MISRA C:2012 Rule 18.6

The address of an object with automatic or thread-local storage shall not be copied to another object that persists after the first object has ceased to exist

このページをすべて展開する

説明

ルール定義

The address of an object with automatic or thread-local storage shall not be copied to another object that persists after the first object has ceased to exist ¹ .

根拠

オブジェクトのアドレスはオブジェクトの有効期間が切れたときに確定できなくなります。確定できないアドレスの使用は未定義の動作になります。

Polyspace 実装

ローカル変数を指すポインターが変数のスコープを逸脱する場合、Polyspace^® はこのルールの違反を報告します。次に例を示します。

関数が、ローカル変数を指すポインターを返す。
関数が代入 globPtr = &locVar を実行する。globPtr はグローバルポインター変数、locVar はローカル変数です。
関数が代入 *paramPtr = &locVar を実行する。paramPtr は関数パラメーター (つまり int** ポインターなど)、locVar はローカルの int 変数です。

Polyspace はこのルールを、関数 alloca を使用して割り当てられるメモリに対して適用し、静的ローカル変数は無視します。Polyspace は、関数定義に含まれるローカルオブジェクトは同じスコープ内にあると仮定します。

トラブルシューティング

ルール違反を想定していてもその違反が表示されない場合、コーディング規約違反が想定どおりに表示されない理由の診断を参照します。

例

すべて展開する

ローカル変数を指すポインターが関数から返される


void func2(int *ptr) {
    *ptr = 0;
}

int* func1(void) {
    int ret = 0; //Noncompliant
    return &ret ;
}
void main(void) {
    int* ptr = func1() ;
    func2(ptr) ;
}

この例では、func1 はローカル変数 ret を指すポインターを返します。

main では、ptr はローカル変数のアドレスを指します。ret のスコープは func1 に制限されているため、func2 内で ptr がアクセスされると、そのアクセスは無効になります。

ローカル変数のアドレス

char *func(void) {
	char local_auto; /* Noncompliant*/
	return &local_auto ;  /* &local_auto is indeterminate*/
}

この例では、local_auto はローカル変数であるため、関数が変数を返した後、local_auto のアドレスは確定できません。Polyspace は違反を報告します。

ローカル変数への静的ポインターアドレスのコピー


void h(void){
    static unsigned short *q;
    
    unsigned short x =0u; //Noncompliant
    q = &x;  
}

この例では、関数 h はローカル変数 x のアドレスを静的変数 q に格納します。静的変数 q の有効期間は、ローカル変数 x の有効期間が終了した後も継続します。x を q にコピーすることはこのルールに準拠していないため、Polyspace は変数 x にフラグを設定します。

グローバルポインターへのスレッドローカル変数のアドレスのコピー

この例では、スレッドローカル変数 thread_local_var のアドレスがグローバルポインター ptr_global_var に代入されます。その後、関数 thread_function がスレッド myThread で呼び出されます。myThread が終了した後、変数 thread_local_var はスコープから外れ、ポインター ptr_global_var は破棄されたオブジェクトを指します。Polyspace は、このルールの違反を報告します。

#include <stdint.h>
#include <threads.h>
#include <stdlib.h>

_Thread_local int32_t thread_local_var = 0;
int* ptr_global_var;

void* thread_function(void* arg) {
    thread_local_var = (int32_t)arg;
    ptr_global_var = &thread_local_var;         /* Noncompliant */
}

void call_thread_function(void) {
    thrd_t myThread;

    ptr_global_var = &thread_local_var;
    thrd_create(&myThread, thread_function, (void*)1L);
    thrd_join(myThread, NULL);

    *ptr_global_var = 2; /* Bad memory access */
}

チェック情報

グループ: ポインターと配列

カテゴリ: 必要

AGC カテゴリ: 必要

バージョン履歴

すべて展開する

R2024b: スレッドローカルオブジェクトに対応するようにルールが拡張された

MISRA C:2012 Amendment 4 に従い、このルールはスレッドローカルオブジェクトに対応するように拡張されました。ルール定義が "The address of an object with automatic or thread-local storage shall not be copied to another object that persists after the first object has ceased to exist" に変更されました。スレッドローカルオブジェクトのアドレスを、そのスレッドよりもスコープが大きいオブジェクトに代入する場合、Polyspace が違反を報告するようになりました。

R2022b: ルールチェッカーがスコープをエスケープするローカル変数を検出するようになった

ローカル変数のアドレスがそのスコープをエスケープする場合、このルールチェッカーが違反を報告するようになりました。これまで、Polyspace は、グローバル変数にアドレスを代入したとき、ローカル変数のアドレスを返したとき、またはパラメーターのアドレスを返したときに、違反を報告していました。

この変更により、このルールでは static ローカル変数にフラグが設定されなくなりました。たとえば次のコードでは、関数 foo() が static ポインター static_intptr_from_foo を返します。関数 bar() 内で返されるこのポインターには static ストレージがあるため、この返されたポインターで temp を初期化してもこのルールに違反しません。

int* foo(int *in) {
    static int* static_intptr_from_foo;
    static_intptr_from_foo = in; //Compliant
    return static_intptr_from_foo;
}

int bar(void) {
    static int* static_intptr_from_bar;
    int *temp;
    temp = foo(&static_intptr_from_bar);
}

Polyspace は、このような場合には違反を報告しなくなりました。

現在、検出された違反は、ローカル変数の宣言に対して報告されるようになっています。

参考

MISRA C:2012 のチェック (-misra3)

トピック

コーディング規約違反のチェックおよびレビュー

The MISRA coding standards referenced in the Polyspace Bug Finder™ documentation are from the following MISRA standards:

MISRA C:2004
MISRA C:2012
MISRA C:2023
MISRA C++:2008
MISRA C++:2023

MISRA and MISRA C are registered trademarks of The MISRA Consortium Limited 2021.