MISRA-C

MISRA-CとはC言語のためのコーディング・ガイドラインです。ヨーロッパの団体であるMISRAが制定しています。対象は、C言語で記述されたクリティカルなシステム(主に組込み系)です。クリティカルなシステムでは、高い安全性と信頼性が要求されます。また移植性も重要です。MISRA-Cの目的はこれらを確保することです。クリティカルなシステム向けのガイドラインとなっていますが、安全性がさほど求められない分野においてもよく使用されています。ソフトウェアの品質向上のためです。ヨーロッパで制定されたガイドラインですが、日本や北米でも広く普及しています。

MISRA-Cを制定しているMISRAとはどのような団体でしょうか? MISRAは Motor Industry Software Reliability Association の略です。直訳すると「自動車産業ソフトウェア信頼協会」になるでしょうか。自動車メーカー、部品メーカー、エンジニアリングコンサルタントが連携した団体です。そのミッションは「安全で信頼性の高い自動車システム用ソフトウェア作成のための自動車業界への支援を提供する」こととされています。

MISRAには2014年現在下記メンバが所属しています。

• AB Automotive Electronics
• ベントレー
• Delphi Diesel Systems
• フォード・モーター
• ジャガー
• ランドローバー
• ロータス・エンジニアリング
• MIRA
• Protean Electric
• Ricardo UK
• TRW
• 英国国立リーズ大学
• Visteon Engineering Services

公式サイトによると、MISRAの発足は1990年代初頭だそうです。イギリス政府の「SafeIT」プログラム内のプロジェクトとして発足しました。目的は自動車組込みシステム用ソフトウェア作成のためのガイドライン制定です。1994年11月に車両ベースのソフトウェアのための開発ガイドライン(Development Guidelines for Vehicle Based Software)を公開。このドキュメントは、新しいIEC 61508規格(電気・電子・プログラマブル電子の機能安全に関する国際規格)への初めての自動車産業の解釈でもありました。

「SafeIT」からの資金供給が終わってからも、MISRAは継続されました。その最初の成果がMISRA-Cとなります。MISRA-Cはフォード社とローバー社が作成したC言語サブセットをベースに作成されました。以来、MISRA-Cは、安全関連産業においての、C言語組込みシステムのデファクトスタンダードを目指して継続されています。

MISRA-Cの初版は1998年に発表されました。タイトルは「Guidelines for the use of the C language in vehicle based software」(自動車用ソフトウェアでC言語を利用するための手引き)。通称、MISRA-C:1998と表現されています。ガイドラインには17に区分された127件のルールがあります。そのうち必要ルールは93、推奨ルールは34となっています。解説書としては、日本規格協会から『組込み開発者におくるMISRA-C−組込みプログラミングの高信頼化ガイド』(ISBN 978-4542503342)が出版されています。

2004年10月13日には第2版が公開されました。タイトルは「Guidelines for the use of the C language in critical systems」(クリティカルシステムでC言語を利用するための手引き)です。こちらは通称、MISRA-C:2004と呼ばれています。MISRA-C:1998の運用や研究の結果が反映されています。対象が自動車用ソフトウェアから全ての組込みソフトウェアへと拡大されていることも特徴です。21に区分されたルールが141件あります。そのうち必須ルールは121、推奨ルールは20です。翻訳が公益社団法人自動車技術会(JASO)から『自動車用Ｃ言語利用のガイドライン（第2版）』(文献番号tp-01002-06)として出版されています。解説書としては、日本規格協会から出版された『組込み開発者におくるMISRA-C:2004−C言語利用の高信頼化ガイド』(ISBN 978-4542503465)があります。

MISRA-Cの第3版は2013年3月18日に発行されました。通称MISRA-C:2012です。第3版はC99対応のため改訂です。内容の整理や充実化、定義の明確化もなされています。26に区分されており、指針が16件、ルールが143件となっています。MISRA-C:2012から「指針」が加えられています。指針・ルールのうち義務は10、必要は111、推奨は39です。2014年現在、出版された翻訳および解説書はありません。

