很多团队做MISRA C时，前面最容易走偏的，不是规则不会查，而是把合规理解成一次性清零动作。等代码快收尾了，才集中跑静态检查、补偏差、补说明，最后往往变成一边返工一边补证据。MISRA Compliance:2020其实把主线说得很清楚，可信的合规声明必须建立在受控的软件开发过程中，而且合规要求应在代码提交评审或单元测试之前就满足；如果把合规检查放到生命周期后段，通常会引出大量返工。

　　一、MISRA C合规怎么做

　　MISRA C合规真正稳的做法，不是先把所有告警都压下去，而是先把规则范围、执行方式和偏差边界定清。MISRA Compliance:2020明确要求项目一开始就决定采用哪些指南，并在文档化的软件开发过程中执行；同时还强调规则和指令的处理方式并不相同，规则更多依赖代码检查，指令则往往还要结合过程、文档和需求评审来判定。

　　1、先在项目启动时定合规范围

　　先定本项目采用哪一版MISRA C、哪些指南适用、哪些代码在当前项目范围内、哪些属于外来或遗留代码。因为MISRA Compliance:2020明确把这些边界当成可信合规声明的前提，范围不清，后面所有统计都会发散。

　　2、再把规则执行方式拆成自动和人工两条线

　　不是所有条款都能靠工具一次判清。公开资料明确指出，规则通常可通过源代码检查来判断，而指令往往需要过程、文档或功能需求评审配合；同时，哪怕是规则，也并非每一条都能被工具百分之百确定。

　　3、把合规活动前置到编码阶段

　　更稳的做法，是把静态检查、代码评审和偏差判断前置到日常开发，而不是等版本冻结后再集中处理。MISRA Compliance:2020直接指出，若在生命周期较晚阶段才检查合规，通常会带来大量重编码、重评审和重测试。

　　4、允许偏差，但必须受控

　　MISRA并不要求所有项目零偏差，而是要求偏差被正式考虑、授权并文档化。公开说明还强调，偏差本身不必然破坏合规声明，真正影响可信度的是偏差有没有经过受控管理。

　　二、MISRA C合规流程与产出物怎么准备

　　合规流程和产出物最怕两张皮，也就是流程讲流程，报告讲报告，彼此对不上。更稳的做法，是让流程从一开始就围着最终证明材料去搭。公开资料总结了MISRA Compliance:2020常用的几类核心产出物，也就是Guideline Enforcement Plan、Guideline Recategorization Plan、Guidelines Compliance Summary和Deviations Report。

　　1、先准备Guidelines Enforcement Plan

　　这份文件的重点，是说明每条指南准备用什么方式执行，是靠静态分析、人工评审、设计约束，还是组合方式。这样后面每一条结论都有依据，不会出现最后只剩一份告警清单，却说不清检查方法的情况。

　　2、再准备Guideline Recategorization Plan

　　如果项目需要根据代码类型、遗留代码状态或业务场景调整部分指南的执行口径，就应尽早把调整理由写进GRP，而不是等审计时临时解释。公开资料明确提到，GRP应在项目开始阶段就和相关方确认。

　　3、把Deviations Report做成受控记录

　　偏差记录不能只写一句“工程需要”。公开资料明确要求，偏差应被文档化和授权，且至少应包含对应指南、具体情境、偏差理由和风险分析。这样后面复核时，才能判断这条偏差是经过审慎接受，还是只是为了让报表好看。

　　4、最后用Guidelines Compliance Summary收口

　　GCS更像项目级总账，用来说明每条指南当前的合规状态、执行方式、偏差数量和剩余风险口径。公开资料把它列为主要合规记录，这也意味着前面的执行、重分类和偏差记录最终都应回收到这里。

　　三、MISRA C合规证据怎么收口

　　很多项目不是不会查规则，而是最后收不住证据。最常见的问题，一是工具报告很多，但没有对应的执行计划，二是偏差有了，却没有审批和风险说明，三是指令条款只留了代码结果，没有过程证据。要把证据真正收成闭环，就要让规则检查、人工评审、偏差管理和总表统计能互相对上。

　　1、先把工具输出和指南执行计划对上

　　工具报告只能说明某些规则的检查结果，不能直接替代整套合规声明。尤其是涉及指令或不可判定规则时，更要能回到GEP，说明这条指南当初约定用什么方式验证。

　　2、再把人工评审证据补齐

　　如果某些指南不能仅靠代码扫描完成，就要把评审记录、需求核对和过程检查一起留存。公开资料明确指出，指令的合规性往往需要过程、文档或功能需求审查来支撑。

　　3、再把偏差审批链固化

　　偏差记录若只有描述，没有授权和风险判断，后面很难证明它是受控偏差。更稳的做法，是让每条偏差都能一路追到申请、分析、批准和生效范围。

　　4、最后把项目级总结压回GCS

　　真正的收口动作，不是把各种PDF打包，而是让项目最终只用一份总表就能说明整体合规水平、剩余偏差和证据入口。这样评审和审计时，大家先看总账，再下钻细节，链路会清楚很多。

　　总结

　　MISRA C合规怎么做，MISRA C合规流程与产出物怎么准备，真正关键的不是最后压掉多少告警，而是项目一开始就把规则范围、执行计划、偏差口径和最终产出物放进同一条主线里。前面先把合规活动前置到开发过程，中间用GEP、GRP和偏差记录把执行链拉直，后面再用GCS收口，这样合规才不只是检查结果，而是一套能经得起复核的过程和证据。