C++ 安全子集（Embedded C++）：在关键安全领域中通过静态检查器限制 C++ 异常与 RTTI 的使用准则 - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

各位同仁、技术专家们，大家好！

今天，我们齐聚一堂，共同探讨一个在关键安全领域中至关重要的话题：如何在追求高性能和复杂系统设计的同时，确保C++语言在嵌入式和安全关键系统中的可靠性与可预测性。C++以其强大的抽象能力、卓越的性能控制以及丰富的生态系统，成为了许多复杂嵌入式项目，包括航空航天、汽车电子、医疗设备以及工业控制等领域的首选语言。然而，C++的强大也伴随着其固有的复杂性。语言的某些高级特性，虽然在通用软件开发中提供了极大的便利，但在对确定性、实时性、资源限制和形式验证有严格要求的安全关键系统中，却可能引入难以预料的行为和难以追踪的错误。

本次讲座的核心，将围绕“C++安全子集”这一概念展开，特别是深入探讨在嵌入式C++开发中，如何通过静态检查器限制C++异常（Exceptions）与运行期类型信息（RTTI）的使用。我们将阐明为何这些特性在安全关键领域被视为“高风险”，并提供一套系统性的使用准则，辅以代码示例，旨在帮助开发者构建更加健壮、可验证且符合安全标准的软件系统。

C++ 在安全关键系统中的独特价值与挑战

C++在安全关键系统中的应用并非没有争议。长期以来，C语言因其接近硬件、行为可预测性高而被视为嵌入式领域的黄金标准。然而，随着系统复杂度的指数级增长，仅仅依靠C语言的抽象能力已不足以高效地管理庞大的代码库和复杂的业务逻辑。C++的优势在此刻变得尤为突出：

抽象能力与模块化： 面向对象编程（OOP）范式、泛型编程（Templates）和各种语言特性，使得开发者能够构建高内聚、低耦合的模块化组件，有效管理系统复杂度。
性能与资源控制： C++允许开发者对内存布局、对象生命周期和执行效率进行精细控制，能够充分利用硬件资源，满足严苛的性能和实时性要求。
零开销抽象： C++的设计哲学之一是“你不需要为不使用的特性付费”。这意味着，如果合理使用，C++的抽象层并不会引入额外的运行时开销。
大型项目协作： C++提供了强大的类型系统和接口定义机制，有助于大型开发团队之间的协作，减少集成错误。

尽管如此，C++的复杂性也带来了显著的挑战，尤其是在安全关键领域：

语言特性丰富： 从指针、引用到虚函数、模板、多重继承、异常、RTTI、协程等，C++特性繁多，理解和正确使用所有特性需要深厚的专业知识。
未定义行为（Undefined Behavior, UB）： C++标准中存在大量的未定义行为，如空指针解引用、数组越界访问等。UB会导致程序行为不可预测，是安全漏洞的重要来源。
资源管理： 手动内存管理（new/delete）容易导致内存泄漏或悬空指针，虽然C++11引入了智能指针，但在受限环境中，动态内存分配本身就可能被限制。
非确定性： 某些C++特性，如异常处理，可能引入非确定性的执行路径和时间开销，这与实时系统的严格要求相悖。

为了在安全性和C++的强大之间取得平衡，行业内逐渐形成了一种共识：在安全关键系统中使用C++时，必须严格限制其语言特性的子集。本讲座将聚焦于其中两个最常被限制的特性：C++异常和RTTI。

C++异常：安全关键领域的“定时炸弹”

C++异常处理机制（try-catch-throw）旨在提供一种结构化的错误处理方式，将错误检测与错误处理代码分离，提高代码的可读性和健壮性。然而，在安全关键系统中，异常的引入可能带来一系列严重问题。

异常的工作原理与运行时开销

当一个异常被抛出时，程序会沿着调用栈向上寻找匹配的catch块。这个过程称为“栈展开”（Stack Unwinding）。在栈展开过程中，位于try块和catch块之间栈帧上的局部对象会被按逆序析构。

这个过程涉及：

查找匹配的catch块： 运行时系统需要遍历调用栈，查找与抛出异常类型兼容的catch块。
栈展开与对象析构： 在栈展开过程中，所有被跳过的栈帧上的局部对象的析构函数会被调用。
资源开销： 异常处理需要额外的运行时支持，包括异常表（存储在可执行文件中，用于描述哪些函数可能抛出异常以及如何处理）和运行时库的代码。即使没有异常被抛出，这些支持也可能增加代码大小和数据段负载。

