“QAC报告怎么生成“以及“QAC报告字段怎么按评审要求调整“，这两个问题一般不是单纯点哪里导出能说清的。真正到了项目评审的时候，评审人员看的并不是页面有多漂亮，而是报告里有没有把事情交代明白：扫描了哪些代码，用了什么规则，发现了哪些问题，哪些问题已经处理完了，哪些做了偏离或抑制，后面由谁负责。所以，生成报告之前，最好先把分析结果、规则配置和评审字段放在一起想清楚。

QAC基线怎么建立，还有QAC基线更新以后，历史问题要怎么去做对比，这在使用静态分析的时候，是经常会遇到的问题。很多项目头一回接入QAC的时候，会看到历史代码里面诊断出来的结果特别多，要是要求这一次就全部改干净，开发那边的压力会非常大，实际上也不太容易做得到。基线的用处，就是把现在已经有的那些诊断结果先固定下来，往后再把精力主要放在新增的问题、有变化的问题，还有那些必须得去改的问题上面。Perforce QAC官方文档里面也提到过，基线的诊断抑制功能，是可以在新开发周期刚开始的时候，拿来把旧的诊断警告给抑制掉的。

在嵌入式的C和C++项目里面，QAC报头文件找不到这种事，是挺常见的，它说找不到，往往倒不是代码里面真的就少了那么一个文件，而是在QAC的项目里头，没有拿到跟真实编译时候一模一样的那些包含路径、宏的定义、编译器的选项，还有工程的根目录，按照Perforce Helix QAC的文档说明，项目的文件，是需要从真实的构建环境里面，去把它相关的那些选项给提取出来的；而构建监控这个功能，也会在构建的过程当中，去把那些被编译的文件、它们的路径，还有其它的信息，全给识别下来。

在C、C++项目刚开始接入静态分析的时候，常常会碰到编译数据库要怎么去配置，还有往QAC里导入这个数据库万一失败了，又该怎么去修正的问题，QAC这个工具，它并不是只把源文件拿过来简简单单地扫一遍就完事了，它还需要知道，每一个源文件在当时，到底是怎么被编译出来的，这中间就包括了用的是哪一种编译器、头文件都从哪些路径去找、都定义了哪些宏、工作目录是在哪里，还有编译的时候都加了哪些选项，Helix QAC是支持通过命令行的方式，去用一个JSON格式的编译数据库，来把项目给同步起来的，这里面，那个最典型的文件，就是记录了编译命令的那个JSON文件。

做QAC结果评审时，最容易把团队带乱的，不是告警太多，而是把真缺陷、存量问题、可接受偏离和真正误报全堆在一张结果表里一起看。Perforce官方对QAC的定位很明确，这个工具本来就支持用过滤、抑制和基线去聚焦关键问题，而不是要求团队把所有诊断都用同一种方式处理。换句话说，误报审查这件事，关键不是“怎么把红点删掉”，而是先把结果分类，再决定哪些该修、哪些该偏离、哪些只是历史噪声。

很多团队说“申请QAC认证”，表面看是在问工具认证怎么做，实际更常见的场景是三件事混在一起了，一是确认Perforce QAC这款工具本身具备什么第三方认证资质，二是向厂商获取对应的认证资料或资格包，三是把这些资料真正接进项目合规流程里。公开的Perforce官方资料已经说明，QAC本身已经通过TÜV-SÜD功能安全认证，覆盖ISO 26262最高到ASIL D、IEC 61508最高到SIL 4、IEC 62304最高到Class C等标准；另外，官方也公开提到它提供DO-330 qualification pack。换句话说，很多项目并不是“重新给QAC做一次认证”，而是把已经具备资质的工具和配套证据引入到自己的项目里。

QAC报告导出做不好，最常见的问题不是找不到按钮，而是同一个团队有人导PDF有人导HTML，文件名不统一，报告里字段口径也不一致，复评时就会被追问到底以哪一份为准。要把事情做稳，你需要先把导出路径固定成可重复步骤，再把报告格式、模板、命名与归档规则一次性统一。

在功能安全开发里，工具不是越多越好，而是要可控、可复现、可审计。QAC这类静态分析工具如果没有被纳入工具置信度评估与项目流程，往往会出现告警口径漂移、基线无法复跑、审计时说不清为什么可信的问题。把QAC认证与功能安全真正实现落地，要同时把工具本身的认证材料用好，也把ISO 26262对工具资格化的项目级要求补齐。

做QAC静态分析时，先把结果看对位置、看对口径，再谈导出报表与门禁阈值，不然很容易出现你以为没有问题，其实是视图没切到，或你以为已经导出，结果导的是别的配置下的报告。下面按常见的两种使用场景来写，一种是桌面端QAC界面看结果，一种是在IDE集成里看结果，并把导出路径按图形界面与命令行两条路都讲清楚。

QAC做增量扫描的前提，是分析结果与配置会被保存在同一个QAC工程里，下一次运行只重分析发生变化的源文件、依赖文件或配置项。如果你每次都把工程清掉、把工作区删掉，或把配置频繁改动，工具就只能退回到全量分析，甚至表现成你以为的增量不生效。把问题拆成工程是否被复用、配置是否稳定、扫描入口是否正确，基本都能定位到具体原因并给出可复现的修复动作。