Klocworkのご紹介

22002-2014 Rogue Wave Software, Inc. All Rights Reserved. 22002-2014 Rogue Wave Software, Inc. All Rights Reserved.
Klocwork
Static Code Analysisによる
コーディング品質向上
自動化ソリューションのご紹介

静的コード解析とは

2014年2月25日IT Media社のニュースの記事より
Twitter上の反応

Goto Fail問題の静的解析による指摘例

静的解析ツールとは？
ソースコードを解析し、ソフトウェアを実行することなく欠陥（主に
プログラミングエラー）を自動的に発見する
テストツールまるわかり
ガイド（入門編）より

静的コード解析が注目されている理由１
課題
• 短納期化、アジャイル開発への対応
• 派生開発、大規模化、複雑化（OSS、第三者コードとの統合）
静的解析導入のメリット
• 網羅的な自動実行可能、コード変更毎のくり返し実行が容易
– 単体テストと並び継続的インテグレーションでの実行が容易
• 人手によるコードレビューや、既存のテスト手法ではカバーしにくい領域を補完

静的コード解析が注目されている理由２
主要な業界標準の順守
• MISRA, CERT, CWE, OWASP
• SAMATE DISA STIG
• DO-178B, FDA validation
• …その他
近年納入条件の一つとして「静的解析ツールの利用とそのエビデンス
の提供」が指定されるケースが増えてきている

静的解析ツール
Klocworkとその特徴

Klocworkの特徴
• C/C++、C# および Java 向けの数百のチェッカー
– 充実した組み込みコンパイラサポート対応
• セキュリティ、信頼性の問題、コーディング標準(MISRA, CWE, CERT, OWASP)を１
ツールでカバー
• 最先端のデスクトップ解析
• ビルドサーバー、ユーザーベース課金（行数、プロジェクト数無制限）
• MISRA, DISA STIG, CWE,
CERT
• デッドコード
• 未到達コード
• 使用されない計算済みの変
数
• 使用されていない関数の引
数
• …
コーディング標準
& 保守性
• メモリー・リソースリーク
• メモリ破壊
• 並行処理の問題
• 無限ループ
• NULLポインタの間接参照
• 未初期化の変数…
信頼性
• バッファオーバーフロー
• 検査されていない入力値の
使用
• SQLインジェクション
• Pathインジェクション
• Fileインジェクション
• クロスサイトスクリプティ
ング
• 脆弱性を生むコーディング
作法
セキュリティ

Klocwork製品構成
統合ビルド
解析
デスクトップ解析
不具合管理サーバー
ライセンスサーバー
管理者、
チーム開発向け（品質
の可視化および管理、
エビデンス）
開発者向け（バグの発見および修正）
継続的インテグ
レーション解析

様々な環境で利用可能なデスクトップ解析
Visual Studio, Eclipse 向けプラグインに加え、その他の任意のエディタと併
用可能なKlocwork Desktopを提供
Visual Studio、Eclipseでは
IDE内から解析の実行が可能

Jenkins上の高速差分解析

静的解析ツール利用のアンチパターン
開発サイクル
編集保存
コンパイ
ル
テスト
チェック
イン
ビルド
解析
& 修正
ポイント:
• 開発フェーズの最後に解析（＆修正）
• 修正による“手戻り”が発生するため修正されないまま
放置、または、修正コストが高くつく
• MISRAやCERT-Cルールは100以上のチェック項目
• ツールの活用が進まない
• 開発スピードの低下、改善されない品質、低いROI

Klocwork: デスクトップ解析＋継続的インテグレーション
コード変更
コンパイル
解析＆
修正
単体
テスト
チェック
イン
開発者 1
コード変更
コンパイル
解析＆
修正
単体
テスト
チェック
イン
統合
解析
開発者 2
Time
統合
解析
チェック
イン
コード変更
コンパイル
コード変更
コンパイル
解析
修正
コード変更
コンパイル
解析＆
修正
単体
テスト
C
ック
ン
 手戻りを最小化し、開発スピードを低下させない
 統合レベルではいつもプログラミングエラー・規約違反フリー
継続的インテグレーションサーバー

コーディング段階から品質の
見える化
• 指摘の種類の分析
• 指摘数の推移
• 修正、利用状況の管理
• 複雑度等メトリクス取得
品質を見える化するためのレポーティング機能

Klocworkを利用した静的解析環境構築例
ソースコード
管理システム
チェックアウト
チェックイン
ビルドサーバー：
統合ビルド解析
開発者：デスク
トップ解析
修正＆
解析＆
確認
Jenkins
等による
自動化
課題管理/プ
ロジェクト管
理システム
連携
電子メールによる新
規不具合、担当者割
当通知
品質状況の確認
モジュールにまた
がる不具合の発見
チェック
イン前の
品質向上

