MISRust: Mapping MISRA-C++ Coding Guidelines to the Rust Programming Language

기술 요약: MISRust – MISRA-C++ 코딩 가이드라인을 Rust 에 매핑

문제 제기
Rust 프로그래밍 언어는 소유권 시스템, 형식 안전성, 그리고 메모리 관리 모델을 통해 사용 후 해제 (use-after-free), 데이터 경쟁 (data races), 버퍼 오버플로우와 같은 오류 유형을 방지하므로, 안전-중요 시스템 개발을 위해 점점 더 고려되고 있습니다. 그러나 확립된 안전 표준 (예: ISO 26262, DO-178C, IEC 62304) 은 언어 기능 사용을 제한하고 프로그램 구조를 강제하기 위해 특정 코딩 가이드라인의 사용을 의무화합니다. C/C++ 에는 포괄적인 가이드라인 (예: MISRA C/C++) 이 존재하지만, Rust 에는 이에 상응하는 전용 가이드라인 세트가 존재하지 않습니다. MISRA 컨소시엄은 Rust 에 관해 MISRA C:2025 의 부록을 발행한 바 있으나, 이는 상세한 규칙별 기술 매핑이 결여되어 있습니다. 이러한 안전 관련 코딩 가이드라인의 부재는 Rust 기반 안전-중요 시스템의 규정 준수를 달성하는 데 여전히 큰 장애물로 남아 있습니다.

방법론
저자들은 179 개의 MISRA C++ 2023 코딩 가이드라인 전체를 Rust 프로그래밍 언어에 체계적이고 수동적으로 매핑한 "MISRust"를 제시합니다. 이 방법론은 각 MISRA 규칙의 근본적 근거를 분석하여 Rust 컨텍스트 내에서의 유효성을 결정하는 과정을 포함합니다. 분석은 컴파일에 의해 강제되는 "안전 (Safe)" Rust 와 안전 보장이 완화되는 "불안전 (Unsafe)" Rust 를 구분합니다.

저자들은 각 가이드라인을 분류하기 위해 6 가지 범주 분류 프레임워크 (C1–C6) 를 정의합니다:

• C1 (적용 불가): C++ 표준 라이브러리의 결함 (예: 특정 C++ 함수의 스레드 안전하지 않은 전역 상태) 에만 고유하게 연결된 가이드라인.
• C2 (적용 불가): Rust 에 존재하지 않는 C++ 기능 (예: 비트 필드, goto, 가상 포인터 - 멤버 함수) 을 다루는 가이드라인.
• C3 (규칙 폐기 가능): Rust 에 적용 가능하지만 언어 설계에 의해 자동으로 강제되는 가이드라인 (예: 엄격한 가져오기 규칙을 통한 재정의 충돌 방지). 이는 불안전한 컨텍스트에서도 적용됩니다.
• C4 (불안전 Rust 에서 여전히 필요한 규칙): 불안전 Rust 기능 (예: 원시 포인터, 수동 메모리 관리) 을 사용할 때 필요한 가이드라인으로, 근거는 유효하지만 자동으로 강제되지는 않습니다.
• C5 (규칙 적응 필요): Rust 에는 부재하지만 C++ 기능을 다루는 가이드라인으로, Rust 특유의 형태로 표현될 경우 그 의도가 가치 있는 경우.
• C6 (안전 Rust 에서 여전히 필요한 규칙): C4 의 하위 집합으로, 언어 구현과 무관한 개념적 프로그래밍 실수를 다루는 등 완전한 안전 Rust 에서도 여전히 필요한 규칙들.

분석은 Rust 버전 1.92.0 (에디션 2024) 을 사용하여 수행되었으며, 언어 구조와 표준 라이브러리에 초점을 맞추고 Rust 의 안전 보장을 우회하는 것을 방지하기 위해 교차 언어 상호 운용성 (FFI) 은 명시적으로 제외되었습니다.