异常在安全关键系统中的主要危害

非确定性行为与实时性破坏：
- 时间开销不可预测： 栈展开的时间取决于异常抛出点到catch块之间的栈深度，以及需要析构的局部对象的数量和类型（析构函数可能执行复杂操作）。这种不确定性使得程序难以满足严格的实时性要求。
- 优先级反转： 异常处理可能打断当前任务的执行，并在处理过程中占用CPU时间，这可能导致更高优先级的任务无法及时执行，引发优先级反转。
- 资源竞争与死锁： 异常在不确定的点打断程序执行，可能导致临界区被非正常退出，互斥锁未释放，从而引发死锁或数据不一致。
资源泄漏与状态不一致：
- 尽管C++旨在通过RAII（Resource Acquisition Is Initialization）原则来防止资源泄漏，但异常处理仍然可能导致复杂场景下的资源泄漏。例如，在多个资源分配之间抛出异常，如果RAII对象设计不当或其析构函数本身存在问题，仍然可能导致问题。
- 异常可能使系统进入一种未定义或不一致的状态。例如，在一个多步操作中，如果在中间步骤抛出异常，可能导致部分操作完成，部分未完成，使得系统状态介于有效和无效之间。
代码复杂度与可验证性降低：
- 隐式控制流： 异常会创建隐式的控制流路径，使得代码的执行路径难以直观追踪。开发者需要同时考虑正常路径和所有可能的异常路径，这极大地增加了代码的复杂性。
- 难以静态分析与形式验证： 静态分析工具和形式验证方法在处理异常时面临巨大挑战。它们需要考虑异常可能从函数内部的任何位置抛出，并向上层传播，这使得证明程序的正确性变得异常困难。
- 异常规范（Exception Specification）的失败： C++98/03的异常规范（throw()）被证明是无效的，并在C++11中被弃用，C++17中被移除。新的noexcept关键字提供了更强的保证，但它是一个契约，而非强制，运行时违反noexcept会导致std::terminate。

示例：异常的潜在危害

#include <iostream>
#include <vector>
#include <memory> // For std::unique_ptr

// 模拟一个可能抛出异常的资源分配函数
void* allocate_resource(size_t size) {
    if (size == 0) {
        throw std::invalid_argument("Cannot allocate zero size.");
    }
    // 模拟分配失败
    if (size > 1024) { // Arbitrary limit for demonstration
        throw std::bad_alloc();
    }
    std::cout << "Resource of size " << size << " allocated." << std::endl;
    return new char[size];
}

// 模拟一个需要管理多个资源的操作
void complex_operation() {
    std::cout << "Starting complex_operation..." << std::endl;
    std::unique_ptr<char[]> res1 = nullptr;
    std::unique_ptr<char[]> res2 = nullptr;

    try {
        res1.reset(static_cast<char*>(allocate_resource(500))); // First resource
        // 假设这里有一些操作
        if (true) { // 模拟某个条件导致异常
            throw std::runtime_error("Intermediate error during operation.");
        }
        res2.reset(static_cast<char*>(allocate_resource(200))); // Second resource, might not be reached
        std::cout << "Both resources allocated successfully." << std::endl;
    } catch (const std::invalid_argument& e) {
        std::cerr << "Caught invalid_argument: " << e.what() << std::endl;
    } catch (const std::bad_alloc& e) {
        std::cerr << "Caught bad_alloc: " << e.what() << std::endl;
    } catch (const std::runtime_error& e) {
        std::cerr << "Caught runtime_error: " << e.what() << std::endl;
        // 此时 res1 已经被析构，但 res2 未被分配
        // 如果这里没有捕获，异常会继续向上层传播，直到找到匹配的catch或程序终止
    } catch (...) {
        std::cerr << "Caught unknown exception." << std::endl;
    }
    std::cout << "Exiting complex_operation." << std::endl;
}

int main() {
    std::cout << "Main function started." << std::endl;
    complex_operation();
    std::cout << "Main function finished." << std::endl;

