F-35 联合作战飞机编程标准解析：为何 C++ 的大部分功能被限制用于安全关键型软件
总结：
本视频探讨了战斗机编程中为何严格限制 C++ 功能，特别以 F-35 联合作战飞机的 C++ 标准为例。
- 视频首先回顾了 1996 年阿丽亚娜 5 号火箭因未处理的异常而坠毁的事件，强调了安全关键型软件中异常处理的重要性。
- 历史部分揭示了航空软件从无到有，以及美国国防部在不同编程语言（如 Jovial、CMS-2、Ada）之间挣扎，最终决定采用 C++ 来开发 F-35。
- 洛克希德·马丁公司在 C++ 创始人 Bjarne Stroustrup 的协助下，制定了 JSF C++ 标准，通过“飞行前移除”策略，限制了 C++ 的某些功能以确保代码的可预测性。
- 视频重点介绍了 JSF 标准中禁止或限制的三个关键 C++ 功能：异常处理（AV Rule 208）、递归（AV Rule 119）和动态内存分配（AV Rule 206），并展示了通过返回码、迭代和预分配内存来解决这些限制的方法。
- 此外，还提到了圈复杂度（AV Rule 3），要求函数决策路径不超过 20。
- 最后，视频指出 JSF 标准对其他安全关键领域（如 NASA F-Prime、AutoSAR）产生了深远影响，但强调现代 C++ 最佳实践应遵循 C++ Core Guidelines。
JSF 标准关注的三大 C++ 功能限制 [ 00:18:00 ]
飞行软件的历史 [00:00]
- 阿丽亚娜 5 号火箭坠毁 [00:44]
- 1996 年 6 月 4 日，阿丽亚娜 5 号火箭发射 36 秒后因飞行控制软件中的一个未处理异常而解体。
- 一个 64 位浮点数转换为 16 位整数时发生溢出，导致系统无法处理该错误。
- 这次事故造成 5 亿美元的损失。
阿丽亚娜 5 号火箭坠毁时的飞行数据，显示异常发生 [ 00:01:04 ]
- 早期飞机软件 [03:06]
- 20 世纪 70 年代初期的军用战斗机（如 F-4 幻影）几乎没有软件，轰炸计算机主要由齿轮和凸轮组成。
- F-14 雄猫战机标志着软件时代的开端，其变后掠翼设计需要计算机控制以实现最佳性能。
- 世界上第一个微处理器（由 Garrett AiResearch 为 F-14 秘密开发，早于英特尔 4004）用于处理多项式方程，大约 2500 行微代码。
- 软件爆炸式增长和语言碎片化 [04:40]
- Ada 语言的兴起与挑战 [06:26]
- Ada 是一种为安全关键型应用而设计的优秀语言，非常适用于航空航天领域。
- 国防部强制要求使用 Ada，否则无法获得合同。
- 到了 90 年代，尽管 Ada 在航空航天领域广泛使用，但 C++ 因互联网、Windows 95 和游戏开发的兴起而变得更受欢迎。
- Ada 编译器昂贵（数千美元），而 C++ 和 GCC 等免费编译器吸引了大量学生和开发者。
Ada 语言开发环境的高昂成本 ($15,000) [ 00:08:00 ]
国防部与 C++ [08:27]
- 洛克希德·马丁公司提议在 F-35 中使用 C++ [08:23]
- 洛克希德·马丁公司认识到 F-35 将是一款软件密集型飞机，涉及传感器融合等复杂概念和计算。
- 他们提出了一个“看似疯狂”的提议，说服国防部放弃 Ada，转而使用 C++。
- Bjarne Stroustrup 的参与和 JSF C++ 标准 [09:37]
- 洛克希德·马丁公司寻求 C++ 创始人 Bjarne Stroustrup 的建议，制定了 C++ 语言的“精选”使用方案。
- Stroustrup 承认参与了 JSF 规则的制定。
- JSF C++ 标准通过“飞行前移除”策略，有选择地剔除 C++ 的特定部分，以创建更安全的任务关键型代码。
- 该标准公开可查，理论上允许任何人贡献符合要求的代码。
- “飞行前移除”原则 [10:20]
- JSF 标准的核心思想是通过移除语言的某些特性来构建更安全的软件，而非添加功能。
- 目标是确保高度可预测的行为，从而通过任务或安全认证，同时避免使用“史前”语言。
- F-35 的早期任务计算机基于 Motorola G4 Power PC 处理器，与 GameCube 的架构相似，尽管经过了加固和扩展。
模拟飞行 F-35 [12:56]
禁止异常？ [17:58]
- JSF AV Rule 208：禁止使用异常 [20:02]
- JSF 标准 AV Rule 208 明确规定：“C++ 异常不得使用（即不得使用
