Volvo heeft in het Zweedse Göteborg een testcentrum waar het niet om de auto’s zelf gaat, maar puur om hun software. We namen een kijkje hoe het testen van software wordt uitgevoerd.
Softwarefabriek op wielen: hoe Volvo zijn OTA-updates industrialiseert
Met uitspraken als “We gebruiken Basil en kunnen tot tien baselines per dag pushen” is het wat lastig om te geloven dat je bij een autofabrikant op bezoek bent. En toch is dat zo: in het Volvo Software Test Centre in Göteborg draait alles om de (zelf ontwikkelde) software rond Android Automotive, die in de auto’s van de Zweden zit.
Of om precies te zijn: hoe de software wordt getest voordat deze via een over-the-air-update (OTA) naar de auto’s van de klanten wordt gestuurd.
Volvo is in 2019 begonnen zich meer bezig te houden met eigen software voor zijn auto’s. Er is besloten om, analoog aan de voertuigbouw, een softwarefabriek op te zetten waar het aankomt op snelle iteraties, zegt Alwin Bakkenes, hoofd softwaretechniek bij Volvo.
Een belangrijke bouwsteen was het afwerpen van oogkleppen: in plaats van dat elke ontwikkelaar alleen zijn module in het oog houdt en daarvoor kant-en-klare binaire bestanden levert, die op een gegeven moment met andere modules moeten samenwerken, komt nu alles samen in een grote pool, die toepasselijk Superset wordt genoemd. En niet als gecompileerde binaire bestanden, maar als broncode, zoals Bakkenes uitlegt. Dat laatste helpt enorm bij het verminderen van afhankelijkheden, wat het bouwproces eerder erg complex en tijdrovend maakte.
Door de Superset heeft elke ontwikkelaar bovendien het totale pakket in beeld en kan hij op elk moment de modules van andere teams ophalen. In de regel worden de nieuwe leveringen (commits) om de vier uur samengevoegd tot de huidige iteratie van de Superset, waartoe alle ontwikkelaars dan weer direct toegang hebben.
Test 1..2…
In het Software Test Centre, dat Volvo in 2023 in het westen van Göteborg in een speciaal daarvoor gebouwde hal van 22.000 vierkante meter in gebruik heeft genomen, komt een downstream-onderdeel van elke softwareontwikkeling tot uiting: het testen of alles foutloos werkt. Volvo vertrouwt er niet op dat het nauwgezet afwerken van specificaties, compilers en geautomatiseerde codecontrole in de cloud met 50.000 cpu-kernen bugs voorkomt, maar test de software op echte hardware. Hiervoor zijn drie niveaus voorzien: HIL, Box Car en VIL.
Het kleinste niveau, HIL, staat voor hardware-in-the-loop. Hierin worden besturingseenheden afzonderlijk of in een kleine groep aangesloten. Bij infotainment zou dat bijvoorbeeld de besturingseenheid zijn met het bijbehorende scherm of de bijbehorende schermen, luidsprekers en bedieningselementen, wat dan ook meteen de binnenverlichting kan betekenen als daarvoor de bijbehorende schakelaars zijn ondergebracht. De HIL’s worden in verrijdbare serverkasten gebouwd, waarbij elke kast groot genoeg is om meerdere HIL’s te bevatten.
(Foto: Volvo)
Het middelste niveau, de Box Car, bouwt voort op dit principe: op een verrijdbare montagetafel worden alle elektrische componenten van een concreet model met de originele kabelbomen verbonden. De aandrijflijn en andere actuatoren zoals voor de raambediening ontbreken; ook wordt de Box Car geen virtuele rit voorgespiegeld: de snelheidsmeter zal hier dus nooit meer dan 0 km/u aangeven.
Volvo heeft echter talloze van deze Box Cars op voorraad om concrete modelvarianten direct te kunnen testen, ook meerdere jaren na de marktintroductie. Omdat de elektronische delen toegankelijk zijn, kunnen Box Cars indien nodig veel sneller worden omgebouwd dan complete voertuigen.
