规范的嵌入式项目要在设计时考虑缺陷

免费项目 2024-08-12 0

点击此处查看最新的网赚项目教程

扫描关注一起学嵌入式，一起学习，一起成长

扫描工具()_软件扫描工具软件,0,0,0,0.0,0,0,0,,-_软件扫描器

一个规范的嵌入式项目，在设计之处就要考虑软件缺陷的问题。

那么，你有从哪些方面考虑软件缺陷呢？

概述

在高质量、高安全性的产品中，软件占据了越来越重的比例，从需求分析阶段，到软件研制，各级测试过程中，都需要尽量避免软件问题的发生。

一方面从设计上规避，一方面对软件产品进行充分的测试，尽可能早的发现隐藏在软件中的缺陷，避免将软件问题在大批量生成之后，造成严重的后果和损失。

软件测试是有效发现软件缺陷的重要方法之一，嵌入式软件测试按照是否执行被测系统，将测试类型分为静态测试和动态测试：

很多代码缺陷产生于程序运行过程中，具有隐蔽性和不可预见性，比如数组越界，动态存储分配，内存溢出，指针非法引用，类型不一致的隐式转换等，这些错误都是在编译阶段不能被编译器检查发现的错误。

在大规模，复杂度极高的软件中，完全依赖于人工检查方式可能会因为人为等主观原因造成问题被遗漏无法发现。

将现有常见多发问题形成缺陷模式库植入工具中，由工具自动化检测代码缺陷，能够高效提升测试效率，避免问题重复发生，减轻测试人员工作量。

缺陷模式规则分类

规则分类

按照错误类别分类

为了进一步研究软件错误发生的机理，分布情况，针对C语言典型缺陷模式库中的规则，按照规则检查类型对其进行分类。

(1) 数检查：除零错误、数组越界。

(2) 指针使用检查：空指针解引用。

(3) 数据流检查：变量定义未使用就再次赋值。

(4) 控制流检查：if elseif分支语句末尾缺少else分支。

(5) 初始化检查：使用前未初始化变量。

(6) 类型转换检查：数据类型不一致引入的隐式类型转换。

(7) 操作符使用不当检查：关系表达式、逻辑表达式、条件判断语句中的控制表达式禁止为赋值表达式“=”、使用连续的比较运算，可能导致代码执行逻辑与预期不符。

按照严重程度分类

根据故障出现可能引起的错误严重程度，对软件或者系统造成影响的严重程度，给每条规则定义了优先级高、中、低的属性。

(1) 重要：除零错误；数组越界；空指针解引用。

(2) 中等：使用前未初始化变量；数据类型不一致引入的隐式类型转换；关系表达式、逻辑表达式、条件判断语句中的控制表达式禁止为赋值表达式“=”；使用连续的比较运算，可能导致代码执行逻辑与预期不符。

(3) 轻微：if elseif分支语句末尾缺少else分支；变量定义未使用就再次赋值。

规则解析

数值检查

错误发生在不断运行过程中，称为运行时错误，一旦程序中出现该类型错误，会导致计算得到的实际结果与预期结果完成不同，甚至引发计算机复位。

数值检查作为运行时错误检查的重要检查内容，会出现在某些特定的运行条件下，即便是经过严格测试的程序，仍有可能存在非预期的浅通路，引发软件不安全问题。

(1) 数组越界

通过数组的下标来得到数组内指定索引的元素，称作对数组的访问。如果一个数组定义为n个元素，它占用一块连续的内存空间，对n个元素（下标为0到n-1）的访问都合法，如果对这n个之外的元素（如下标n）进行访问，访问到的是其它变量，是非法的，称为“越界”。

