在 Rust 慶祝成立 10周年之際，Nick Flaherty 與 Adacore 的 Tony Aiello 和 Stephen Hedrick 討論了嵌入式和任務(wù)關(guān)鍵型系統(tǒng)語言的演變

Rust 避免了 C 和 C++ 出現(xiàn)的內(nèi)存問題，確?？梢詾榘踩P(guān)鍵型應(yīng)用程序開發(fā)代碼。但有幾種看法阻礙了它，即沒有足夠的具有該語言經(jīng)驗(yàn)的熟練工程師，而且工具還沒有準(zhǔn)備好。

Rust 語言和 Ada 形式語言的發(fā)展之間存在相似之處。Adacore 為安全關(guān)鍵系統(tǒng)開發(fā)工具，并于 2023 年推出了適用于 Rust 的 Gnat Pro 工具版本。

“我們的觀點(diǎn)與廣泛的主流觀點(diǎn)不同。我們的重點(diǎn)是為高完整性應(yīng)用開發(fā)工具，通常是在嵌入式領(lǐng)域，包括航空航天和國防、一些新太空、汽車、醫(yī)療，“Adacore 產(chǎn)品和創(chuàng)新主管兼負(fù)責(zé)推出 Rust 工具的產(chǎn)品經(jīng)理 Aeillo 說。

“我們看到的是 Rust 的勢頭。對(duì) Rust 的興趣主要是由普通工程師推動(dòng)的，他們希望找到一種前衛(wèi)的方法，將其用于業(yè)余項(xiàng)目，并在他們的團(tuán)隊(duì)中鼓動(dòng) Rust 被采用。

“如果經(jīng)理們猶豫不決，那不是工程師的問題，因?yàn)檫@還沒有在我們的領(lǐng)域得到證實(shí)，而且對(duì)生態(tài)系統(tǒng)的完整性、安全標(biāo)準(zhǔn)的資格存在疑問，這些都是需要解決的問題，”他說

“這仍然是一門年輕的語言，很多東西會(huì)隨著時(shí)間的推移而成熟。事實(shí)上，仍然存在著嗡嗡聲，而且這種嗡嗡聲正在增加并開始滲透到工業(yè)中，重要的是要注意，任何主流語言都有這些障礙需要克服，“現(xiàn)任 Rust 產(chǎn)品經(jīng)理 Hedrick 說

反對(duì)使用 Rust 的一個(gè)問題是，開發(fā)人員可以正確地將 C 語言用于安全關(guān)鍵代碼。

“我不相信正確地做 C。我認(rèn)為 C 語言不適合用于安全關(guān)鍵應(yīng)用程序句號(hào)，“Aiello 說?！癗vidia 選擇了 Spark，并使用了完整的形式化方法來進(jìn)行安全關(guān)鍵型開發(fā)，并且有一個(gè)案例研究。如果你要編寫新代碼，你不應(yīng)該使用 C。

“當(dāng)我們第一次開始談?wù)?Rust 產(chǎn)品時(shí)，我們很驚訝地發(fā)現(xiàn)并沒有我們預(yù)期的興趣激增。有很多對(duì)話，客戶想了解 Rust，“Aiello 說?！翱爝M(jìn)到今天，我們還有更多潛在客戶似乎非常接近認(rèn)真對(duì)待 Rust，但人們在不想成為第一時(shí)猶豫不決。根據(jù)我們從安全關(guān)鍵聯(lián)盟聽到的情況，我持謹(jǐn)慎樂觀的態(tài)度。

“有些事情看起來與 Ada 相似。它是一種類型安全的語言，這會(huì)減慢人們的速度，所以它有點(diǎn)相似，但我覺得差異多于相似之處。

其中一個(gè)因素是美國國防部于 1987 年發(fā)布的 Ada 授權(quán)，旨在標(biāo)準(zhǔn)化軟件開發(fā) DoD 并解決不同編程語言和方言的激增問題。

“授權(quán)出來時(shí)，Ada 還不到 10 歲，感覺編譯人員還沒有準(zhǔn)備好，”Aiello 說?！癛ust 的編譯器已經(jīng)準(zhǔn)備好了，所以 Rust C 的速度和穩(wěn)定性都相當(dāng)快。發(fā)出的代碼是高效的，但可能最重要的區(qū)別是，雖然在工作中，Rust 工程師比 C 少，但 Rust 背后有一個(gè)巨大的社區(qū)。社區(qū)的力量很難被低估。

Rust 生態(tài)系統(tǒng)