De grootste testfase VIL staat voor vehicle-in-the-loop: hier worden complete auto’s op een rollenbank vastgezet, zodat ook eenvoudige rijprofielen op het echte object kunnen worden doorlopen. Zo kan bijvoorbeeld worden vastgesteld of de achteruitrijcamera op het juiste moment wordt geactiveerd.
Bij de VIL’s worden alle tests zo realistisch mogelijk uitgevoerd: de commando’s om gas te geven en te remmen worden bijvoorbeeld niet via softwaresignalen naar de auto gestuurd, maar robotvoeten bedienen de echte pedalen.
In totaal zijn er in Göteborg meer dan twintig van deze rollenbanken beschikbaar voor parallelle tests. Als er in een van de fasen een fout optreedt die snel kan en moet worden verholpen, geldt de hierboven beschreven flow: om de vier uur kan de test worden herhaald met de dan actuele softwareversie. Bovendien zijn alle testbanken, van HIL tot VIL, 365 dagen per jaar 24 uur per dag in bedrijf en op afstand bereikbaar.
Het maakt dus niet uit of de ontwikkelaar in Zweden, Shanghai of Sunnyvale zit, of in welke tijdzone de testingenieur werkt. Ter plaatse in Göteborg zorgt een team van ongeveer 170 mensen ervoor dat de testbanken operationeel zijn of indien nodig worden omgebouwd. De HIL’s staan in afgesloten ruimtes die doen denken aan serverruimtes, terwijl de Box Cars naast elkaar in een grote hal geparkeerd staan.
Overal hangen borden die waarschuwen dat een testbank op elk moment onverwacht in werking kan treden. Bij de infotainment-HIL wordt het in het ergste geval alleen maar luidruchtig en bij de Box Car kun je verblind worden door de koplampen, maar bij de VIL is er levensgevaar.
De afzonderlijke stallen zijn daarom voorzien van tralies en beveiligd met poorten met sensoren, zodat niemand te dicht bij het voertuig kan komen, of elke test onmiddellijk wordt afgebroken als een toegangssensor meldt dat de veiligheid van de testbank niet meer gewaarborgd is.
De ontwikkelaars krijgen voornamelijk feedback over het verloop van de test via telemetriegegevens. Als dat niet voldoende is, bijvoorbeeld omdat bij infotainment moet worden gecontroleerd of wijzigingen in het responsieve ontwerp van de gebruikersinterface er in het concrete geval ook daadwerkelijk uitzien zoals bedoeld, kan het personeel ter plaatse ook een webcam plaatsen voor de controle.
Geen tests bij klanten
Na de VIL-fase volgen definitieve tests tijdens proefritten op afgesloten wegen of in het openbare verkeer. Volvo beschikt hiervoor over een vloot testvoertuigen, die de komende jaren echter geleidelijk zal worden verkleind, aldus hoofd ontwikkeling Anders Bell. In plaats daarvan zal de software worden geïnstalleerd op voertuigen die het bedrijf toch al dagelijks als bedrijfswagens gebruikt.
Bell maakte echter duidelijk dat het bedrijf nooit zoiets als een openbare bètaversie op de werknemers of zelfs het grote publiek zou loslaten. Bell is weliswaar een veteraan bij Volvo, maar was tussen 2016 en 2022 in dienst bij concurrent Tesla, waar een andere risicobeoordeling wordt gehanteerd.
waarvan er meerdere in een verrijdbaar serverrack worden geplaatst. (Foto: Volvo)
Zelfs de genoemde tests met het wagenpark van het bedrijf kunnen waarschijnlijk het best worden omschreven met de termen release candidate of golden master: in het kader van een gefaseerde update-uitrol zouden de bedrijfswagens gewoon als eerste de softwareversie krijgen die alle andere tests heeft doorstaan en die in precies deze vorm in de nabije toekomst voor openbare distributie is bedoeld.