数组越界在运行时的表现是不确定的，可能不会造成严重后果，也有可能导致程序崩溃。因此在使用数组时一定要检查访问是否越界，以保证程序的正确性。代码示例见表1。

表1 数组越界代码示例

软件扫描工具软件,0,0,0,0.0,0,0,0,,-_扫描工具()_软件扫描器

(2) 除零错误

出现除零操作时会导致计算结果为一个极大值，超过数据类型能够表示的最大范围，就会发生溢出，计算机程序对于溢出的防护处理可能是计算机复位。

因此代码中将整数和浮点数作为分母时都应该进行保护，防止除零后数据溢出的异常情况发生。代码示例见表2。

表2 除零错误代码示例

扫描工具()_软件扫描器_软件扫描工具软件,0,0,0,0.0,0,0,0,,-

空指针解引用

空指针解引用是一种常见的动态内存错误。指针变量可以指向堆地址、静态变量和空地址单元，当引用指向空地址单元的指针变量时，就会产生空指针引用故障，导致不可预见的错误，系统崩溃或者异常复位。因此，在解引用指针前，应先判断是否为NULL，如果是NULL则不要解引用。代码示例见表3。

表3 空指针解引用代码示例

扫描工具()_软件扫描工具软件,0,0,0,0.0,0,0,0,,-_软件扫描器

变量定义未使用就再次赋值

这条规则属于数据流分析规则，主要关注变量值的操作逻辑是否合理正确，如果不符合逻辑，就有可能隐藏代码问题。代码示例见表4。

表4 变量定义未使用就再次赋值代码示例表

软件扫描工具软件,0,0,0,0.0,0,0,0,,-_扫描工具()_软件扫描器

if elseif分支语句末尾缺少else分支

这条规则属于控制流分析规则，主要关注程序的结构。需要在代码解析的基础上提取程序的控制流信息，程序的控制流用于决定分配给变量的特定值可能传播到程序的哪些部分。

如果存在某条路径中变量值与预期不一致，就有可能隐藏代码问题。代码示例见表5。

表5 if elseif分支语句末尾缺少else分支代码示例表

扫描工具()_软件扫描器_软件扫描工具软件,0,0,0,0.0,0,0,0,,-

使用未初始化变量

程序在执行过程中变量位于内存中，内存中供用户使用的存储空间分为三部分：程序区、静态存储区、动态存储区。

全局变量全部存储在静态存储区；动态存储区主要存放：函数的形参、自动变量（没有加static的局部变量）、函数调用的现场保护和返回值。

在使用动态存储区变量前如果未对其赋初值就直接使用，由于变量值不确定，可能会发生无法预知的错误。代码示例见表6。

表6 使用未初始化变量代码示例表

软件扫描器_软件扫描工具软件,0,0,0,0.0,0,0,0,,-_扫描工具()

数据类型不一致引入的隐式类型转换

当赋值变量与被赋值变量类型不相同时，需要进行数据类型转换的相关检查规则。

一般情况下，数据的类型的转换通常是由编译系统自动进行的，不需要人工干预，这种类型转换称为隐式类型转换。

但如果程序要求一定要将某一类型的数据转换为另外一种类型，则可以利用强制类型转换运算符进行转换，这种强制转换过程称为显式转换。

软件扫描器_软件扫描工具软件,0,0,0,0.0,0,0,0,,-_扫描工具()

图1 编译器自动提升规则

C语言编译器数据类型提升规则可以归纳为从长度小的数据类型向长度大的数据类型提升，称为向上转换；反之，称为向下转换。编译器自动转换规则见图1所示。

如果出现向上隐式类型转换，两个数据进行加法运算时，小数对应到大数有效位数超出有效数据位数，会导致小数无法加到大数上，造成计算结果存在精度损失。

如果出现向下隐式类型转换，大范围变量的数据值超出了小范围变量的能够表示的有效范围，编译器会根据数据值在内存中的表示形式经过转换后，将高位数据截断丢弃造成转换结果错误，因此编译器不允许隐式向下转换，如果必须要这么做，需要使用显式的方法，使用显式的方法也会存在问题，比如两个数据相加得到的计算结果可能出现向上舍入或者向下舍入的情况。

例如，将高精度double类型变量转换成float类型变量需要增加强制类型转换。double型向float型转换为向下转换，C语言编译器无法自动执行向下转换的操作，因此需要采用显式类型转换的方式，将double类型变量显式转换为float类型变量。代码示例见表7。

表7 类型转换代码示例表

扫描工具()_软件扫描工具软件,0,0,0,0.0,0,0,0,,-_软件扫描器