CC-RXでvolatile指定有り__evenaccess指定無しのobjectへのaccess sizeが保証されないのは言語規格上妥当なのかな?

こんにちは。NoMaYです。

正直に言うとCC-RXの__evenaccessの"意味"を知ったのは3日前に別スレッド『RX用FITのUSBドライバをCS+6環境でコンパイル最適化レベル2以上にしたときの不具合』に関わった時ですが、以来、掲題の件が気になっています。これって、非常にハイリスクだと思うのですが、MISRA-CでもCERT(JPCERT/CC)でも、類似した件を見掛けた記憶がないのです。それって、C言語規格上そういうものでは無い、ということなのではないかと思われるのですが、、、

CC-RXのマニュアルでは以下の通りに言い切っています。(他方、CC-RLのマニュアルはそう言っていませんが。) 素朴に解釈すると、__evenaccessと一緒に使われていないvolatileなど恐ろしくて使えたものではありません。(と私は暫くしてから感じるようになりました。)

CC-RXコンパイラ ユーザーズマニュアル
www.renesas.com/ja-jp/doc/products/tool/doc/011/r20ut3248jj0105-ccrx.pdf
4. コンパイラ言語仕様
4.1 基本言語仕様
4.1.3 処理系依存
(10) 型修飾子


(参) CC-RLコンパイラ ユーザーズマニュアル
www.renesas.com/ja-jp/doc/products/tool/doc/011/r20ut3123jj0106_ccrl.pdf
4. コンパイラ言語仕様
4.1 基本言語仕様
4.1.3 処理系依存
(33) 型修飾子


ですが、そのように恐ろしい単独のvolatileですが、先程のスレッドにも投稿したTOPPERS/ASPのソースで平気で使われています。以下はそこからの引用ですが、他にも、少し凝った作りの自前のドライバのソースには、きっと__evenaccessと一緒に使われていない恐ろしい単独のvolatileが幾つも見付かるのではないかと推測されます。

もっとも、mstpcrregへの書き込みが以下のスタイルですので、TOPPERS/ASPの慣習では、(たまたま?)大丈夫そうですが、、、([追記] なお、sil_rew_mem()やsil_wrw_mem()のコードに__evenaccessが無いのは、将来のCC-RXのバージョンアップに対するリスク要因である、ような気がして来ましたが、、、)

pdic\rx600\rx630_uart.c

/*
 *  SIOドライバのシリアルモードレジスタ(SMR)
 */
static void
rx630_uart_setmode(const SIOPINIB *p_siopinib, uint8_t bitrate, uint8_t clksrc)
{

    /*
     *  モジュールストップ機能の設定
     */
    sil_wrh_mem((uint16_t *)SYSTEM_PRCR_ADDR, (uint16_t)0xA502);    /* 書込み許可 */
    sil_wrw_mem((uint32_t *)p_siopinib->mstpcrreg,
        sil_rew_mem((uint32_t *)p_siopinib->mstpcrreg) & ~p_siopinib->mstpcr_offset);
    sil_wrh_mem((uint16_t *)SYSTEM_PRCR_ADDR, (uint16_t)0xA500);    /* 書込み禁止 */

}

include\sil.h ([追記] これでは呼び出し元の方に__evenaccessが有っても効かないような気がして来ました、、、)

Inline uint32_t
sil_rew_mem(const uint32_t *mem)
{
    uint32_t    data;

    data = *((const volatile uint32_t *) mem); ←ここに__evenaccessが無いのはリスク要因な気が、、、
    return(data);
}

Inline void
sil_wrw_mem(uint32_t *mem, uint32_t data)
{
    *((volatile uint32_t *) mem) = data; ←ここに__evenaccessが無いのはリスク要因な気が、、、
}

それで、CC-RXのマニュアルで言い切っている以上、どうこう出来るものではないでしょうが、以下でGoogle検索してみました。そこで、気になる記述に気付きましたが、ここで力尽きましたので、また後日再挑戦してみます。

Google検索: 変数 アクセス サイズ site:www.jpcert.or.jp/sc-rules/
https://www.google.com/search?q=変数 アクセス サイズ site:www.jpcert.or.jp/sc-rules/

Google検索: volatile site:www.jpcert.or.jp/sc-rules/
https://www.google.com/search?q=volatile site:www.jpcert.or.jp/sc-rules/

気になる記述
DCL17-C. volatile 修飾された変数が間違ってコンパイルされることに注意
www.jpcert.or.jp/sc-rules/c-dcl17-c.html

volatile修飾された変数は「抽象計算機の規則に厳密に従って評価しなければならない」[ISO/IEC 9899:2011]


ちなみに、上の記述はC11の規格のもののようですが、C99の規格にも以下の通り同様のものが記述されていました。

JIS X 3010:2003 (ISO/IEC 9899:1999) プログラミング言語C
kikakurui.com/x3/X3010-2003-01.html


Top Replies

Parents
  • アクセスサイズの保証は兎も角として、volatile 指示されてるオブジェクトへの読み書きが一部でも省略されるのは宜しくない気がしますね。

  • fujitaさん、こんにちは、リプライをどうもです。NoMaYです。

    >volatile 指示されてるオブジェクトへの読み書きが一部でも省略されるのは宜しくない気がしますね。
    (まだ力尽きたところから先へは進んでいませんが)何となく省略されるのは宜しくない気がしますよね。

    そして、規格書の文面からは、(今回の件はアクセス対象がshortなので、) 16bitリードを8bitリード×2、16bitライトを8bitライト×2、で構成したりしてもそれは処理系定義であるからOKである、ということであるような気配がしますよね。(ここは私が観念しつつある点です。)(もっとも、16bitリード命令や16bitライト命令があるRXで、そのようにリードやライトをわざわざ8bitずつに分割する必然性は無いと思いますが、、、)

    あと、今回の件から離れて仮にアクセス対象が8bitだったとして、「抽象計算機の規則に厳密に従って評価しなければならない」という条件を満たすことが出来る場合には、アクセスをビット操作命令で行ったりしてもそれは処理系定義であるからOKである、ということでもあるような気配もします、、、

Reply
  • fujitaさん、こんにちは、リプライをどうもです。NoMaYです。

    >volatile 指示されてるオブジェクトへの読み書きが一部でも省略されるのは宜しくない気がしますね。
    (まだ力尽きたところから先へは進んでいませんが)何となく省略されるのは宜しくない気がしますよね。

    そして、規格書の文面からは、(今回の件はアクセス対象がshortなので、) 16bitリードを8bitリード×2、16bitライトを8bitライト×2、で構成したりしてもそれは処理系定義であるからOKである、ということであるような気配がしますよね。(ここは私が観念しつつある点です。)(もっとも、16bitリード命令や16bitライト命令があるRXで、そのようにリードやライトをわざわざ8bitずつに分割する必然性は無いと思いますが、、、)

    あと、今回の件から離れて仮にアクセス対象が8bitだったとして、「抽象計算機の規則に厳密に従って評価しなければならない」という条件を満たすことが出来る場合には、アクセスをビット操作命令で行ったりしてもそれは処理系定義であるからOKである、ということでもあるような気配もします、、、

Children
No Data