Klocwork: バグの発見＆修正を”シフトレフト”
Klocworkデスクトップ&
継続的インテグレーション解析
欠陥の早期発見、
早期修正が可能
ここで修正している
とコスト高
従来の静的解析ツール

デモ

環境、対応コンパイラ
ハードウェア要件
CPU：1 GHz 以上（Intel Core i5同等かそれ以上を推奨。大規模環境では4コア以上のCPUを推
奨）
メモリ：解析環境: 最小 1GB (コア数*1GBが推奨)
不具合管理サーバー最小2GB （解析対象のコード行数やユーザ数に依存。100万行以
上の場合4GB以上推奨）
ディスク：100GBの空きスペース(対象コード行数に依存)
ソフトウェア要件
オペレーティング・システム:
Windows（サーバー 2008/2012、Vista, 7、8、8.1、１０）
Linux（RHEL、Fedora、Debian、SUSE、Ubuntu）
Solaris（10、11）
Aix（IBM AIX 6.1 TL 9, AIX 7.1 TL2 ）
MacOS（10.9 - 10.11）
対応コンパイラ
（ビルド環境）
GNU C/C++(gcc、g++、cc、c++ )、Microsoft Visual Studio(2005,2008,2010,2012)、そ
の他組み込みコンパイラ
詳細は https://goo.gl/Dmvkf4
対応統合開発環境
（IDE）
Eclipse／Microsoft Visual Studio／IBM Rational Application Developer／IntelliJ IDEA／QNX
Momentics
最新のシステム要件詳細は https://goo.gl/Rrjg7d を参照下さい

ライセンス体系
および
無料トライアルのご紹介

ライセンスの特徴
• １年更新のサブスクリプション型
• ビルドサーバー数、開発者数に応じた課金（最小構成：１ビルド＋１０ユーザ）
• Flexlmを使用したネットワークライセンス
• ライセンスの種類
– ビルドライセンスおよび継続的インテグレーションライセンス :
• 統合ビルド解析の実行やシステム管理コマンドの実行に使用される
• ホスト名によりライセンスをロックする
• リンガータイム: ２週間
– ユーザライセンス:
• 解析結果の閲覧やデスクトップ解析に使用される
• ユーザ名によりライセンスをロックする
• リンガータイム：７日間
• 詳細
– https://support.roguewave.com/documentation/klocwork/jp/current/howlicensi
ngworks/#concept674

無料トライアルのご紹介
ソースコードのバグ発見にご興味のある方は是非お試しください
対象：導入を検討されているお客様
概要
• 試用ライセンスを提供します。
• 御社の環境にKlocworkを導入にいただき、開発中のコードなどを解析いただき、解析結果
を確認いただけます。
• 導入から解析結果の見方までサポートいたします。
• 解析結果を用いて御社コードの品質状況を解析結果報告会としてご報告いたします。
ステップ
• お申込み https://goo.gl/KZs2Kf
• 環境の確認（言語、使用コンパイラ、OS、マシンスペック、導入規模など）
• 導入および解析の実行
• 解析結果のレビューおよび重要な指摘例のピックアップ
• 解析結果報告会
• 評価および導入に向けたご相談

Rogue Wave Software
会社概要

会社概要
• Rogue Wave Software(ローグウェーブソフトウェア）
設立：1989年
本社：米国コロラド州ルイビル
日本オフィス：東京都千代田区二番町５-５番町フィフスビル3Ｆ
業務内容：ソフトウェア開発ツールおよび組み込みコンポーネント（ライブラリ）の開発および販売
• Klocworkについて
– ノーテルネットワークスにおけるコード構造解析プロジェクトにより開発された技術をベース
とするKlocwork社の静的解析ツール。2014年1月よりRogue Wave Softwareにより買収される。
– 10年以上の静的解析分野への技術革新への取り組み、 SD Times（米国のソフトウェア業界
紙） Top 100 award を8年連続受賞
– 北米、ヨーロッパ、アジア各国（日本も含む）において、直接販売、および、パートナー様と
連携しビジネス展開

Rogue Wave Software
• Klocwork
– C/C++、Java, C#向け静的解
析ツール
• TotalView
– C/C++/Fortran 向け並列対応
GUIデバッガ/動的解析
• Visualization
– Views/JViews/Elixir GUIコン
ポーネント
• SourcePro
– エンタープライズアプリケー
ション向けC++ライブラリ
• OpenLogic
– OSSテクニカルサポート
– OSS監査サービス
• IMSL
– C/C++, Java, C#, Python,
Fortran向け数値計算・統計、
データマイニングライブラリ
• PV-WAVE
– 可視化データ解析用ソフト
ウェア
• Stingray Studio
– Windows向けGUIライブラリ
ソフトウェア開発ツールおよび組み込みコンポーネント（ライ
ブラリ）の開発および販売

