为什么 MISRA-C:2004 会在此处抛出错误？

Question

我似乎不断收到以下代码段中 lShift 分配的 MISRA-C:2004 规则 10.1 和 10.3 错误，我真的看不出还能做些什么来满足要求...为什么我仍然遇到错误？

#define ADC_INTSELxNy_LOG2_NUMBITS_PER_REG 3U
#define ADC_INTSELxNy_NUMBITS_PER_REG 8U
void foo (const bar_e intNumber) {
    uint_least8_t lShift = (uint_least8_t)(ADC_INTSELxNy_NUMBITS_PER_REG - (((((uint_least8_t)intNumber) + 1U) & 0x1U) << ADC_INTSELxNy_LOG2_NUMBITS_PER_REG));
    //...
}

Answer 1

那一行是一团乱七八糟的东西。考虑将其拆分以提高可读性。根据系统上 int 的宽度，代码看起来会有所不同。下面的代码假定 32 位整数。

uint8_t        bit      = (uint8_t)( ((uint32_t)intNumber + 1U) & 0x1U );
uint32_t       lShift32 = ((uint32_t)bit << ADC_INTSELxNy_LOG2_NUMBITS_PER_REG);
uint_least8_t  lShift8  = (uint_least8_t)((uint32_t)ADC_INTSELxNy_NUMBITS_PER_REG - lShift);

现在至于你出错的原因，规则 10.1 和 10.3 与隐式整数类型提升有关。如果您像我上面那样拆分代码，您将不会对每个子表达式的 "underlying type" 感到困惑。您做错的是在操作之前 添加了对基础类型的强制转换，这没什么用。您需要在每次操作之后执行此操作。

+ 操作需要在 + 操作之后显式转换为基础类型 ，与 & 操作和移位操作相同。仅在最后将所有内容都转换为基础类型是不够的，您必须单独考虑每个子表达式。

解释一下我上面的代码：

第一行显式转换为 uint32_t 以确保 intNumber 与 1U 的类型相同。这样，就没有子表达式 intNumber + 1U 的隐式转换，这是与基础类型 uint8_t 具有相同符号的更广泛类型（意味着它是安全的）。加法的结果是 unsigned int 类型。同样，unsigned int & unsigned int 不会产生隐式转换。最后将结果转换为 uint8_t 以满足许多 MISRA 规则。其余代码以相同的方式继续。

我总是尝试在操作前对大整数类型进行扩大转换，以简化一切，避免隐式提升并避免彼此之间进行多次转换。

请注意，规则 10.1 的真正目的是实际上强迫您自学 C 中的隐式类型提升。这是一个相当复杂的主题，但数量惊人的 C 程序员忘记了类型提升和所有由它们引起的危险和错误。 More info about the type promotion rules here.

为什么 MISRA-C:2004 会在此处抛出错误？

Why does MISRA-C:2004 throw an error here?

c

misra