C++在嵌入式應(yīng)用中的安全問(wèn)題

嵌入式系統(tǒng)的軟件設(shè)計(jì)中，“匯編語(yǔ)言+C語(yǔ)言”早已成為理所當(dāng)然的經(jīng)典組合。的確，對(duì)于硬件配置來(lái)說(shuō)，匯編語(yǔ)言清晰明了；對(duì)于上層設(shè)計(jì)來(lái)說(shuō)，C語(yǔ)言緊湊高效。這樣的搭配能夠滿(mǎn)足大多數(shù)傳統(tǒng)嵌入式系統(tǒng)應(yīng)用的需要。隨著技術(shù)水平的提高，今天的嵌入式系統(tǒng)也比過(guò)去更加深入到人們的日常生活中，大到汽車(chē)、飛機(jī)、火箭，小到手機(jī)、打印機(jī)、鬧鐘、手表，都可以找到嵌入式系統(tǒng)的蹤影。然而，這看似一成不變的情況，也在悄然轉(zhuǎn)變。隨著網(wǎng)絡(luò)、多媒體等技術(shù)的出現(xiàn)、發(fā)展與普及，對(duì)嵌入式系統(tǒng)應(yīng)用有了新的要求，也給了其他高級(jí)語(yǔ)言，特別是C++語(yǔ)言以機(jī)會(huì)。

　　由此帶來(lái)的在語(yǔ)言使用中的安全問(wèn)題，目前雖然還未凸顯，但根據(jù)以往的經(jīng)驗(yàn)來(lái)看，終將成為限制行業(yè)發(fā)展的新瓶頸。已有的C++語(yǔ)言國(guó)際標(biāo)準(zhǔn)雖然龐大細(xì)致，但作為一個(gè)“語(yǔ)言標(biāo)準(zhǔn)”，只能是盡力做得面面俱到，其目標(biāo)在于構(gòu)造一個(gè)語(yǔ)句合法性的權(quán)威依據(jù)，以約束人們對(duì)于C++的使用。但它并不是針對(duì)應(yīng)用而寫(xiě)的規(guī)范，對(duì)于可能遇到的安全性問(wèn)題也無(wú)法進(jìn)行特別深入的探討，更加沒(méi)有安全方面的實(shí)踐經(jīng)驗(yàn)支撐。一個(gè)針對(duì)安全方面的、被國(guó)際所認(rèn)可的使用規(guī)范，無(wú)疑是C++語(yǔ)言在嵌入式系統(tǒng)中得到廣泛應(yīng)用的堅(jiān)實(shí)基礎(chǔ)與助推劑。

　　1 C++在嵌入式應(yīng)用中的機(jī)遇與挑戰(zhàn)

　　C++作為一門(mén)高級(jí)語(yǔ)言，人們?cè)谔峒八鼤r(shí)，總難免會(huì)談到C語(yǔ)言。直至今天，很多人對(duì)于C++語(yǔ)言的認(rèn)識(shí)依然是“C語(yǔ)言的超集”。這是因?yàn)镃++的起源與C語(yǔ)言有著千絲萬(wàn)縷的聯(lián)系。

　　1978年，美國(guó)貝爾實(shí)驗(yàn)室的Dennis Ritchie和BrianKernighan在BCPL以及其簡(jiǎn)化版本B語(yǔ)言的基礎(chǔ)之上開(kāi)發(fā)了C語(yǔ)言，并合作出版了《The C Programming Lan-guage》。C語(yǔ)言迅速得到了大家的認(rèn)可，并廣為流傳。1989年，ANSI推出了第一個(gè)C語(yǔ)言的標(biāo)準(zhǔn)——X3．159-1989，并被ISO采納，隨之發(fā)布。ISO／IEC 9899-1990。早在C語(yǔ)言標(biāo)準(zhǔn)發(fā)布之前，貝爾實(shí)驗(yàn)室的Bjarne Stroustrup就致力于在C語(yǔ)言里增加類(lèi)、函數(shù)類(lèi)型檢查以及其他的一些優(yōu)秀特征，于1980年發(fā)布“C with Classes”。經(jīng)過(guò)持續(xù)的努力，他最終完成了對(duì)C語(yǔ)言的改造，由此創(chuàng)生出一門(mén)新語(yǔ)言——C++，并出版了《The C++ ProgrammingLanguage》一書(shū)。由于它帶來(lái)了持續(xù)的影響，ISO于1998年發(fā)布ISO／IEC 14882：1998；幾乎同一時(shí)間，ANSI也發(fā)布了類(lèi)似標(biāo)準(zhǔn)，這標(biāo)志著C++作為一門(mén)獨(dú)立語(yǔ)言的標(biāo)準(zhǔn)化得到了官方的認(rèn)可。