Updates en cycli
Volvo is van plan om vier keer per jaar updates naar zijn klanten te sturen, namelijk twee grote (waaronder die voor de verplichte modeljaarwijziging) en twee kleinere. Als voorbeeld van nieuwe functies noemde Bakkenes een manoeuvreerweergave met 360 graden rondomzicht, die via een update naar klanten werd gestuurd. Voorheen hadden de geleverde voertuigen alleen een klassiek breedhoekzicht naar achteren.
Bugfixes of zelfs beveiligingspatches worden indien nodig veel sneller dan in de driemaandelijkse cyclus als patch verspreid, waardoor Volvo doorgaans meer dan vier updates per jaar uitbrengt. De eerste auto met connectiviteit rond Googles Android Automotive, waarop de softwareontwikkelaars van Volvo voortbouwen, was de XC40 Recharge uit 2021.
Deze gaat ook een OTA-update krijgen waardoor het infotainmentsysteem de nieuwe gebruikersinterface krijgt die al standaard is in de 2025-modellen van Volvo. Bakkenes zegt dat de software geen skin is die alleen het nieuwe uiterlijk imiteert, maar daadwerkelijk precies dezelfde software is die ook al bij nieuwere auto’s wordt geleverd.
Dat was precies het plan van Volvo en de reden om überhaupt de softwarefabriek met de Superset voor de software op te zetten. De inspanningen zouden nu hun vruchten afwerpen: doordat de nieuwste software overal wordt uitgerold en door de meeste klanten wordt geaccepteerd, hoeven ze zich naast de ontwikkeling van nieuwe dingen niet ook nog eens bezig te houden met het onderhoud van oude systemen.
Open vragen
Het is echter de vraag hoe lang Volvo nog van deze startbonus zal profiteren. Ook op onze vraag wilde Volvo geen bindende uitspraken doen over hoelang het bedrijf updates voor oudere voertuigen zal blijven leveren.
Bakkenes gaf wel aan dat de auto’s worden verkocht met vier jaar connectiviteit en dat dit dus als een ruwe richtlijn moet worden gezien. Hij wilde niet specificeren of dit nu geldt voor nieuwe functies of ook voor veiligheidsupdates.
Ook op vragen over de algemene end-of-life-strategie, die voor elk apparaat met internetverbinding op een kritiek moment aan de orde komt, wilde Bakkenes niet verder ingaan. Gezien het feit dat vier jaar weliswaar geschikt is voor bedrijfslease, maar in totaal nog geen derde van de gebruikelijke levensduur van een auto vertegenwoordigt, liet dit een nogal groot vraagteken achter.
Achteraf verduidelijkte Volvo dat het bedrijf onder een autolevensduur minimaal acht jaar verstaat en dat dit geldt vanaf het laatste exemplaar van een model dat van de band rolt. Zolang zullen er ook minimaal comfort- en veiligheidsupdates zijn.
Bovendien werkt eCall als wettelijk voorgeschreven en goedkeuringsplichtig onderdeel los van de rest van het systeem: het is een zelfstandig systeem met een eigen simkaart en mobiele verbinding, dus volledig los van het Android-gebaseerde infotainmentsysteem.
Volgens Bakkenes heeft Volvo besloten om nauw samen te werken met Google en een geïntegreerde internetverbinding in de auto te integreren om sneller en op grotere schaal telemetriegegevens te verzamelen, zowel van ongevallen als van situaties die net goed zijn afgelopen. Deze gegevens zouden worden gebruikt bij de verdere ontwikkeling van de assistentiesystemen, zodat deze in de toekomst ook kunnen helpen waar ze dat tot nu toe niet deden. Andere autofabrikanten zoals BMW volgen een vergelijkbare aanpak.
Sensorfusie tegen traag opstarten
Autofabrikanten halen steeds meer software weg van afzonderlijke speciale regeleenheden en laten die in plaats daarvan gecentraliseerd draaien op een klein aantal zeer krachtige regeleenheden.