C言語は広く普及しているプログラミング言語です。ハードウェアよりの低水準な処理も記述可能でとても便利です。反面、発見の難しい不具合も多く発生します。コンパイル時や実行時のチェック機能が脆弱などの短所もあります。便利ではあるが安全性に問題ありと判断できます。安全性はMISRA-Cのようなコーディングガイドラインを守ることによりある程度保証可能です。より安全なC言語サブセットを定義するMISRA-Cは完成度も高く、C言語利用者にとって重要なガイドラインと言えるでしょう。

MISRA-C:2012 ルール一覧 では分かりにくい指針・ルールについて下記に補足します。

具体的には、実行時エラーが発生する可能性がある場所に動的なチェックを追加するということです。チェックを検討すべき分野は、オーバフローや0除算などの算術エラー、ポインタ演算、配列の境界エラー、関数のパラメータ、ポインタの参照、動的メモリーの割当などです。また、設計標準、テスト計画、静的解析設定ファイル、コードレビューのチェックリストなど、実行時の障害を最小化するための技術文書を準備しておく必要もあるとされています。

「可視性が重複した識別子」とは「使用可能な識別子」という理解でよいでしょう。また、C言語には名前空間は4種類あります。「ラベル名」「構造体，共用体及び列挙体のタグ」「構造体又は共用体のメンバ」「その他のすべての識別子」です。「表記上明白」とは、少なくともラテンアルファベットに関しては「以下の変化で識別子が同じにならない」ということです。

• 小文字とそれに対応する大文字との交換。
• アンダースコアの有無。
• 文字の「O」と数字の「0」の交換。
• 文字の「I」と数字の「1」の交換。
• 文字の「I」と「l」(エル)の交換。
• 文字の「l」(エル)と数字の「1」の交換。
• 文字の「I」と数字の「1」の交換。
• 文字の「S」と数字の「5」の交換。
• 文字の「Z」と数字の「2」の交換。
• 「n」(エヌ)と「h」(エイチ)の交換。
• 文字の「B」と数字の「8」の交換。
• 文字の並び「rn」(rとそれに続くn)と文字の「m」(エム)の交換。

この指針は「リソースを扱う際には、その操作関数を適切な順序で呼び出す必要がある」という意味です。リソースに対する操作を提供する関数群は、だいたい次のような3つの種類に分けられます。

• リソースの割当て(例:ファイルを開く)。
• リソースの割当て解除(例:ファイルを閉じる)。
• 他の操作(例:ファイルからの読み取り)。

そのため、一連の関数は適切な順序でコールされる必要があるということです。

言語拡張とは、各コンパイラの設計者等によって独自に決められた、標準の仕様にはない拡張された言語仕様のことです。

未定義の動作とは、簡単にいうと異常なプログラムの動作のことであり、その動作が規格上定義されていないものです。例としては、整数演算のオーバフローに対する動作などがあります。コンパイル時に指摘されることもありますが、実行時にプログラムの異常を検出せず、予測不能な結果を生じることもあります。そのため厳重な注意が必要です。また、未規定の動作とは、プログラムの動作として2つ以上の可能性があり、どれが実行されるかは規定されないというものです。例えば、関数の実引数の評価順序などです。

ラインスプライシングは「\」文字の後に改行文字が続くと発生します。//コメントでラインスプライシングを利用すると次の行までコメントになります。その結果、可読性が低下し、思わぬ不具合を招く可能性が高くなります。

適切なビットフィールド型は次のように定められています。C90においては、unsigned int型またはsigned int型。C99においては、(1)unsigned int型またはsigned int型、(2)それ以外の、処理系によって許可された、明示的な符号付き、または明示的な符号なし整数型、(3)_Bool型。

このルールは、符号付きの型のビットフィールドをビット幅1として宣言することを禁止するルールです。符号付きの型で宣言されたビットフィールドのビット幅は最低でも2ビット必要です。値の他に符号を表す1ビットが必要となるためです。

