài)度，另一方面也是由于長久以來，嵌入式系統(tǒng)應(yīng)用設(shè)計中，人們要花費許多精力在底層硬件的驅(qū)動上，功能實現(xiàn)也主要局限在實時操作系統(tǒng)和相關(guān)支撐軟件的層次，并不涉及過多的應(yīng)用軟件開發(fā)。這種在嚴(yán)苛條件下追求效率與實時性的任務(wù)，其他的高級語言并沒有特別的優(yōu)勢。

　　最近幾年，嵌入式系統(tǒng)領(lǐng)域又有了新的發(fā)展。首先，隨著手機(jī)、PDA等消費性電子產(chǎn)品的飛速增長，嵌入式系統(tǒng)的市場規(guī)模在迅速擴(kuò)大，同時越來越多的智能嵌入式應(yīng)用場合需要互聯(lián)網(wǎng)的支持，這要求嵌入式系統(tǒng)的軟件具有更好的應(yīng)用性和更高的復(fù)雜性；其次，隨著芯片等相關(guān)領(lǐng)域的技術(shù)進(jìn)步，嵌入式系統(tǒng)工程師們不再需要時時刻刻去考慮資源是否夠用了。當(dāng)面向?qū)ο蟮母呒壵Z言參與到嵌入式系統(tǒng)設(shè)計中去不再遙不可及時，語言的效率則成為突出的問題。根據(jù)《Thinking in C++》一書的總結(jié)，C++與C的效率差別往往在±5％，這使得C++在新一輪的嵌入式應(yīng)用發(fā)展浪潮中占得先機(jī)。

　　值得注意的是，盡管自1998年發(fā)布最初的C++標(biāo)準(zhǔn)——ISO／IEC 14882：1998以來，每5年都會對此標(biāo)準(zhǔn)進(jìn)行一次更新，但是由于C++語言過于復(fù)雜，以及它經(jīng)歷了長年的演變，直到2004年，沒有任何一款編譯器完全支持ISO C++。這對于時常要面對各種嚴(yán)苛條件的嵌入式系統(tǒng)應(yīng)用工程師們來說，是難以忍受的。同時，即使是符合ISO C++標(biāo)準(zhǔn)的語句或者格式，對于實際的應(yīng)用場合來說，也存在著重大隱患，而不應(yīng)當(dāng)被直接采用。因此，人們迫切需要一個正式的基于安全角度考慮的C++語言使用規(guī)范。

　　2 關(guān)于MISRA

　　MISRA(the Motor Industry Software Reliability As-sociation)，即汽車工業(yè)軟件可靠性協(xié)會，于1994．年在英國成立，以“協(xié)助汽車工業(yè)提供安全、可靠的軟件”為使命，期望通過“規(guī)范指南”的形式來約束人們在汽車電子以及其他嵌入式系統(tǒng)開發(fā)領(lǐng)域或涉及安全與可靠性的領(lǐng)域中對于程序語言的使用。由于這些“規(guī)范指南”都是從大量工程實踐中總結(jié)的第一手經(jīng)驗，因而具有極高的指導(dǎo)意義。

　　經(jīng)過4年準(zhǔn)備，它在1998年發(fā)布了一個針對汽車工業(yè)的《Guidelines for the Use of the C Langtlage in VehicleBased Software》，簡稱“MISRA C：1998'’，針對那些滿足C語言標(biāo)準(zhǔn)，卻存在安全隱患的語言使用習(xí)慣，提出了127條規(guī)則。由于它很好地解決了C語言國際標(biāo)準(zhǔn)的冗繁性，以及其中對于安全性考慮的不足性，從而得到了廣泛的好評。MISRA-C不僅成為眾多汽車廠商推崇的行業(yè)標(biāo)準(zhǔn)，其影響力更是遠(yuǎn)遠(yuǎn)超出了汽車工業(yè)，得到鐵路、航空航天、國防、醫(yī)療等眾多領(lǐng)域的認(rèn)可，成為“最佳實踐”解決方案。2004年，MISRA對于已有的規(guī)則進(jìn)行改編與擴(kuò)充，推出了“MISRA C 2004”，首次將該規(guī)范指南的對象從汽車工業(yè)推廣到所有具有安全性要求的系統(tǒng)應(yīng)用中去，包含了強(qiáng)制規(guī)則121條，推薦規(guī)則20條，并刪除了15條舊規(guī)則，共計含有141條規(guī)則。