Financial Services Telecom Gov’t / Defense Technology Other Verticals
お客様
Rogue Wave のソリューションは世界５７カ国
3,000社以上のお客様に利用されています

顧客事例

ジョンズ・ホプキンス大学
• 革新的な義肢装置のための組込みコンポーネントの開発
– 手足の動き及び感触を伝播するための複雑な組込みシステム
– タイトな開発スケジュール
– 品質向上が求められていた環境
900人時間
の削減
• Klocwork導入５ヶ月後の成果:
• 225件の不具合の発見 (83 件がクリティカルな不具合
)
• 配列オーバーラン、未初期化変数、NULLポインタ
の間接参照
• 誤検知率 < 1%
• 4人の開発者のチームで900人時間の削減
• 潜在的なセキュリティ脆弱性の発見にも寄与

Laboratory for Atmospheric
and Space Physics (LASP)
• LASP (at the University of Colorado) ：大気科学、宇宙物理学、太陽による
影響および惑星科学に関する研究機関
– 従来の取り組み
• 伝統的な“成功・失敗”型のテストのみに注力
• 動的テストでのみソフトウェア不具合を発見
• Klocworkの導入成果:
– （副次的な成果として）より良いテストケース作成とテストカバレッ
ジが実現されるようになった
– 配列オーバーラン(ABRs)とメモリーリークの発見
– テスト・デバッグ・再テストの繰り返しにかかる時間を削減
– 開発者の生産性の向上

ローレンス・リバモア国立研究所
• ミッション：世界最先端の科学技術開発により米国の安全保
障の強化に貢献する
• 適用プロジェクト
• C++による物理シミュレーションソフトウェア開発
• 82件のバッファオーバーフローを含む約1,000件の不具合の指摘
• 顧客からのクレーム数の減少
• 不具合修正のためのリリースの減少
• 200,000USDのコスト削減
365000行のプロジェク
トに対して
$200,000
ドルのコスト削減：

モトローラ社
• Integrated Digital Enhanced Network (iDenTM) プロジェクトにおいて製品
の強化と出荷後不具合数を削減する必要性があった
– プラットフォーム、行数、複雑度の増加
– 様々なプラットフォーム、言語の第３者コードの統合
– タイトな製品開発スケジュールによるプレッシャー
• アルファ版・ベータ版における不具合数を
50%削減
• 出荷後の顧客からの不具合数を33%削減
• 新規コード不具合を17%削減
システムテストにおけ
る不具合数を50% 削減

シラー社
• スイスの医療機器メーカー：心電計、血圧計、患者監視装置、
除細動器
– C言語による組込み機器、およびWindowsでC++, Javaに
よるアプリケーション開発を実施
– MISRAコンプライアンスの実現
– ソフトウェア品質の向上およびテストフェーズの機関短縮
– メモリーリークその他の不具合の発見

Spirent Communications社
• Spirent社のソフトウェアは世界最大のネットワーク・コミュニ
ケーションサービス・プロバイダーや装置メーカでパフォーマ
ンスの評価に使用されています
• 6拠点の開発チームで350万行以上の規模のソースコードを開発
• SDLCの早期段階でテスト前にバグを発見することを課題としていた
• 市場出荷後に発見される不具合一件あたりの修正コストが最大962
ドルから96ドルに削減
• これまで見逃されていた不具合の発見が開発段階で可能に
の不具合一件あた
りの修正コスト削減

OVERTURE社
• キャリア向けイーサネット機器の会社
– ゼロ・トレランスポリシーを実装
– CPP Checkを利用していたが発見されない不具合のパターンがあった
– Klocworkの導入成果:
– POCプロジェクト
• 1000行あたり5件の不具合を指摘
• そのうち半数を数ヶ月以内に修正
– 市場で発生していた重大不具合の発見・修正に寄与
– 別のプロジェクト
• 3名の開発者
• 1000行あたり指摘数の推移 2.3件から0.14件まで削減

その他
• Klocwork製品Webサイト/評価版申し込み
– https://roguewave.jp/products-services/klocwork
• サービス
– https://www.roguewave.jp/services/static-code-analysis
• 導入事例
– https://www.roguewave.jp/customers/case-studies
• 製品マニュアル
– https://support.roguewave.com/documentation/klocwork/jp/current/

Klocworkのご紹介

Recomendados

Recomendados

Mais conteúdo relacionado

Mais procurados

Mais procurados (20)

Semelhante a Klocworkのご紹介

Semelhante a Klocworkのご紹介 (20)

Mais de Masaru Horioka

Mais de Masaru Horioka (8)

Klocworkのご紹介

Notas do Editor