12、汽车软件静态代码分析：MISRA与AUTOSAR指南合规工作流

汽车软件静态代码分析：MISRA与AUTOSAR指南合规工作流

在汽车行业，软件的安全性和可靠性至关重要。静态代码分析工具在识别代码中的弱点和漏洞方面发挥着关键作用，尤其是对于遵循MISRA和AUTOSAR等汽车相关编码标准的代码。然而，汽车系统的复杂性使得直接对整个代码库运行这些编码指南检查器变得不切实际，会产生大量的检查结果。下面将介绍一种系统的工作流，帮助组织更好地处理MISRA和AUTOSAR编码指南。

1. 指南政策制定

在处理不同类型的软件组件时，组织需要为不同的组件类型和风险类别定义合适的指南政策。
- 安全/安全关键组件 ：对于安全/安全关键组件（如组件1、组件2等），应采用完整的MISRA或AUTOSAR编码指南，以及选定的CERT指南。
- 非安全/安全关键组件 ：对于非安全/安全关键组件（如组件3、组件7和组件8），组织可以创建“指南政策3”，其中包含从MISRA或AUTOSAR编码指南中选择的有限编码指南，甚至可以不包含任何MISRA或AUTOSAR编码指南。
- 自动生成代码 ：对于自动生成代码（组件4），组织可以定义“指南政策4”，其中包含与自动生成代码相关的少量选定指南，或者该政策可以将自动生成代码排除在任何MISRA或AUTOSAR编码指南之外。

在定义这些指南政策时，组织必须谨慎考虑，确保为不同的政策包含适当的编码指南。此外，应根据启用MISRA或AUTOSAR检查器的静态代码分析扫描结果定期审查这些政策，以确保其适用性。

2. 执行扫描并规划结果优先级排序方法