try、catch和throw）”。
JSF AV Rule 208：禁止使用 C++ 异常 (try, catch, throw) [ 00:01:39 ]
- JSF 标准 AV Rule 208 明确规定：“C++ 异常不得使用（即不得使用
- 原因：不可预测的控制流和当时的工具支持不足 [20:14]
- 异常会产生不可预测的控制流，这是安全关键型代码中最糟糕的情况。阿丽亚娜 5 号的坠毁正是因为未能处理异常。
- 当时，C++ 异常处理的工具支持成熟度不足，无法保证实时响应时间。
- 解决方案：使用返回码进行错误处理 [22:21]
递归 + 圈复杂度 [23:47]
- JSF AV Rule 119：禁止递归 [23:47]
- JSF 标准 AV Rule 119 规定：“任何函数不得直接或间接调用自身”，即禁止使用递归。
JSF AV Rule 119：禁止使用递归函数 [ 00:23:52 ]
- JSF 标准 AV Rule 119 规定：“任何函数不得直接或间接调用自身”，即禁止使用递归。
- 原因：栈溢出和不可预测的内存使用 [24:06]
- 递归调用会在栈上不断创建新的栈帧，如果递归深度无法预知或不受限制，可能导致栈溢出。
- 在安全关键型应用中，必须预先知道最大内存使用量，而递归的深度通常难以确定。
- 解决方案：迭代方法 [25:47]
- 将递归算法重写为迭代形式，例如，计算二项式系数时从递归实现改为循环实现。
JSF 标准 C++ 代码中的迭代二项式系数计算 [ 00:25:50 ] - 迭代方法虽然代码可能不如递归简洁，但能确保内存使用量的可预测性。
- 将递归算法重写为迭代形式，例如，计算二项式系数时从递归实现改为循环实现。
- 圈复杂度 (AV Rule 3) [28:42]
内存（预）分配 [26:26]
- JSF AV Rule 206：初始化后禁止动态内存分配/释放 [26:27]
- JSF 标准 AV Rule 206 规定：“初始化后不得进行内存分配和内存释放”。
- 原因：不可预测性和内存碎片化 [26:45]
- 动态内存分配会引入不可预测性，无法确定内存管理器需要多长时间才能找到可用内存，也无法保证有足够的连续内存。
- 动态分配和释放会导致堆内存碎片化，产生无法利用的小块内存，影响后续大块内存的分配。
动态内存分配导致的堆内存碎片化示意图 [ 00:27:10 ]
- 解决方案：固定大小缓冲区预分配 [28:09]
- 在程序初始化时预先分配好所有所需的内存，使用固定大小的缓冲区。
JSF 标准 C++ 代码中的预分配固定大小缓冲区 [ 00:28:10 ] - 例如，通过硬编码最大数据大小来创建数组，确保不会在运行时动态分配任何内存。
- 这保证了内存使用的可预测性，消除了动态分配带来的风险。
- 在程序初始化时预先分配好所有所需的内存，使用固定大小的缓冲区。
安全关键型软件的未来 [30:51]
- JSF 标准对其他领域的影响 (NASA F-Prime, AutoSAR) [30:51]
- F-35 C++ 标准的原则被广泛应用于其他安全关键型领域，如 NASA 的 F-Prime 标准（公开于 2017 年）。
- F-Prime 也禁止动态内存分配、异常处理和递归。
- 汽车工业的 AutoSAR (Automotive Open System Architecture) C++14 标准也明确引用 JSF 标准作为其影响因素之一。
- 宝马、福特、丰田等主要汽车制造商都依赖 AutoSAR。
- 现代 C++ Core Guidelines vs. JSF 标准 [32:56]
- 尽管 JSF 标准在其时代是一项了不起的工程壮举，但 C++ 创始人 Bjarne Stroustrup 建议现在应使用现代 C++ Core Guidelines。
Bjarne Stroustrup 推荐的现代 C++ Core Guidelines [ 00:33:00 ] - 现代 C++ 已经发展和演进，引入了智能指针等新功能，能够以更安全、更高效的方式解决 JSF 当时面临的许多问题。
- JSF 标准的历史意义在于它成功地将 C++ 这样一个复杂的语言转化为可预测、安全的关键基础设施编程语言。
- 重要的是拥有识别“飞行前移除”哪些特性的纪律，以确保安全和可预测性。
- 尽管 JSF 标准在其时代是一项了不起的工程壮举，但 C++ 创始人 Bjarne Stroustrup 建议现在应使用现代 C++ Core Guidelines。