> Oczywiście, ja tylko odczarowuje durny pogląd "weźmy Adę, będzie
> bezpiecznie".

Ale nie ma takiego poglądu. Jest inny: potrzeba, żeby było jak najbezpieczniej, więc
na każdym kroku podejmijmy takie decyzje, które zwiększają nasze szanse na bezpieczny
efekt. Wybór języka jest jednym z wymiarów, w którym można się do tego efektu zbliżyć
lub oddalić.

To trochę jak z zapinaniem pasów w samochodzie. Albo z wyborem rodzaju pieca
gazowego. Itd.

> > Jakość wynika z procesów integralnych (z weryfikacji) a nie z deweloperskich.
Pytanie, czy takie procesy integralne są. Problem w tym, że łatwo z nich zrezygnować.
>
> Tu się nie zgadzam. Można poprawnie zweryfikować dowolną kupę.

Można, ale jeśli terminy gonią...

> Jakośc
> developerki nie ma wpływu wprost na magiczne 100% ale ma duży wpływ na
> obniżanie tego 100% do "no, szefie, nie damy rady 80%, mozemy ze 70% i
> tyle bo Steve spier... i nikt nie wie jak to działa".

Z innej perspektywy można powiedzieć, że ma wpływ na *koszt* osiągnięcia tych 100%,
jeśli i tak trzeba, żeby było 100%. Lepsza deweloperka to niższy koszt weryfikacji.

Bo są (co najmniej) dwa sposoby robienia projektów: przy założonej z góry jakości i
przy założonym z góry budżecie.

> Wymogi nie są z
> betonu i dziwnym trafem potrafią sobie pływać w trakcie procesu produkcji.

Tak. Ale wymogi jakościowe mogą być narzucone regulacjami, np. prawnymi albo
certyfikacyjnymi. Wtedy nie pływają.

> Więc w C++ z roku na rok coraz trudniej spieprzyć. Oczywiście za
> wyjątkiem reszty świata która używa MISRA i dalej uważa że nie wymyślono
> nic bezpieczniejszego niż ręczną emulacje C++ w C.

A co jest złego w MISRA-C++?

> > A ponieważ zakładamy, że programista spieprzy wszystko co może, to wybór języka
jest ważny. Żeby mógł spieprzyć jak najmniej.
>
> A mimo to spieprzył.

Może spieprzył mniej? Może gdyby spieprzył więcej, to rakietę by szlag trafił jeszcze
przed startem?

> Ariane zdetonowała z powodu używania bezpiecznego
> języka w niebezpieczny sposób.

Są też systemy pisane w niebezpiecznych językach w niebezpieczny sposób.

> Czekamy na nastepny język o śmiesznej
> nazwie gdzie będzie jeszcze więćej bezstanowości, korutyn, monad i całej
> masy innych niezwykle przydatnych rzeczy

Tu się zgadzam. Ciekawe, czy Godek to czyta. :-)
Ale akurat Ada nie ma związku z żadną z tych rzeczy.

> Co tam ostatnio wymyślili
> bezpieczniejszego bo od tygodnia nie zaglądałem na weba?

Właśnie wygląda na to, że te wszystkie wynalazki są zwykle odgrzebywane z 30-letnich
letargów. W ogóle nie ma niczego nowego, to są kombinatoryczne złożenia starych
rzeczy.

> > Unit testy nie wykrywają wyjątków. Chyba że mamy inne rozumienie tego terminu.
>
> ASSERT_THROW. ASSERT_NO_THROW. Całkiem fajnie wykrywają.

Ale to nie są unit testy.

> Więc jesli mógłbym prosić, przygotuj swoją funkcję na obsługę wyjątków.

Jest zakaz wyjątków. Właśnie po to, żebym nie musiał przygotowywać.

> Potem łatwo
> udowodnimy że std::vector pisali dyletanci

Nie zgadzam się. std::vector to bardzo dobra klasa. Po prostu nie dla tej niszy.

> i zamkniemy
> narzekanie o C++ konkluzją że jest do dupy i dlatego uzywa się MISRA-C
> gdzie wszystko jest do dupy ale weryfikowalnej formalnie dupy a taka
> jest znacząco lepsza.

Zależnie od potrzeb, może tak właśnie być. I nie widzę w tym nic złego. Tzn.
wolałbym, żeby było jeszcze lepiej, ale jeśli jest tylko tak jak może być, to niech
tak będzie.

--
Maciej Sobczak * http://www.inspirel.com