　　時至今日，MISRA組織不僅是汽車工業(yè)軟件規(guī)范的權(quán)威，其制定的規(guī)范指南更得到了嵌入式系統(tǒng)應(yīng)用領(lǐng)域的廣泛認(rèn)可。考慮到近年來，C++語言在嵌入式系統(tǒng)中的應(yīng)用越來越多，2005年MISRA C++委員會成立，并于2008年推出針對C++語言的《MISRA C++：2008——Guidelines for the USe of the C++ language in critical sys-tems>>，以下簡稱“MISRA C++：2008”。有興趣的讀者可以聯(lián)系相關(guān)網(wǎng)站：http：／／www．misra-cpp．com／，購買詳細(xì)的文檔。

　　MISRA C++：2008同樣從推出之日起，就得到了業(yè)內(nèi)外廣泛關(guān)注。例如：LDRA軟件公司一直跟蹤著MIS-RA C++：2008的制定進(jìn)展，在MISRA C++：2008發(fā)布時同步宣稱已經(jīng)完成了對工具套件產(chǎn)品的相應(yīng)改進(jìn)，使其符合MISRA C++：2008標(biāo)準(zhǔn)。(LDRA的Testbed產(chǎn)品曾成功用于“神舟”飛船項目的軟件測試)

　3 MISRA C++概述

　　作為規(guī)范指南，MISRA C++：2008基于ISO／IEC 14882：2003的C++語言國際標(biāo)準(zhǔn)，以規(guī)則(rule)的形式，給出了相關(guān)的建議。它的規(guī)則又細(xì)分為以下3種類型：

　　①強(qiáng)制型(required)，必須符合、允許例外；

　　②推薦型(advisory)，推薦符合；

　　③不容討論型(document)，必須符合、不許例外。

　　MISRA C++：2008中共給出了20個大類的規(guī)則(編號并不連續(xù))，細(xì)分為228條。詳細(xì)情況如表1所列。

　　文檔中所有規(guī)則的書寫格式如下：

　　每條規(guī)則之后都有詳細(xì)的解釋，并給出了一些具體的程序語句作為例子。下面分別針對上述3種規(guī)則類別，進(jìn)行舉例說明。

　　規(guī)則0-1-1(強(qiáng)制)工程中不允許包含無法觸及的代碼

　　上述例子里，條件判斷中的賦值語句和return語句之后的自增語句都是在任何條件下都無法觸及的死代碼，不允許這樣使用。

　　規(guī)則0-1-2 (強(qiáng)制) 工程中不允許含有永遠(yuǎn)不會被執(zhí)行的路徑

　　enum ec{RED，BLUE，GREEN)col；

　　if(col<=GREEN) ／／不符合規(guī)則，條件永遠(yuǎn)為真

　　{

　　／／Will always get，here

　　}

　　else

　　{

　　／／代碼永遠(yuǎn)不會到達(dá)這里

　　}

　　由于枚舉類型有默認(rèn)的初始賦值0，1，2，…，故col永遠(yuǎn)≤GREEN。上述例子中，含有任何條件下都不會被執(zhí)行的路徑，不允許這樣使用。

　　規(guī)則5-2-10(推薦) 自增(++)／自減(--)運算符不應(yīng)與表達(dá)式中其他運算符混合使用諸如下面的例程將導(dǎo)致理解上的混淆以及結(jié)果的不確定，在程序設(shè)計時應(yīng)盡可能避免。

　　u8a=++u8b+u8c-； ／／不符合規(guī)則

　　規(guī)則0-4-2 (不容討論) 對于浮點運算(floating-point)算法的使用，必須給出記錄

　　安全的使用浮點算法需要具有較高的數(shù)字分析技能和對編譯器及硬件對象的深入了解。因此在使用浮點算法時，必須先進(jìn)行分析：是否必須使用它、采取的方法是否可行、過程是否得到了正確的執(zhí)行，并將上述結(jié)果做出記錄。