    // Try another scenario where allocate_resource throws
    std::cout << "nAttempting operation with too large resource:" << std::endl;
    try {
        std::unique_ptr<char[]> large_res(static_cast<char*>(allocate_resource(2000)));
    } catch (const std::bad_alloc& e) {
        std::cerr << "Caught bad_alloc in main: " << e.what() << std::endl;
    }

    return 0;
}

在这个例子中，complex_operation中的runtime_error导致res2的分配代码未被执行。虽然std::unique_ptr保证了res1会在异常时被正确释放，但如果res2是一个手动管理的资源，或者在res1和res2之间有其他未被RAII保护的操作，则可能导致资源泄漏或状态不一致。更关键的是，异常的抛出点和捕获点可以相距甚远，使得程序的执行流程难以预测。

运行期类型信息（RTTI）：徒增复杂性的运行时检查

运行期类型信息（Run-Time Type Information, RTTI）是C++的一个特性，允许程序在运行时查询对象的动态类型。它主要通过dynamic_cast和typeid这两个操作符提供支持。

RTTI的工作原理与运行时开销

dynamic_cast： 用于在类的继承体系中执行安全的向下转型（downcasting）。它会检查指针或引用所指向的对象的实际类型是否与目标类型兼容。如果兼容，则执行转型；否则，对于指针返回nullptr，对于引用抛出std::bad_cast异常。
typeid： 返回一个std::type_info对象的引用，该对象描述了表达式的类型。它通常用于类型比较。

RTTI的实现通常依赖于每个多态类（即至少含有一个虚函数的类）在其虚函数表（vtable）中包含一个指向std::type_info对象的指针。这意味着：

内存开销： 每个多态类的对象和每个类本身都需要额外的内存来存储类型信息和指向type_info的指针。
性能开销： dynamic_cast和typeid操作在运行时需要执行类型检查，这会引入额外的CPU周期。对于复杂的继承体系，检查过程可能更耗时。
代码膨胀： RTTI的运行时支持库也会增加最终可执行文件的大小。

RTTI在安全关键系统中的主要危害

引入运行时不确定性：
- RTTI本质上是一种运行时决策机制。在静态类型语言中，我们倾向于在编译时解决类型相关的问题，以确保可预测性和性能。RTTI将类型检查推迟到运行时，使得程序行为的确定性降低。
- dynamic_cast在失败时返回nullptr或抛出std::bad_cast异常。如果系统禁用异常，std::bad_cast将直接导致std::terminate，这在安全关键系统中是不可接受的。
难以静态分析与形式验证：
- 与异常类似，RTTI的运行时特性使得静态分析工具难以全面理解和验证程序的行为。静态分析器无法在编译时确定所有可能的动态类型转换结果。
- 这增加了程序路径的复杂性，使得形式验证更加困难，无法提供强有力的安全保证。
设计缺陷的掩盖：
- 过度依赖dynamic_cast通常被视为面向对象设计的“代码异味”（code smell）。它往往表明类层次结构设计不当，或者本应使用虚函数实现多态性的地方却依赖运行时类型检查。
- 在安全关键系统中，清晰、可预测的设计至关重要。RTTI的使用可能掩盖这些设计缺陷，使得代码更难理解、维护和扩展。

示例：RTTI的替代方案

#include <iostream>
#include <vector>
#include <memory>

// 基类
class Shape {
public:
    virtual ~Shape() = default;
    virtual void draw() const = 0;
};

// 派生类 A
class Circle : public Shape {
public:
    void draw() const override {
        std::cout << "Drawing a Circle." << std::endl;
    }
    void radius_specific_op() const {
        std::cout << "Performing circle-specific operation (e.g., set radius)." << std::endl;
    }
};

// 派生类 B
class Square : public Shape {
public:
    void draw() const override {
        std::cout << "Drawing a Square." << std::endl;
    }
    void side_specific_op() const {
        std::cout << "Performing square-specific operation (e.g., set side length)." << std::endl;
    }
};

void process_shapes_with_rtti(const std::vector<std::unique_ptr<Shape>>& shapes) {
    std::cout << "n--- Processing shapes with RTTI ---" << std::endl;
    for (const auto& shape : shapes) {
        shape->draw(); // Common operation
        // 使用 dynamic_cast 进行向下转型，可能失败
        if (const Circle* circle = dynamic_cast<const Circle*>(shape.get())) {
            circle->radius_specific_op();
        } else if (const Square* square = dynamic_cast<const Square*>(shape.get())) {
            square->side_specific_op();
        } else {
            std::cout << "Unknown shape type encountered." << std::endl;
        }
    }
}

