世界が選ぶ信頼性 高速・高精度の静的解析ツールCoverity® Static Analysis Coverityは静的解析（SAST）でバグ・脆弱性・規約違反を開発初期に検出します。差分解析とPR/CI連携で混入を止め、統計/プロシージャ間/フルパス解析でソースコードを深く、追跡、検証します。 お問い合わせ Coverity（コベリティ）とはWhat is Coverity? Coverityは、世界の開発現場で選ばれる静的解析ツール Coverity（コベリティ）は、ソースコードを実行せずに解析を行い、バグやセキュリティ脆弱性を開発の初期段階で検出する「静的解析（SAST）ツール」です。後工程での修正コストが肥大化するのを防ぐため、コーディング段階から品質を作り込む「シフトレフト」を実現します。一般的な静的解析ツールは誤検知が多く、確認作業に工数を取られることが課題でしたが、Coverityは特許技術を含む深い解析ロジックにより、誤検知率を平均15%以下に抑える圧倒的な精度を誇ります。 さらに、数千万行におよぶ大規模なコードベースであっても数時間で解析できる高速性に特徴があります。C/C++,C#,Javaなど主要な言語に加え、多くの組み込みコンパイラやセキュリティ規格にも対応しています。Null参照やリソースリーク、デッドロックといった発見困難な重大爆を正確に特定し、開発スピードを落とすことなく、高品質でセキュアなソフトウェア開発を支援します。これらの特長により、Coverityは世界の多くの開発現場で選ばれています。 Coverityの特長Key Advantages 誤検知率15％以下という圧倒的な精度と、大規模コードも短時間で処理する高速性を両立します。特許技術を含む高度な解析ロジックにより、開発者の手を煩わせることなく、確実な品質向上とセキュア開発を実現します。 1圧倒的な「精度の高さ」 一般的な静的解析ツールでは、問題のないコードをエラーとして報告する「誤検知（False Positive）」が多く、その選別作業が開発者の大きな負担となります。Coverityは、特許技術を含む解析ロジックにより、誤検知率を平均15%以下に抑制します。修正すべき真の不具合に集中できるため、現場の工数を奪わず、開発効率を最大化します。 2文脈を理解する「高度な解析技術」 単純なパターンマッチングではなく、プログラム全体の文脈やデータの流れを深くシュミレーションします。 プロシージャ間解析単純なパターンマッチングではなく、プログラム全体の文脈やデータの流れを深くシュミレーションします。 フルパス解析コード上のあらゆる実行経路（パス）を網羅的に検証。 統計的解析コード全体から「開発者の意図」を推測し、「ここは本来Nullチェックが入るはずだ」といった異常（チェック漏れ）を高精度に検出。 3大規模開発にも耐える「高速性とスケーラビリティ」 数千万行規模の巨大なコードベースであっても、実用的な時間内（数千万行の場合、数時間程度）で解析を完了できます。また、変更がくわえられた部分のみを解析する「差分解析」機能により、日々のコミットごとのチェックもスムーズに行えます。このスケーラビリティにより、世界的な大規模プロジェクトでも多数採用されています。 4業界標準を網羅する「対応力」 組み込み系からエンタープライズ系まで、幅広い開発環境に対応しています。 多言語対応C/C++、Java、C#、Python、Goなど主要言語を網羅。 組み込みコンパイラGCCやClangだけでなく、Green HillsやRenesasなど、特殊な組み込みコンパイラもサポート。 セキュリティ規格MISRA、CERT、OWASP Top 10、CWE Top 25などの主要なコーディング規約やセキュリティガイドラインに適合しており、コンプライアンス遵守を強力に支援します。 5シームレスな開発を実現する豊富な連携機能 Coverityは、既存の開発プロセスにシームレスに統合できます。EclipseやVisual StudioなどのIDE上でコード作成中にリアルタイム解析を行う「デスクトップ解析」に加え、JenkinsやGitLab、GitHubなどのCI/CDツールを連携した自動スキャンも可能です。さらにJIRAなどのバグ管理システムへのチケット自動起票にも対応し、開発の手を止めずに品質とセキュリティを担保します。 Coverityの機能詳細Detailed Features 高度な解析機能 プロシージャ間解析 プログラム全体を対象に、複数の関数にまたがった解析が可能。ファイルやモジュール全体にわたる複雑なコールチェーンを分析し、それを元に結果を検出・報告。 フルパス解析 コード上のすべての制御フローを網羅的に追跡し、すべての値やデータの流れを完全にシュミレーションすることで、リソース割り当てミス、ポインタ操作の問題、競合状態など幅広い欠陥の検出が可能。 統計的な解析 プログラム全体を眺めて開発者の意図・目的を推測し、予期しない動作を報告。 操作性に優れたインターフェース結果の閲覧と管理-ブラウザ上で指摘内容のレビュー ソースコード上にコメントをオーバーレイし、特定のパスを通った際に発生した不具合情報や、呼び出し先の関数も同一画面で表示することができます。 