隨著產(chǎn)品設(shè)計(jì)的復(fù)雜性和連通性不斷增加，確保最終用戶(hù)所依賴(lài)的軟件安全仍將是重中之重。

今年早些時(shí)候，宣布汽車(chē)行業(yè)的兩大領(lǐng)先編碼標(biāo)準(zhǔn) AUTOSAR 和 MISRA 正在合并。此舉突顯了編碼標(biāo)準(zhǔn)在各行各業(yè)中的使用日益增加：醫(yī)療設(shè)備開(kāi)發(fā)、國(guó)防和航空。

與這些市場(chǎng)一樣，編碼標(biāo)準(zhǔn)被用于幫助汽車(chē)行業(yè)減輕對(duì)現(xiàn)代汽車(chē)日益依賴(lài)的軟件安全性的擔(dān)憂(yōu)。“尋找漏洞”的興起——通常由汽車(chē)制造商自己運(yùn)行或支持——也表明了該行業(yè)對(duì)這個(gè)問(wèn)題的關(guān)注程度。

隨著越來(lái)越多的組織參與到汽車(chē)設(shè)計(jì)過(guò)程中，特別是隨著物聯(lián)網(wǎng)的出現(xiàn)，編碼標(biāo)準(zhǔn)也變得與越來(lái)越廣泛的受眾相關(guān)。

今天生產(chǎn)的乘用車(chē)已經(jīng)涉及許多傳感器、車(chē)載通信和其他依賴(lài)軟件的組件。巡航控制、車(chē)對(duì)車(chē)通信和駕駛員輔助系統(tǒng)是標(biāo)準(zhǔn)功能。讓我們對(duì)此有一些看法：一輛現(xiàn)代汽車(chē)可能有超過(guò) 1 億行代碼。這不僅僅是火星探測(cè)器或 F-35 戰(zhàn)斗機(jī)。只有當(dāng)無(wú)人駕駛、自動(dòng)駕駛和更“聯(lián)網(wǎng)”的汽車(chē)成為主流時(shí)，代碼量才會(huì)增加。

但是，挑戰(zhàn)不僅在于代碼量，還在于代碼量。這是復(fù)雜性。C++ 編程語(yǔ)言的使用正在增長(zhǎng)，主要是因?yàn)樗梢詭椭_(kāi)發(fā)人員處理這種復(fù)雜性。C++ 提供的靈活性還意味著開(kāi)發(fā)人員需要做出謹(jǐn)慎的設(shè)計(jì)決策，因?yàn)檫@種靈活性意味著即使是最有經(jīng)驗(yàn)的開(kāi)發(fā)人員也很容易忽略編碼缺陷。在最壞的情況下，軟件測(cè)試仍然無(wú)法檢測(cè)到編碼缺陷，并導(dǎo)致安全問(wèn)題和安全漏洞。

示例缺陷類(lèi)別是緩沖區(qū)溢出和不受控制的格式字符串，這可能使黑客可以插入和運(yùn)行惡意代碼。

編碼標(biāo)準(zhǔn)包括旨在防止這種情況發(fā)生的規(guī)則。例如，編碼規(guī)則可能會(huì)說(shuō)“不要形成或使用越界指針或腳本”以防止緩沖區(qū)溢出，并“從格式字符串中排除用戶(hù)輸入”以防止不受控制的格式字符串。這兩個(gè)編碼標(biāo)準(zhǔn)還支持符合 ISO 26262（第 6 部分）的功能安全要求。

MISRA 和 AUTOSAR 都是汽車(chē)供應(yīng)鏈中的組織與更廣泛的安全關(guān)鍵軟件開(kāi)發(fā)社區(qū)之間的合作，前者是歷史最悠久、應(yīng)用最廣泛的社區(qū)，而后者更側(cè)重于聯(lián)網(wǎng)或自動(dòng)駕駛汽車(chē)的需求。C++ 的 MISRA 和 AUTOSAR 編碼標(biāo)準(zhǔn)將結(jié)合在一起，這一事實(shí)為開(kāi)發(fā)人員提供了訪(fǎng)問(wèn)大量資源和知識(shí)的途徑。

