En Analys av Användningen och Effekten av Statisk Kodanalysverktyg

Traditionally, static code analysis tools alert developers on possible defects in the code. In recent years, the tools have improved and can generate suggestions to fix the defects found. However, studies from the last two decades indicate that the fix rate of alerts from static code analysis tools has been relatively constant; it shows that developers ignore many alerts. As such, it is relevant to investigate the impact of the defects in practice. Furthermore, related work has primarily investigated the usage in open-source projects. To further develop static code analysis tools, it is relevant to get insights into the usage and awareness of these tools in an industrial setting. In this thesis, the usage of static code analysis tools at a company is investigated. The research includes a survey to get the developers’ perspectives. Complementary to this, we retrieve and examine data from SonarQube. Furthermore, this study attempts to connect code changes (commits) fixing incidents with their respective ticket reporting the issue. The data from the commits and the software management ticketing system are also analyzed to gain insights from these data sets. The results show that the general usage of static code analysis tools in an industrial setting aligns with open-source projects. The general use based on the survey is 82%, the average fix rate of all projects being 10.68%, and the average life span of fixed issues being 109.53 days. The results indicate a trend towards using static code analysis tools earlier in the software development life cycle. This study did not find a connection between the incidents and the commits. However, analysis of the commit data indicates that on average, 10% of total commit messages contain the keyword “fix”. Further analysis of these commits provides good insights and can be used as training data in tools using a machine learning approach to generate fix suggestions to defects. Traditionellt sett varnar verktyg för statisk kodanalys utvecklare om eventuella fel i koden. Under de senaste åren har verktygen förbättrats och kan generera förslag för att åtgärda de fel som hittats. Studier kring dessa verktyg visar däremot att reparationer av koden baserat på varningarna har varit relativt konstant under de två senaste decennierna. Detta indikerar att utvecklare ignorerar många av varningarna. Därav är det även relevant att undersöka effekterna av de rapporterade defekterna i praktiken. Forskare har även främst undersökt användningen i projekt med öppen källkod. För att vidareutveckla verktygen är det relevant att få inblick i användningen och medvetenheten kring dessa verktyg bland företag. I denna rapport undersöks användningen av statiska kodanalysverktyg i ett företag. Studien inkluderar en enkät för att få utvecklarnas perspektiv. För att komplettera enkäten så hämtar vi och undersöker data från SonarQube. Dessutom försöker denna studie att koppla ihop kodändringar som löser fel i praktiken med deras tillhörande incident-biljett. Data från kodändringar (commits) och från biljettsystemen som används för styrning av mjukvaruutveckling analyseras även för att finna möjliga insikter i användningen av dessa verktyg. Resultaten visar att den allmänna användningen av verktyg för statisk kodanalys på företaget följer samma trend som den i öppen källkodsprojekt. Den allmänna användningen baserad på enkäten är 82%, den genomsnittliga åtgärdsfaktorn för alla projekt är 10,68% och den genomsnittliga livslängden för reparerade defekter är 109.53 dagar. Resultaten indikerar en trend mot att använda statiska kodanalysverktyg tidigare i programvaru-utvecklingen. Denna studie hittade ingen koppling mellan incidenter och kodändringar. Analysen av kodändringarna visar dock att i genomsnitt 10% av ändringsmeddelanden innehåller nyckelordet “fix”. Ytterligare analys av dessa kodändringar kan ge bra insikter och användas som träningsdata i verktyg som använder maskininlärning för att generera förslag på åtgärder till defekter