주요 결과
이 연구는 179 개의 MISRA C++ 규칙에 대한 정량적 및 정성적 분해를 제공합니다:

• 적용 불가: 57 개 규칙 (31.84%) 이 C1 또는 C2 로 분류되어 C++ 특유의 라이브러리 문제나 존재하지 않는 기능에 의존합니다.
• 자동 충족: Rust 에 적용 가능한 122 개 규칙 중 53 개 규칙 (전체의 29.61%, 적용 가능한 하위 집합의 47.75%) 이 Rust 의 설계에 의해 자동으로 충족됩니다 (C3). 여기에는 Rust 의 빌로우 체크 (borrow checker) 와 소유권 모델이 기본적으로 강제하는 메모리 안전성 문제 방어가 포함됩니다.
• 여전히 관련성 있음: 69 개 규칙 (38.55%) 이 여전히 관련이 있습니다.
  • 안전 Rust: 22 개 규칙 (12.29%) 은 안전 Rust 에서도 필요합니다 (C6).
  • 불안전 Rust: 58 개 규칙 (32.40%) 은 불안전 블록을 사용할 때 필요합니다 (C4). 주목할 점은 안전 Rust 에서 자동 충족되던 36 개 규칙이 불안전 기능이 도입되면 위반 사항이 된다는 것입니다.
  • 적응 필요: 11 개 규칙 (6.15%) 이 C5 범주에 속하여 Rust 컨텍스트에서 원래 의도를 보존하기 위한 구체적인 적응이 필요합니다.

분석에 따르면, 객체 지향 설계 주제 (클래스, 파생 클래스, 특수 멤버 함수) 는 상속과 다형성의 근본적 차이 (Rust 는 클래스 기반 상속 대신 트레이트와 구조체를 사용) 로 인해 Rust 에서 관련성이 낮습니다. 반면, "기본 개념", "식", "표준 변환"과 같은 기초 주제는 특히 불안전 코드와 관련하여 높은 관련성을 유지합니다.

제시된 적응 방안
적응이 필요한 11 개 규칙에 대해 저자들은 Rust 중심의 구체적인 번역안을 제안합니다. 예시는 다음과 같습니다:

• 규칙 4.1.1 (준수): ISO 준수 요구 사항을 향후 Rust ISO 표준에 맞게 적응.
• 규칙 6.0.3 (전역 네임스페이스): 전역 네임스페이스의 혼란을 관리하기 위해 prelude 모듈 사용을 제안.
• 규칙 12.3.1 (유니온): C++ union 키워드에 대한 형식 안전 대안으로 Rust enum 타입을 권장.
• 규칙 15.0.1 (특수 멤버 함수): C++ 특수 함수를 Rust 의 Copy, Clone, Drop, Pin 트레이트에 매핑.
• 규칙 18.5.1 (예외): 예외 전파 금지 조치를 Result 타입의 명시적 처리 요구 또는 panic! 사용 제한으로 적응.

의의와 주장
본 논문은 전체 MISRA C++ 2023 규칙 세트를 Rust 에 매핑한 최초의 포괄적이고 체계적인 작업임을 주장합니다. 저자들은 이 작업이 Rust 의 안전 인증에 있어 중요한 공백을 해소하며, 향후 Rust 특화 안전 표준의 기초를 제공한다고 주장합니다.

강조된 주요 함의는 다음과 같습니다:

1. 감소된 가이드라인 부담: 원래 MISRA 규칙의 약 61.45% 가 적용되지 않거나 Rust 에 의해 자동으로 충족되므로, 향후 Rust 특화 표준은 훨씬 더 간결해질 수 있음을 시사합니다.
2. 불안전 코드에 대한 초점: 분석은 안전 Rust 가 많은 가이드라인의 필요성을 줄이지만, unsafe 블록의 사용이 C/C++ 와 유사한 위험을 다시 도입함을 강조합니다. 따라서 향후 인증 프레임워크는 불안전 코드 구간을 관리하는 데 중점을 두어야 합니다.
3. 도구 격차: 논문은 이러한 가이드라인을 Rust 에서 검증하는 성숙한 도구의 부족을 지적합니다. Clippy 와 같은 도구가 존재하지만, MISRA-C++ 인증 수준과 동등한 수준을 달성하기 위해서는 새로운 정적 분석 도구나 린팅 규칙이 필요할 수 있습니다.
4. 점진적 도입: 저자들은 현재 도구 및 표준화의 부재로 인해, 근미래에 안전-중요 시스템에서 Rust 가 C/C++ 를 대체하기보다는 보완할 가능성이 더 높으며, 점진적 통합이 가장 실현 가능한 전략이라고 제안합니다.

모든 매핑 결과와 지원 아티팩트는 오픈 소스 자료로 공개되어 있습니다. 저자들은 수동 분류의 주관성, C++ 와 Rust 의 진화하는 성격, 그리고 더 큰 규모의 분석가들에 의한 독립적인 외부 검증의 부재 등을 포함한 한계를 인정합니다.