豊富な連携機能 IDEやCI/CDツールと連携でき、ソースコードを実行せずに解析し、セキュリティ脆弱性や品質問題を早期に検出するなど、高度な仕組みが備わっています。 IDEでリアルタイムに実行 コーディング中に脆弱性やコード品質の問題を指摘。問題のあるコードがリポジトリにチェックインされるのを防ぐことができる。 プル・リクエストをトリガーとしてスキャン実行 GitHub、GitLab、Bitbucket などの一般的なソースコード管理システムとの統合により、新規コードや変更されたコードに存在する問題を増分スキャンで特定できる。 CIパイプラインで自動化 アプリケーション全体のスキャンにより、まだ解決されていないセキュリティまたは品質の問題を特定し、ポリシー違反が存在する場合はビルド中断することができる。 フルスキャンをスケジュール 包括的な静的アプリケーション・セキュリティ・テストを定期的に実行して、アプリケーション全体の重大なセキュリティまたは品質上の欠陥を特定できる。 !さらにCoverityでは、開発プロセスとインテグレーションすることで、全体の効率向上も可能です。 不具合担当者の自動アサイン ・ソースビューの各行のSCMユーザ、改定日付を参照。→「宙ぶらりんの解析結果」を防止。 メール通知機能 ・ビューでフィルタリングした不具合をメールで通知。・SCMやコンポーネントマップの担当割り当て機能と併用することで、ユーザーの自動割り当てと解析結果の自動メール配信が可能。 バグ管理システム ・修正すべきバグを既存の不具合管理システム（BTS）で一元管理。・JIRA、Bugzilla を標準サポート。 デスクトップ解析 ・コミット前に自分のコードをチェック。・使い慣れたIDE上で動作。・中央解析※1の結果を利用して編集中のファイルを高速解析。・コマンドラインによるデスクトップ解析も可能。 （※1）中央解析：自動化されたプロセスにおいて、定期的にソース管理システムからソースコードをチェックアウトし、Coverityでそのソースコードをビルド・解析する。Coverityの出発点のようなもの。 検出可能な不具合タイプ例Detectable Defects & Vulnerabilities アプリケーションのクラッシュや予期せぬ停止を引き起こす重大な欠陥から、サイバー攻撃の標的となるセキュリティ脆弱性、将来、技術負債になりえるケアレスミスまで、Coverityは単純なパターンマッチングでは発見できない、コードの文脈に潜む多岐にわたる問題を網羅的に検出します。 重大なクラッシュ・システム障害の原因 ・リソースリーク・メモリ破壊・Null間接参照・二重解放 並列処理（マルチスレッド）の不具合 ・デッドロック・競合状態 セキュリティ脆弱性 ・インジェクション攻撃・XSS（クロスサイトスクリプティング）・CSRF（クロスサイトリクエストフォージェリ） コード品質・論理エラー（ケアレスミス） ・コピペミス（変数名の修正忘れなど）・デッドコード・APIの誤使用 Coverityの対応言語Languages Supported by Coverity 組み込みやWebシステム、スマホアプリなど、ソフトウェア開発で使用される言語のほとんどに対応しています。 C/C++ C# Objective-C® Java® JavaScript® Python® PHP Ruby Visual Basic® CUDA® Fortran Swift® Scala DART TypeScript Go Kotlin™ Terraform APEX™ Docker ※2025年12月時点 世界的なセキュリティ規格・コーディング規約への準拠Global Security Standards & Coding Compliance Coverityは、金融、医療機器、自動車など、極めて高い信頼性が求められる業界でスタンダードとなる主要なガイドラインを網羅しています。Coverityによる自動チェックを開発プロセスに組み込むことで、コンプライアンス準拠の証明にかかる膨大な工数を削減し、ソフトウェアの安全性と品質を客観的に検証することができます。 Web・エンタープライズセキュリティ領域 ・OWASP Top 10・CWE Top 25・PCI DSS セキュアコーディング標準 ・CERT C/C++・CERT Java・ISO/IEC TS 17961 機能安全・組み込み開発（車載・制御） ・MISRA・AUTOSAR C++14・CUDA C++ 組み込みコンパイラのサポート (C/C++)Supported Embedded Compilers (C/C++) 汎用的なコンパイラから、特定のマイコン・DSPに特化した専門的なコンパイラまで、業界で利用される主要なビルド環境を広範囲にサポートしています。既存のツールチェーンやビルドプロセスを変更することなく、スムーズに静的解析を統合できます。 