　　統(tǒng)計(jì)數(shù)據(jù)表明，日常生活中一個(gè)美國(guó)人平均占用8個(gè)微控制器，這些都離不開(kāi)嵌入式系統(tǒng)的應(yīng)用。然而嵌入式系統(tǒng)軟件技術(shù)似乎落后于當(dāng)前的軟件發(fā)展形勢(shì)，近年來(lái)才逐漸由匯編語(yǔ)言過(guò)渡到面向過(guò)程的C語(yǔ)言。但對(duì)于面向?qū)ο笳Z(yǔ)言的應(yīng)用還很有限。

　　這一方面是由于嵌入式開(kāi)發(fā)人員多年來(lái)應(yīng)付有限資源的經(jīng)驗(yàn)而養(yǎng)成的保守態(tài)度，另一方面也是由于長(zhǎng)久以來(lái)，嵌入式系統(tǒng)應(yīng)用設(shè)計(jì)中，人們要花費(fèi)許多精力在底層硬件的驅(qū)動(dòng)上，功能實(shí)現(xiàn)也主要局限在實(shí)時(shí)操作系統(tǒng)和相關(guān)支撐軟件的層次，并不涉及過(guò)多的應(yīng)用軟件開(kāi)發(fā)。這種在嚴(yán)苛條件下追求效率與實(shí)時(shí)性的任務(wù)，其他的高級(jí)語(yǔ)言并沒(méi)有特別的優(yōu)勢(shì)。

　　最近幾年，嵌入式系統(tǒng)領(lǐng)域又有了新的發(fā)展。首先，隨著手機(jī)、PDA等消費(fèi)性電子產(chǎn)品的飛速增長(zhǎng)，嵌入式系統(tǒng)的市場(chǎng)規(guī)模在迅速擴(kuò)大，同時(shí)越來(lái)越多的智能嵌入式應(yīng)用場(chǎng)合需要互聯(lián)網(wǎng)的支持，這要求嵌入式系統(tǒng)的軟件具有更好的應(yīng)用性和更高的復(fù)雜性；其次，隨著芯片等相關(guān)領(lǐng)域的技術(shù)進(jìn)步，嵌入式系統(tǒng)工程師們不再需要時(shí)時(shí)刻刻去考慮資源是否夠用了。當(dāng)面向?qū)ο蟮母呒?jí)語(yǔ)言參與到嵌入式系統(tǒng)設(shè)計(jì)中去不再遙不可及時(shí)，語(yǔ)言的效率則成為突出的問(wèn)題。根據(jù)《Thinking in C++》一書(shū)的總結(jié)，C++與C的效率差別往往在±5％，這使得C++在新一輪的嵌入式應(yīng)用發(fā)展浪潮中占得先機(jī)。

　　值得注意的是，盡管自1998年發(fā)布最初的C++標(biāo)準(zhǔn)——ISO／IEC 14882：1998以來(lái)，每5年都會(huì)對(duì)此標(biāo)準(zhǔn)進(jìn)行一次更新，但是由于C++語(yǔ)言過(guò)于復(fù)雜，以及它經(jīng)歷了長(zhǎng)年的演變，直到2004年，沒(méi)有任何一款編譯器完全支持ISO C++。這對(duì)于時(shí)常要面對(duì)各種嚴(yán)苛條件的嵌入式系統(tǒng)應(yīng)用工程師們來(lái)說(shuō)，是難以忍受的。同時(shí)，即使是符合ISO C++標(biāo)準(zhǔn)的語(yǔ)句或者格式，對(duì)于實(shí)際的應(yīng)用場(chǎng)合來(lái)說(shuō)，也存在著重大隱患，而不應(yīng)當(dāng)被直接采用。因此，人們迫切需要一個(gè)正式的基于安全角度考慮的C++語(yǔ)言使用規(guī)范。

