自動車業界は絶えず進化を続けており、絶え間ないイノベーションがモビリティの未来を牽引しています。この分野の主要企業であるSonatus とLHP Engineering Solutionsは、戦略的パートナーシップを通じて、Sonatus の「Automator」AI 向けの安全モジュールである 「Automator Safety Interlock（ASI）」が、UL SolutionsよりISO 26262に基づく認証を取得し、ASIL-Dレベル （自動車安全完全性レベルD）を達成したことを、大変嬉しくお知らせいたします。この認証は、自動車工学における安全保証の最高水準を示すものであり、最先端かつ安全基準に準拠したソフトウェアソリューションを提供するという当社の取り組みが実証されたものです。ISO 26262は、 車両の電気・電子システムの機能安全要件を規定するISO 26262は、 、自動車安全に関する世界標準です。ISO 26262のASIL-D（最高レベルの安全完全性レベル）準拠を達成したことで、OEM（相手先ブランド製造業者）およびそのサプライヤーに対し、当社の製品が今日の相互接続された車両アーキテクチャで求められる業界の安全基準を満たしているという確信を与え、AutomatorAI プラットフォームが安全上極めて重要なユースケースに対応できることを保証します。
強力なパートナーシップの誕生：構想の始まり
Sonatus とLHPの提携は、2023年初頭に、ソフトウェア定義車両（SDV）の複雑化が進み、それに伴う潜在的な安全上の懸念が高まっているという課題への対応として始まりました。Sonatus は、強力な車載ソフトウェアオーケストレーションプラットフォームである「Sonatus Automator」（AI ）を開発した後、安全性が極めて重要なシステムなど、高度に相互接続されたシステムにおいて自社の技術をより幅広い状況で活用するためには、機能安全規格への準拠が必要であると認識しました。 車両の品質と運転体験を向上させるために設計されたオーケストレーション・フレームワークである「Sonatus Automator」（AI ）は、OEMが、特定の条件やイベントに基づいてアクションがトリガーされるホームオートメーションと同様の、イベント駆動型の複雑なワークフロー・レシピを作成・展開することを可能にします。これらのレシピにより、新機能の導入、テストの実行、および車両に対するリアルタイムの診断ルーチンの実行が可能になります。 このフレームワークは、CANやイーサネット信号、ECUイベント、位置情報など、柔軟なトリガーに対応しており、特定の車両や条件を対象とした高度な多段階ワークフローの作成を容易にします。
AutomatorのAI プラットフォームを、車両ネットワーク内のより多くの参加者に開放することは、自動化の可能性を大幅に拡大しますが、安全性に重大な影響を及ぼす可能性のあるユースケースを適切に扱う必要があります。例えば、走行中にトルクベクタリングなどの車両ダイナミクスシステムのパラメータを最適化したり、ドライブモードの設定を変更したりすることは、ドライバーにリスクをもたらす可能性があります。 LHPとの協業は、こうした安全上の懸念を特定し、ASI内で顧客固有のユースケース設定オプションを考慮した機能安全メカニズムを実装する上で、極めて貴重なものとなりました。LHPの業界に関する専門知識は、OEMとのシステム統合を円滑に進めるために必要な適切な前提条件を確立する上で、極めて重要な役割を果たしました。
機能安全の構想段階において、Sonatus 社は、同プラットフォームの機能を自動車安全基準に適合させるプロセスを開始するため、LHP Engineering社に協力を依頼しました。LHP社は、Sonatus 社のマネージャーおよびエンジニアを対象とした重要な安全研修を含む包括的な機能安全評価パッケージを提供するとともに、ISO 26262への準拠を確保するため、Sonatus 社の組織プロセスに関するギャップ分析を実施しました。
このフェーズには、 アイテム定義やハザード・リスク評価（HARA）といった不可欠な手順も含まれていました。最大の課題は、ソフトウェア定義の車両機能が極めて動的である一方で、安全基準は静的で厳格なままである、進化し続けるエコシステムにおいて、文脈から切り離された開発を管理することでした。こうした取り組みの結果、最終的に、多岐にわたるアクション要求に対する安全対策として、「Sonatus （ASI）」が策定されました。
コンテキスト外安全要素（SEooC）として開発されたASIソフトウェアは、システム内で極めて重要な運用上の安全メカニズムとして機能します。 ASIは、新機能の開発および導入に伴い、すべての動作要求を独立して監視・検証します。各要求が事前に定義された安全条件に合致していることを確認し、許可された安全な操作のみが実行されるようにします。安全でない動作が検出された場合、ASIは介入してシステムを所定の安全状態へと誘導し、車両の安全性が決して損なわれないようにします。図1を参照してください。
図1. ASIは、多数の制御機能（ここではそのごく一部のみを示している）を安全に構成することを可能にし、車両のパーソナライゼーションやソフトウェア定義コンポーネントといった自動車ソリューションの強化に貢献します。
Sonatus （ASI）のメリット
ASIソフトウェアは、ハードウェアに依存しないまま、POSIXベースのシステムに効果的に統合されます。 POSIXは、システムレベルおよびユーザーレベルの アプリケーション・プログラミング・インターフェース （API）に加え、コマンドライン シェル やユーティリティ・インターフェースを定義し、さまざまなオペレーティング・システムとのソフトウェア互換性（移植性）を確保しています。 さらに、ASIの構造は、自動車安全基準への包括的な準拠を保証する補足的な安全マニュアルによって裏付けられています。
