MISRA-C 2012为何未禁止向无符号参数传递有符号整数？

1. 函数参数隐式转换被允许的原因 #

在你给出的代码中，function1(1)调用时，实参1是有符号int类型，转换为形参的unsigned int类型，这一行为符合MISRA-C 2012的规则要求，原因如下：

• 从C标准层面，函数调用时的实参会先经过默认参数提升，再转换为形参类型。有符号整数转换为无符号整数的规则是明确定义的：若有符号值非负，转换后值保持不变；若为负，则以模2^N（N为无符号类型的位数）的方式映射。这里1是非负的，转换后值完全匹配unsigned int的范围，无任何歧义。
• MISRA-C 2012的规则10.1（限制隐式转换）并非禁止所有隐式转换，而是禁止那些可能导致数据丢失、溢出或行为歧义的转换。对于非负有符号整数转换为同宽度（或更宽）的无符号整数，且转换后值不变的情况，MISRA是允许的，函数调用的实参转换恰好属于这类合法场景。

2. 赋值场景报错的核心原因 #

对于代码unsigned long l = 0xFFFFFFFF;，HELIX QAC报错的本质是违反了两条MISRA规则：

• 规则7.1：要求无符号类型的常量必须添加U后缀。0xFFFFFFFF默认是有符号int常量（假设目标平台int为32位），没有U后缀本身就违反了无符号常量的格式要求。
• 规则10.1：0xFFFFFFFF作为有符号int常量时，其值已经超出了32位有符号int的范围（最大值为0x7FFFFFFF），属于有符号整数溢出，这在C标准中是未定义行为。隐式将这个溢出的有符号常量转换为unsigned long，存在潜在的行为风险，因此被MISRA严格禁止。

3. 两类场景的核心差异 #

• 函数参数场景：实参1是有效的非负有符号整数，转换为unsigned int时无溢出、无数据丢失，完全符合MISRA允许的隐式转换条件。
• 赋值场景：0xFFFFFFFF本身是超出有符号int范围的非法常量，不仅违反了无符号常量的命名规则，其隐式转换还涉及未定义行为，因此被MISRA工具报错。

内容的提问来源于stack exchange，提问作者Guillaume Petitjean