　　2 關(guān)于MISRA

　　MISRA(the Motor Industry Software Reliability As-sociation)，即汽車(chē)工業(yè)軟件可靠性協(xié)會(huì)，于1994．年在英國(guó)成立，以“協(xié)助汽車(chē)工業(yè)提供安全、可靠的軟件”為使命，期望通過(guò)“規(guī)范指南”的形式來(lái)約束人們?cè)谄?chē)電子以及其他嵌入式系統(tǒng)開(kāi)發(fā)領(lǐng)域或涉及安全與可靠性的領(lǐng)域中對(duì)于程序語(yǔ)言的使用。由于這些“規(guī)范指南”都是從大量工程實(shí)踐中總結(jié)的第一手經(jīng)驗(yàn)，因而具有極高的指導(dǎo)意義。

　　經(jīng)過(guò)4年準(zhǔn)備，它在1998年發(fā)布了一個(gè)針對(duì)汽車(chē)工業(yè)的《Guidelines for the Use of the C Langtlage in VehicleBased Software》，簡(jiǎn)稱(chēng)“MISRA C：1998'’，針對(duì)那些滿(mǎn)足C語(yǔ)言標(biāo)準(zhǔn)，卻存在安全隱患的語(yǔ)言使用習(xí)慣，提出了127條規(guī)則。由于它很好地解決了C語(yǔ)言國(guó)際標(biāo)準(zhǔn)的冗繁性，以及其中對(duì)于安全性考慮的不足性，從而得到了廣泛的好評(píng)。MISRA-C不僅成為眾多汽車(chē)廠商推崇的行業(yè)標(biāo)準(zhǔn)，其影響力更是遠(yuǎn)遠(yuǎn)超出了汽車(chē)工業(yè)，得到鐵路、航空航天、國(guó)防、醫(yī)療等眾多領(lǐng)域的認(rèn)可，成為“最佳實(shí)踐”解決方案。2004年，MISRA對(duì)于已有的規(guī)則進(jìn)行改編與擴(kuò)充，推出了“MISRA C 2004”，首次將該規(guī)范指南的對(duì)象從汽車(chē)工業(yè)推廣到所有具有安全性要求的系統(tǒng)應(yīng)用中去，包含了強(qiáng)制規(guī)則121條，推薦規(guī)則20條，并刪除了15條舊規(guī)則，共計(jì)含有141條規(guī)則。

　　時(shí)至今日，MISRA組織不僅是汽車(chē)工業(yè)軟件規(guī)范的權(quán)威，其制定的規(guī)范指南更得到了嵌入式系統(tǒng)應(yīng)用領(lǐng)域的廣泛認(rèn)可。考慮到近年來(lái)，C++語(yǔ)言在嵌入式系統(tǒng)中的應(yīng)用越來(lái)越多，2005年MISRA C++委員會(huì)成立，并于2008年推出針對(duì)C++語(yǔ)言的《MISRA C++：2008——Guidelines for the USe of the C++ language in critical sys-tems>>，以下簡(jiǎn)稱(chēng)“MISRA C++：2008”。有興趣的讀者可以聯(lián)系相關(guān)網(wǎng)站：http：／／www．misra-cpp．com／，購(gòu)買(mǎi)詳細(xì)的文檔。

　　MISRA C++：2008同樣從推出之日起，就得到了業(yè)內(nèi)外廣泛關(guān)注。例如：LDRA軟件公司一直跟蹤著MIS-RA C++：2008的制定進(jìn)展，在MISRA C++：2008發(fā)布時(shí)同步宣稱(chēng)已經(jīng)完成了對(duì)工具套件產(chǎn)品的相應(yīng)改進(jìn)，使其符合MISRA C++：2008標(biāo)準(zhǔn)。(LDRA的Testbed產(chǎn)品曾成功用于“神舟”飛船項(xiàng)目的軟件測(cè)試)

　3 MISRA C++概述

　　作為規(guī)范指南，MISRA C++：2008基于ISO／IEC 14882：2003的C++語(yǔ)言國(guó)際標(biāo)準(zhǔn)，以規(guī)則(rule)的形式，給出了相關(guān)的建議。它的規(guī)則又細(xì)分為以下3種類(lèi)型：

　　①?gòu)?qiáng)制型(required)，必須符合、允許例外；

　?、谕扑]型(advisory)，推薦符合；

　　③不容討論型(document)，必須符合、不許例外。

　　MISRA C++：2008中共給出了20個(gè)大類(lèi)的規(guī)則(編號(hào)并不連續(xù))，細(xì)分為228條。詳細(xì)情況如表1所列。