エラーハンドリングのやり方の概要

経緯
プログラムの例を見ているとエラー時にassertを使っていることが多いが，そんな簡単にプログラムを停止して良いのか？と思ったため下記の質問をした．

質問：「assertは本番用のコードには書かないですか？
組み込みシステムがエラーでプログラム終了したら止まってしまう気がします．
止まったら他のプログラムやOSが監視していて復旧したりするのでしょうか？」(←アホそうな文章ですみません．)
以下はChatGPTの回答．

---

assert は基本的に デバッグ用 のツールとして使われ、本番環境（プロダクションコード）には通常書かないことが推奨されます。その理由と、組み込みシステムやエラー処理に関する懸念について詳しく説明します。

1. assert は本番環境では使わない理由

assert は主に開発中にバグを発見するために使用されます。デバッグ時に、プログラムの状態が予期しないものになった場合にその場で中断させ、エラーの原因を特定するための手助けとなります。しかし、本番環境（製品版、リリース版）では以下の理由で assert を使用しないことが一般的です：

• プログラムの停止: assert が失敗すると、プログラムが即座に中断されます。特に組み込みシステムや商用ソフトウェアのようなシステムでは、エラーが発生した場合にプログラム全体を停止させることは望ましくないことが多いです。システムが途中で停止してしまうと、サービスが停止したり、機能が動作しなくなったりする可能性があります。

• デバッグ情報: assert は失敗した場合にエラーメッセージを標準エラー出力に表示します。これが本番環境に残ると、セキュリティリスクになる可能性や、ユーザーに不必要な情報を露出させることになります。ユーザーにエラーメッセージが表示されるのも好ましくないことが多いです。

• パフォーマンス: assert は条件を毎回チェックします。リリース版でデバッグのためのオーバーヘッドを避けるために、NDEBUG を定義して assert を無効化することが一般的です。しかし、実際に本番コードで何らかのエラーチェックを行う場合、assert ではなく、適切なエラーハンドリングを行うことが求められます。

2. 組み込みシステムでエラーが発生した場合

組み込みシステムやリアルタイムシステムでは、プログラムがエラーで停止することは非常に重要な問題です。システムの信頼性が求められるため、エラーが発生してもプログラムが完全に停止するのではなく、何らかの回復措置が必要です。以下の方法でエラーを処理することが一般的です：

エラーハンドリングと回復

• エラーログ: assert での中断の代わりに、エラーメッセージやログをファイルや外部デバイスに記録することが一般的です。これにより、エラーの内容を追跡しやすくし、必要に応じて後でデバッグが可能です。

• エラーコード: エラーが発生した場合、返り値やエラーコードを使用して、問題を上位のシステムに伝え、必要な回復処理を行うことが推奨されます。

• 例外処理: 組み込みシステムでは例外処理（try-catchなど）を利用する場合もあります。これはプログラムがエラーを検知した後に、その場でプログラムを停止させることなく、代替の動作を行うための仕組みです。

組み込みシステムでの監視と回復

組み込みシステムやリアルタイムOS（RTOS）を使っている場合、システムが停止するのを避けるための監視機能が組み込まれていることが多いです。例えば：

• ウォッチドッグタイマー: 組み込みシステムでは、ウォッチドッグタイマーを使ってシステムを監視し、問題が発生した場合にシステムをリセットして回復を試みることができます。ウォッチドッグタイマーが一定時間内にリセットされないと、システムは自動的にリセットされ、正常な状態に戻るようになります。

• フェイルセーフ機能: 組み込みシステムにおいて、重要な処理が失敗した場合に、安全に停止するか、リカバリ処理を行うフェイルセーフ機能を実装することが一般的です。これにより、システムが不安定になることを防ぎます。

• 冗長性: 重要なシステムやデバイスでは、冗長性を持たせることがあります。例えば、複数のプロセッサや複数の処理経路を用意し、片方で問題が発生しても他の経路で正常に動作できるようにします。

3. 本番環境向けのエラーチェック

本番環境でのエラーチェックは、assert ではなく、適切なエラーハンドリングを行うべきです。以下は、実際に本番環境で用いる方法です：

• エラーチェック関数の使用: エラーが発生した場合に適切にエラーコードを返したり、エラーハンドラを呼び出すような設計が必要です。

  例:

  int divide(int a, int b) {
      if (b == 0) {
          // エラー処理
          return -1;  // エラーコードを返す
      }
      return a / b;
  }
  

• リカバリ機構: エラーが発生した際に、システムが自動的に回復するための処理を追加します。たとえば、リセットやフェイルオーバーの機構を設けます。

結論

• assert は本番環境には適していません。デバッグ用のツールであり、本番コードでは使用しないことが一般的です。
• 組み込みシステムや重要なシステムでは、エラー発生時にシステムが停止しないようにするための監視やリカバリ機能（例: ウォッチドッグタイマー、冗長性、フェイルセーフなど）を組み込むことが重要です。
• 本番環境では、エラーハンドリングを適切に行い、エラー発生時にはシステムを安全に回復させる仕組みを整えるべきです。