　　規(guī)則16-6-1 (不容討論) 所有的庫函數(shù)代碼必須符合MISRA C++

　　上述這些例子只是為了讓大家對MISRA C++：2008的3種規(guī)則有一定的認(rèn)識，我們會結(jié)合相關(guān)內(nèi)容，在接下來的幾篇文章中進(jìn)一步討論學(xué)習(xí)。不難發(fā)現(xiàn)，許多違反了MISRA C++：2008中規(guī)則的例程都是符合C++語言標(biāo)準(zhǔn)的，但出于安全性考慮，應(yīng)當(dāng)被禁止或者謹(jǐn)慎使用。通覽之后，往往會發(fā)現(xiàn)自己平時從未注意的一些編程習(xí)慣，都已經(jīng)被嚴(yán)令禁止。它們有些是明顯有礙安全性的，有些則相對隱蔽。

?

　　然而MISRA的號召力是不容小覷的。以嵌入式實時操作系統(tǒng)μC／OS-II為例，其2．52版本雖然已經(jīng)于2000年通過了美國航空管理局(FAA)的安全認(rèn)證，但2003年μC／OS-II的作者就根據(jù)MISRA C：1998規(guī)范又對源碼作了相應(yīng)的修改，并發(fā)布了2．62的新版本，宣稱其源代碼99％符合MISRA C：1998的要求。

　　4 安全性問題

　　對于安全性，MISRA給出以下5種可能的安全問題來源：開發(fā)人員的錯誤、開發(fā)人員對于語言的誤解、編譯器沒有按照開發(fā)人員的預(yù)期工作、編譯器本身含有錯誤、運行錯誤。

　　這些錯誤的來源與實際使用的是何種計算機(jī)語言沒有關(guān)系，可以說比較全面地包含了嵌入式系統(tǒng)開發(fā)以及其他相關(guān)的軟件設(shè)計中可能導(dǎo)致安全問題的所有渠道。

　　作為C++這樣一門面向?qū)ο蟮母呒壵Z言(由于其與C的淵源，嚴(yán)格地說，C++是具有某些面向?qū)ο筇卣鞯倪^程語言)，通過類、函數(shù)參數(shù)類型檢查、模版、異常處理以及派生、繼承、多態(tài)等手段，使得其在保有高效率的同時，實現(xiàn)了強(qiáng)大的功能，并帶來了自頂向下的模塊化程序設(shè)計理念。但編程靈活度的提高，也令其代碼復(fù)雜而易錯。與C語言相比，它所面對的安全問題將更為隱蔽，更加難以發(fā)現(xiàn)。但就對數(shù)據(jù)的封裝而言，C++遠(yuǎn)遠(yuǎn)優(yōu)于C，只要參照合理的規(guī)范指南，進(jìn)行項目的開發(fā)，就可以通過充分發(fā)揮C++靈活的特點，應(yīng)用到更多更廣的工程領(lǐng)域。

　　5 行業(yè)展望

　　標(biāo)準(zhǔn)與規(guī)范從來沒有如眼下這般備受重視過。一個權(quán)威的標(biāo)準(zhǔn)或規(guī)范，不僅將成為相關(guān)領(lǐng)域的“金科玉律”，更是行業(yè)動向的風(fēng)向標(biāo)。可以說正是由于MISRA-C的存在，使得在高級語言種類繁多的今天，C語言的地位依然無可替代。

　　此次MISRA攜著在C語言上的巨大成功，選擇了C++語言進(jìn)行新的規(guī)范化嘗試，不僅因為C++語言的群眾基礎(chǔ)深厚，更是表明了嵌入式系統(tǒng)領(lǐng)域內(nèi)大多數(shù)專家的觀點：如果說未來能有一門語言取代目前C語言在嵌入式系統(tǒng)應(yīng)用中的地位的話，也只能是C++語言。一名成功的嵌入式系統(tǒng)工程師，必須是對行業(yè)動向極為敏感的，也只有這樣，才能在知識爆炸的今天緊跟時代潮流。從使用C語言到使用C++語言是一個巨大的跨越，決不僅僅像使用“增強(qiáng)的C”那么簡單，需要從現(xiàn)在就開始學(xué)習(xí)。而從學(xué)習(xí)之初就養(yǎng)成的良好的語言使用習(xí)慣，將決定將來進(jìn)階的速度與可能性。MISRA C++：2008無疑是培養(yǎng)這樣良好習(xí)慣的最佳手冊。