最佳實(shí)踐
與任何理論一樣，真正的價(jià)值在于正確的實(shí)踐。創(chuàng)建代碼清晰易讀和理解的“干凈代碼”，并更加重視代碼審查過(guò)程是幫助確保代碼安全和質(zhì)量的有效但勞動(dòng)密集型的方法。軟件開(kāi)發(fā)人員是富有創(chuàng)造力、忙碌的人。他們不想要額外的“家務(wù)”。此外，鑒于汽車(chē)軟件設(shè)計(jì)的關(guān)鍵性質(zhì)，必須將人為錯(cuò)誤的風(fēng)險(xiǎn)降至最低。

與現(xiàn)代、大規(guī)模和復(fù)雜軟件開(kāi)發(fā)生命周期的許多方面一樣，自動(dòng)化是答案，而在編碼標(biāo)準(zhǔn)方面，這通常是通過(guò)使用靜態(tài)代碼分析工具來(lái)實(shí)現(xiàn)的。有時(shí)稱(chēng)為代碼檢查，這是在后臺(tái)自動(dòng)模式下不斷驗(yàn)證代碼庫(kù)的過(guò)程，開(kāi)發(fā)人員無(wú)需任何努力。更早更深入地檢測(cè)到缺陷。一個(gè)好的工具也會(huì)減少誤報(bào)的數(shù)量。

靜態(tài)代碼分析工具通常與版本控制系統(tǒng)一起使用，它提供實(shí)時(shí)和歷史視圖，以查看由誰(shuí)、在哪里、什么以及如何提交或更改的內(nèi)容——不僅是代碼，還包括其他數(shù)字資產(chǎn)，包括圖表、文檔和原型。結(jié)果是一個(gè)開(kāi)發(fā)團(tuán)隊(duì)對(duì)項(xiàng)目的每一步都有完整的故事，這使得向監(jiān)管機(jī)構(gòu)證明合規(guī)性變得更加容易和快捷。

但是，安裝這些軟件工具并不能解決所有問(wèn)題。正確的應(yīng)用、過(guò)程和對(duì)可實(shí)現(xiàn)目標(biāo)的理解都是至關(guān)重要的。例如，汽車(chē)設(shè)計(jì)很少是白紙：軟件組件通常來(lái)自開(kāi)源、第三方開(kāi)發(fā)人員或重用現(xiàn)有或以前項(xiàng)目的組件。確保所有來(lái)源的代碼都經(jīng)過(guò)充分檢查可能是一項(xiàng)挑戰(zhàn)。

調(diào)整靜態(tài)代碼分析工具以適應(yīng)每個(gè)團(tuán)隊(duì)也很重要。定制它以適應(yīng)每個(gè)團(tuán)隊(duì)的工作環(huán)境可能需要微調(diào)。否則，該工具可能無(wú)法提供預(yù)期的結(jié)果，進(jìn)而影響該工具的感知價(jià)值，并可能阻礙其采用。

雖然該工具應(yīng)該完成所有艱苦的工作，但開(kāi)發(fā)人員將需要一些培訓(xùn)，例如，能夠分析結(jié)果并正確響應(yīng)通知。圍繞工具能做什么或不能做什么設(shè)定期望也很重要；例如，靜態(tài)分析器無(wú)法證明代碼正在按照設(shè)計(jì)者的意圖執(zhí)行其功能。

解決這些問(wèn)題將有助于采用靜態(tài)代碼分析，進(jìn)而支持正確遵守編碼標(biāo)準(zhǔn)和合規(guī)性要求。一旦建立了代碼檢查，就可以隨著時(shí)間的推移監(jiān)控代碼質(zhì)量指標(biāo)，并用于報(bào)告可證明的積極影響。

隨著產(chǎn)品設(shè)計(jì)的復(fù)雜性和連通性不斷增加，確保最終用戶(hù)所依賴(lài)的軟件安全仍將是重中之重。這適用于各種產(chǎn)品，而不僅僅是汽車(chē)設(shè)計(jì)。編碼標(biāo)準(zhǔn)，以及支持其高效應(yīng)用程序的工具和人員流程，將幫助開(kāi)發(fā)人員和軟件工程師相信他們正在安全和合規(guī)地編碼。

審核編輯 黃昊宇