ASIアーキテクチャは、信頼性の高い動作と安全基準の遵守を総合的に確保する、いくつかの重要なソフトウェア機能を中核としています。図2を参照してください。
- タスクのスケジューリングと管理: ASIには、厳格な安全上の時間的制約に従ってタスクが確実に実行されるよう保証するタスクスケジューリングシステムが組み込まれています。この機能は、タスクの重要度およびあらかじめ定義された優先度レベルに基づいてタスクの優先順位を決定し、プロセスの順序を管理することで、運用の整合性を維持します。タスクの動作とタイミングを調整することにより、スケジューラはプロセスの秩序ある実行をサポートします。これは、安全要件を満たし、予測可能なシステム応答を確保するために不可欠です。
- 起動時の検証: システムの整合性を初期段階から維持するため、ASIには、システムが本格稼働に移行する前に、重要なパラメータやコンポーネントを検証する起動テストルーチンが組み込まれています。
- 状態管理: ASI は、動作状態を管理するためのステートマシンを組み込んでおり、これにより、さまざまな状況や外部入力に対して適切に対応することができます。
- インターフェース通信管理：ASIと他の車両システムとの統合において、効果的な通信は不可欠です。インターフェース通信マネージャーは、データ交換を処理し、適応型のタグ・長さ・値（TLV）メッセージ形式をサポートするとともに、データの整合性および検証のための安全メカニズムを採用しています。これには、巡回冗長検査（CRC）、ローリングカウンタ、およびデータ検証プロトコルが含まれます。これらの措置により、通信エラーが確実に検出・軽減され、システムの安全性が維持されます。
- アクション依頼および承認プロセス: ASIは、承認されたアクションおよび校正依頼のみが処理されるよう確保しています。ASIは、受信したアクションおよび校正依頼をあらかじめ定義された基準に照らして評価することで、不正な依頼からシステムを保護しています。
- イベントおよび障害の監視: 障害管理機能は、ASIタスクの異常を継続的に監視します。検出された障害はログに記録され、さまざまなイベントタイプに分類されて永続メモリに保存されるため、イベント履歴が確実に保持されます。さらに、エラーイベント発生時点の関連データのスナップショットが取得され、報告されます。障害イベントの通知は、その深刻度レベルとともに、AutomatorAI および 車両ホストシステムの双方に通知され、タイムリーな対応とシステムの状況把握が促進されます。
- システム診断: 継続的な診断により、一般的なプロセスおよび通信の障害を未然に特定することができます。
図2. ASIシステムのアーキテクチャ（開発範囲は赤色で示されている）は、信頼性の高い動作と安全基準の遵守を総合的に確保する、いくつかの重要なソフトウェア機能を中核としている。
簡単な統合
ASIは、さまざまな構成の車両ホストシステムとの統合に柔軟に対応しており、Sonatus Updaterやインテグレーター／OEM固有のソリューションなど、他の製品との連携も可能です。ASIの設計により、AUTOSAR Adaptive Platform環境、QNX、一般的なLinux OS、およびリアルタイムLinuxシステムへの組み込みが可能です。
ASIは、ソフトウェア統合機能に加え、Dockerなどのコンテナ環境での導入が可能であり、シフトレフト型のテストおよび開発プラクティスを促進します。
ASIは、その柔軟かつ汎用的な設計により、高性能コンピューティングやゾーンコントローラなど、さまざまなハードウェアプラットフォームに導入可能です。ASIのモジュール式設計により、保護対象のコンポーネントと同じホスト上で実行することも、別のホスト上で実行することも可能であり、その分離は仮想的でも物理的でも構いません。図3を参照してください。
図3. 構成例：ASI は、さまざまな車両ホストシステムとの柔軟な統合を目的として設計されており、他のSonatus 製品やOEMソリューションと連携可能です。
厳格な安全基準への準拠
ISO 26262への準拠には、開発プロセスのあらゆる段階において厳格な要件を遵守することが求められます。Sonatus ASIは、アーキテクチャ設計、テスト、分析など、開発のさまざまな段階において、約150項目の具体的な安全要件を満たす必要がありました。完全なトレーサビリティにより、各要件を特定のテストケースや安全目標に紐づけることが可能となります。特に注目すべき課題は、セーフティケース内のすべての安全関連成果物を管理することでした。これには、完璧な構成管理システムと、チームメンバー一人ひとりの細心の注意が求められます。
結論：イノベーションと安全性の融合
Sonatus とLHP Engineering Solutionsの提携は、最先端のイノベーションと堅牢な安全システムを融合させることの重要性を示しています。両社が緊密に連携し、ULなどの認証機関と早期から協力することで、自動車の自動化の限界を押し広げるだけでなく、国際基準に準拠した最高水準の安全性を確保するプラットフォームを構築しました。
SDVが業界のあり方を変え続ける中、技術の進歩においても安全性が最優先されるよう確保するためには、このようなパートナーシップが鍵となるでしょう。
図4： eULなどの認証機関と早期に連携することで、Sonatus は自動車の自動化の限界を押し広げ、国際規格に準拠した最高水準の安全性を確保しています。
このトピックについては、ここで紹介している以外にも多くの情報がありますので、ぜひ当社の この件に関するお知らせや、その他の Sonatus AutomatorのAI に関するリソースもぜひご参照ください。また、 ご連絡いただき Sonatus 、貴社特有の要件についてブリーフィングの予約をされることをお勧めいたします。