Volvo vormt daarop geen uitzondering. Een knelpunt hierbij: de complexiteit van de software neemt toe en de opstarttijden worden steeds langer. Maar geen enkele automobilist wil na het omdraaien van de contactsleutel wachten tot de ingebouwde technologie is opgestart. Sterker nog: bij het achteruitrijden uit een parkeerplaats direct na het starten van de motor verwacht een bestuurder dat de parkeersensoren gaan piepen als er een object in de weg staat, en niet pas als de bijbehorende regeleenheid eindelijk is opgestart.
Als je niet meteen kunt wegrijden, maar pas na een paar seconden waarin de auto niet reageert, komt dat soms doordat het opstarten nog niet is voltooid en de auto zichzelf in die tijd nog niet als rijklaar beschouwt. Autofabrikanten pakken dit probleem aan door de regeleenheden veel eerder te activeren dan je zou verwachten.
Hiervoor gebruiken ze zoveel mogelijk van de aanwezige sensoren, ook al zijn die eigenlijk bedoeld voor andere taken. Als je een auto met een afstandsbediening opent, wordt het eerste systeemniveau al geïnitialiseerd. Als alleen de achterdeur wordt geopend, kan het daarbij blijven. Als de bestuurdersdeur wordt geopend, gaat de auto er echter vanuit dat hij binnenkort zal gaan rijden en schakelt hij over naar het volgende niveau.
Keyless entry-systemen, waarbij de sleutel in je broekzak kan blijven, beperken de aanlooptijd: de auto gaat er pas vanuit dat er een rit op komst is als iemand direct de handgreep van de bestuurdersdeur aanraakt en deze opent. Als de interieurbewaking (van de diefstal beveiliging) of de druksensor in de bestuurdersstoel (die eigenlijk bedoeld is voor de gordelwaarschuwing) meldt dat iemand op deze plaats gaat zitten, dan worden uiterlijk op dat moment alle voor het rijden benodigde componenten geactiveerd.
In het optimale geval kan de auto dan bij het starten van de motor (wat bij elektrische auto’s ook niet meer nodig is) echt meteen wegrijden, zonder dat de bestuurder iets merkt van de eigenlijk veel tragere start van de hardware.
Vision Software Defined Vehicle
Wat betreft het begrip ‘software defined vehicle’, dat alle autofabrikanten momenteel graag in de mond nemen, is er dus nog veel onduidelijk. Ze houden kopers aan het lijntje door in de loop van de tijd nieuwe functies toe te voegen. Het begrip zelf is echter al vreemd, want vanaf de dag dat de auto de productielijn verlaat, staat de hardware vast.
Aangezien Volvo naar eigen zeggen geen markt ziet voor het vervangen van bestaande regeleenheden of sensoren door modernere componenten tijdens de levensduur van een auto, is het dus toch weer de hardware die de auto definieert en beperkt.
Dit geldt ook voor het onduidelijke einde van de levensduur dat elk apparaat met internettoegang op een gegeven moment tegemoet gaat. Het is absoluut niet zeker dat autofabrikanten zoals Volvo zich zullen houden aan de gewoonten van de grote softwareproducenten die we kennen van pc’s en even vroeg als openlijk de end-of-life (EoL) van hun platforms zullen communiceren.
Hoe vervelend het einde van de ondersteuning van Windows 10 in oktober 2025 ook was: Microsoft had dit jaren van tevoren aangekondigd. De softwareontwikkeling voor auto’s heeft in ieder geval al lang een omvang bereikt die niet onderdoet voor die van de gevestigde app-ontwikkelaars, die er geen hardware omheen bouwen.
Alleen is de test-inspanning van een heel ander niveau, zoals blijkt uit het Volvo Software Test Centre met zijn talloze testbanken in Göteborg. Niet zonder reden: op een mobiele telefoon is een crashende app vervelend, maar in een auto kan het fataal zijn.
Florian Müssig en Alieke van Sommeren
Praat mee