インライン関数が、外部リンケージで宣言されていて、同じ翻訳単位で定義されていない場合、その動作は未定義です。外部リンケージで宣言されたインライン関数の呼び出しは、関数の外部定義を呼び出すかもしれませんし、インライン定義を使用するかもしれません。この場合、呼び出された関数の動作に変わりはありませんが、実行タイミングには影響があります。そのため、リアルタイム・プログラムにおいては影響が出てしまう可能性があります。異なる翻訳単位で同じインライン関数を使用する場合は、インライン関数をヘッダファイルで定義するとよいでしょう。

restrict修飾された複数のポインタは、それぞれが同じオブジェクトを指していないことを意味します。ristrictはコンパイラの最適化を助けるための型修飾子です。全てのrestrict修飾子を削除してもプログラムの意味は変わりません。restrict修飾子を使用するには、プログラマが複数のポインタによって操作されるメモリ領域が重ならないことを保証する必要があります。restrictの誤用は、期待どおりには動作しないコードの生成につながります。そのため、MISRA-C:2012は、restrict型修飾子の使用を禁止しています。

このルールは、集成体型の自動オブジェクトの初期化子に実行時に評価される式を含む場合、その式の評価で副作用を発生させてはいけないというルールです。初期化リスト内の式の評価中に発生する副作用の順序は定義されておらず、初期化の動作が予測不明となるからです。

副作用とは、式の評価に際して付随的に実行環境の状態に変化をもたらす効果のことです。ボラタイルオブジェクトへのアクセス、オブジェクトの変更、ファイルの変更、そしてこれらのいずれかの操作を行う関数が副作用となります。また、集成体型とは配列型と構造体型の総称です。集成体型には共用体型は含まれません。

標準規格はstdarg.hに関連した未定義の動作の例を多く挙げています。そのためMISRA-C:2012は、va_list、va_arg、va_start、va_end、va_copyの使用を禁止しています。

C99では配列パラメータでstaticキーワードを使うことにより、渡す配列の最小要素数を保証することができます。

上記の例では、配列aryは最低10個の要素を含む必要があります。この仕様はコンパイラの最適化を助けます。しかし、指定した最小要素数より要素数が少ない配列をパラメータとして渡してしまった場合、その時の動作は未定義です。MISRA-C:2012は、コードの最適化よりも安全性を重視して、配列パラメータ宣言の[ ]内でのstaticキーワード使用を禁止しています。

メモリ上で一部が重なり合っている2つのオブジェクトがある状態で、一方のオブジェクトをもう一方のオブジェクトに代入した時の動作は未定義です。また、memmove以外のライブラリ関数を使って上記のような重なり合うオブジェクト間でコピーを行った時の動作も未定義です。そのためルール19.1が制定されています。

このルールには、例外が2つあると記されています。

• 互換性のある型同士で、メモリ上で完全に重複する2オブジェクト間の代入。
• 標準ライブラリmemmoveを使用しての、メモリ上で全部あるいは一部重複するオブジェクト間のコピー。

bsearchおよびqsortからコールされる比較関数が対象となっている配列の内容を変更した場合、その動作は未定義です。また、比較関数が首尾一貫した比較結果を返さない場合の動作も未定義です。そのため、ルール21.9が存在します。

bsearchに渡される配列内にキーと等しいと判定される要素が2つある場合、bsearchがどちらを返すかは未規定の動作です。また、qsortに渡される配列内に等しいと判定される要素が2つある時、整列された配列内でのそれらの順序は未規定です。これらの未規定の動作については、比較関数で0を返さないようにすれば回避できます。例えば、要素が等しいと判断される場合は初期状態の配列の格納順で大小を決めるなどすれば、比較関数で0を返さずに済みます。

time.hにより提供される時刻や日付の関数は便利です。しかし、これらは未規定の動作や未定義の動作、処理系定義の動作を含みます。そのため、MISRA-C:2012はこれらの使用を禁止しています。

time.hではありませんが、wchar.hのwcsftime関数の使用も禁止されています。

tgmath.hで定義される型総称マクロを誤って使用すると、未定義の動作が発生します。そのため、MISRA-C:2012はtgmath.hの使用を禁止しています。