但他確實(shí)承認(rèn)生態(tài)系統(tǒng)中的差距，尤其是修改條件/決策覆蓋率 （MC/DC）。這是一個(gè)代碼覆蓋率標(biāo)準(zhǔn)，用于確保關(guān)鍵軟件系統(tǒng)的可靠性和健壯性，它超越了基本覆蓋率，以驗(yàn)證決策中的每個(gè)條件是否獨(dú)立影響該決策的結(jié)果

“存在空白，我們正在填補(bǔ)它們。我們有一個(gè) Rust 的覆蓋工具，將在秋天推出。缺少 MC/DC 覆蓋，這是絕對(duì)必要的。另一個(gè)差距是安全關(guān)鍵標(biāo)準(zhǔn)中的銹蝕編碼標(biāo)準(zhǔn)。Rust 基金會(huì)正在構(gòu)建一個(gè)編碼標(biāo)準(zhǔn)，一旦完成，工具就會(huì)隨之而來。與此同時(shí)，這是臨時(shí)的，但目前它是一個(gè)更微妙的解決方案。

運(yùn)行時(shí)庫的認(rèn)證，例如用于安全關(guān)鍵標(biāo)準(zhǔn)（如汽車ISO26262和工業(yè)IEC61508）的標(biāo)準(zhǔn)庫，也是一個(gè)潛在的問題。

“Ada 具有豐富的運(yùn)行時(shí)，而 Rust 具有豐富的運(yùn)行時(shí)，”Aiello 說?！澳憧梢圆挥?libstd，但 libcore 被視為該語言的基礎(chǔ)。這是一個(gè)包含 36,000 行代碼的大型庫，它進(jìn)入最終應(yīng)用程序，需要經(jīng)過認(rèn)證。這將非常耗時(shí)且成本高昂，我們會(huì)與潛在客戶討論這個(gè)問題。然而，一旦完成了其中一些，它就會(huì)使整個(gè)社區(qū)處于更好的境地。

“將來可能會(huì)有反對(duì)重新編譯庫的壓力。如果你想發(fā)布一個(gè) Rust 庫，你必須發(fā)布開源的，這可能會(huì)有專有代碼的問題。這也不是該項(xiàng)目不知道的事情，“Aeillo 說。“關(guān)于何時(shí)以及如何解決專有代碼的 API 問題，正在討論?！?/p>

安全關(guān)鍵聯(lián)盟包括 Rust Foundation、ARM、Ferrous Systems、OxidOS、Synopsys、HighTec EDV-Systeme、TrustInSoft、Veecle 和 Woven by Toyota，以支持該語言的使用，并通過現(xiàn)有的安全關(guān)鍵項(xiàng)目和標(biāo)準(zhǔn)（包括 SAE JA1020）擴(kuò)展生態(tài)系統(tǒng)。

“由于安全關(guān)鍵聯(lián)盟的積極工作，取得了很大進(jìn)展，因此隨著事情的進(jìn)展，人們會(huì)認(rèn)為這是一個(gè)更可行的選擇，”Hedrick 說?！拔覀冋故緦?shí)際應(yīng)用的行業(yè)采用案例越多，這就是我們要追求的目標(biāo)。還有很多事情要做，而且有很大的潛力，這就是很棒的事情。

Aiello 預(yù)計(jì) Rust 的授權(quán)不會(huì)有同樣的壓力。

“我不指望 Rust 會(huì)強(qiáng)制要求。我認(rèn)為國防部對(duì) ADA 的打擊如此嚴(yán)重，我認(rèn)為他們不會(huì)再這樣做了。有力推動(dòng)的地方是推動(dòng)內(nèi)存安全授權(quán)和推動(dòng)像 CHERI 這樣的內(nèi)存安全硬件，“他說?！凹词乖诮裉?，我仍然聽說他們的客戶存在壓力，要求他們轉(zhuǎn)向內(nèi)存安全?！?/p>

AI 副駕駛還可以幫助使用 Rust 進(jìn)行編碼。

“我認(rèn)為這是一個(gè)好主意，尤其是在學(xué)習(xí)它時(shí)，”Hedrick 說。“然后你可以隨心所欲地變得復(fù)雜。隨著潮水的上漲，隨著越來越多的業(yè)余愛好者和社區(qū)機(jī)器人項(xiàng)目在 Raspberry Pi 和其他平臺(tái)上出現(xiàn)，這些項(xiàng)目可以擴(kuò)展到公司的研究。