主要な組み込み・クロスコンパイラ ・IAR C/C++・Keil Compilers・Wind River C/C++・Green Hills Software・Renesas C/C++ 汎用・標準コンパイラ ・GNU GCC / G++・Clang・Microsoft Visual C++・Intel C++ プロセッサ・DSP特定コンパイラ ・ARM C/C++, Keil, TASKING・Analog Devces Blackfin, SHARC, TigerSHARC・Texas Instruments Code Composer・Sony PS4 SDK Coverityの環境構成Coverity Architecture Coverityは、高速な解析を実行する「Coverity Analysis」と、結果を一元管理・可視化するWebサーバー「Coverity Connect」で構成されます。解析データはDBに集約され、開発者はブラウザやIDEから即座にアクセス可能です。 Coverity Analysisクライアント側のアプリケーションです。コードを解析し、データをサーバーに送信して結果確認を行います。 Coverity Connectサーバー側のアプリケーションです。ブラウザで接続し、解析結果の確認やステータス設定などを行います。 Coverityの価格についてPrice 導入価格は、使用人数やシステム規模により変動します。詳しくはお問い合わせください。 Coverityの価格について問い合わせる Coverityに関するFAQFAQ Q 他の静的解析ツールとの決定的な違いは何ですか？ A 最大の違いは「解析の深さ」と「精度の高さ」、「誤検知の少なさ」です。Coverityはファイルや関数を跨ぐ複雑なデータの流れを追跡（プロシージャ間解析）できるため、単純なツールでは見つけられない重大なバグを検出できます。また、誤検知が極めて少ないため、選別作業にかかる工数を大幅に削減できます。 Q 他の静的解析ツールを使用していますが誤検知が多く、対応工数がかかっています。Coverityはこの点の精度はどうなのでしょうか？ A Coverityは特許技術を含む高度な解析ロジックにより、誤検知率を平均15%以下に抑えています。 Q 差分（増分）解析は可能ですか？CI/CDやPRで回せますか？ A はい、できます。新しく変更した箇所を中心にチェックすることで、修正のたびに「この変更は問題ないか」を素早く確認できます。基準を決めておけば、問題が新しく見つかった場合は修正を促し、問題がなければ次の工程に進める――という形で、開発の流れの中で自動チェックを運用できます。あわせて、夜間などにソースコード全体をまとめてチェックし、残っている課題を定期的に洗い出す運用も可能です。 Q どんな不具合・脆弱性を検出できますか？ A Null参照、デッドロック、リソースリーク、コピペミスなどの品質課題に加え、代表的な脆弱性（例：SQLi、XSS等）も静的解析で早期に洗い出す運用が可能です。 Q Jenkins/GitLab/Jiraなどと連携できますか？ A 可能です。CIでの自動実行、結果の可視化、BTSへの起票・担当アサイン・通知まで連携して「直す流れ」に載せられます。 Q 特殊な組み込み用コンパイラを使用していますが、対応していますか？ A GCCやClangなどの標準的なコンパイラに加え、Green Hills、IAR、Wind River 、Renesasなど、組み込み開発で使用される主要なコンパイラを幅広くサポートしています。 具体的なバージョン対応についてはお問い合わせください。 Q MISRAやOWASPなどの規格に準拠していますか？ A はい、各規約（MISRA、AUTOSAR、CERT、OWASP Top 10等）への適合状況を可視化する機能があり、監査対応や出荷判定のエビデンスとして活用いただけます。 Q ライセンス費用や価格形態を教えてください。 A 1年毎のサブスクリプション契約となります。使用人数やシステム規模により金額が変動するため、まずはお気軽にお問い合わせください。 Q ライセンス販売以外に、富士ソフトは何をしてくれますか？ A システム開発はもちろん、購入していただいたツールを使って実際の静的解析作業や、ツールを導入する環境構築作業など提供できます。（有償サポートとなります。）お困りごとを是非教えてください。 その他のBlackDuckの製品Products SCA（ソフトウェアコンポジション解析）Black Duck® SCA OSS管理の世界的デファクトスタンダードです。ソースコード、ファイル、コンテナ、ファームウェア内のオープンソースの依存関係を特定します。ライセンスコンプライアンス違反やセキュリティ脆弱性に関するリスクを洗い出し、OSSの安心・安全な利用とSBOMの作成・有効活用をサポートします。 詳しくはこちら Fuzzing（ファジング）Defensics® Fuzzing 未知の脅威を暴くプロトコルファジングツールです。自動車、医療機器、通信機器など、高い堅牢性が求められる組込み開発の必需品です。 AppSecプラットフォームBlack Duck Polaris™ Platform 先進的なセキュリティ解析エンジンを統合した、包括的かつスマートな管理プラットフォームです。SAST・SCA・DASTが一つのプラットフォームでテストできます。
お問い合わせ