// 替代方案：虚函数（Preferred in C++ OOP）
class Shape_NoRTTI {
public:
    virtual ~Shape_NoRTTI() = default;
    virtual void draw() const = 0;
    // 添加一个虚函数来处理特定类型操作，避免 dynamic_cast
    virtual void specific_operation() const {
        // 默认行为，或者抛出错误（如果允许），或者什么也不做
        std::cout << "No specific operation for this generic shape." << std::endl;
    }
};

class Circle_NoRTTI : public Shape_NoRTTI {
public:
    void draw() const override {
        std::cout << "Drawing a Circle (No RTTI)." << std::endl;
    }
    void specific_operation() const override {
        std::cout << "Performing circle-specific operation (No RTTI)." << std::endl;
    }
};

class Square_NoRTTI : public Shape_NoRTTI {
public:
    void draw() const override {
        std::cout << "Drawing a Square (No RTTI)." << std::endl;
    }
    void specific_operation() const override {
        std::cout << "Performing square-specific operation (No RTTI)." << std::endl;
    }
};

void process_shapes_without_rtti(const std::vector<std::unique_ptr<Shape_NoRTTI>>& shapes) {
    std::cout << "n--- Processing shapes without RTTI (using virtual functions) ---" << std::endl;
    for (const auto& shape : shapes) {
        shape->draw();
        shape->specific_operation(); // 多态调用，编译时确定
    }
}

int main() {
    std::vector<std::unique_ptr<Shape>> shapes_rtti;
    shapes_rtti.push_back(std::make_unique<Circle>());
    shapes_rtti.push_back(std::make_unique<Square>());
    // shapes_rtti.push_back(std::make_unique<Shape>()); // Error: abstract class
    process_shapes_with_rtti(shapes_rtti);

    std::vector<std::unique_ptr<Shape_NoRTTI>> shapes_no_rtti;
    shapes_no_rtti.push_back(std::make_unique<Circle_NoRTTI>());
    shapes_no_rtti.push_back(std::make_unique<Square_NoRTTI>());
    process_shapes_without_rtti(shapes_no_rtti);

    return 0;
}

process_shapes_with_rtti函数通过dynamic_cast在运行时判断对象的具体类型，并执行相应的操作。这虽然能工作，但引入了运行时开销和潜在的异常。process_shapes_without_rtti则通过在基类中声明一个虚函数specific_operation，并在派生类中重写，实现了相同的逻辑，但完全是在编译时通过虚函数机制确定的，避免了RTTI的开销和风险。

定义C++安全子集：Embedded C++ / MISRA C++ / AUTOSAR C++

为了解决上述问题，行业标准和指南应运而生，旨在定义C++在安全关键领域可接受的子集。最著名的包括：

MISRA C++: 由汽车产业软件可靠性协会（Motor Industry Software Reliability Association）发布，是一套针对C++语言的编程指南，旨在提高嵌入式系统中C++代码的安全性、可靠性和可维护性。
AUTOSAR C++: 汽车开放系统架构（AUTOSAR）组织也发布了一套基于MISRA C++的编程指南，针对高性能汽车电子控制单元（ECU）的软件开发。
Embedded C++ (EC++)： 虽然不像MISRA C++那样正式，但“Embedded C++”通常指一个更小、更精简的C++子集，旨在减少内存占用和提高性能，通常会禁用异常、RTTI、模板等复杂特性。

这些标准和指南的核心思想是：

确定性与可预测性： 避免任何可能导致运行时行为不确定性的语言特性。
静态可验证性： 优先选择那些可以在编译时或通过静态分析工具完全验证其正确性的代码结构。
资源限制： 避免动态内存分配、递归等可能导致资源耗尽或难以预测资源使用的特性。
清晰性与可维护性： 鼓励使用清晰、易懂的代码结构，减少语言的“陷阱”。

关于异常和RTTI的具体限制：

| 特性 | MISRA C++ / AUTOSAR C++ 限制 | 异常 (Exceptions) |
|———————–|—————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————- | 异常禁用 (MISRA C++ Rule 15-1-1) | throw 表达式不得使用。 try 和 catch 块也不得使用。这表示整个异常处理机制被禁用。
| RTTI禁用 (MISRA C++ Rule 18-1-1) | dynamic_cast 操作符不得使用。 |
| typeid | typeid 操作符不得使用。