自 動 車

車 載 ソフト の 広 範 囲 な起 動 タイミ ン グ の 検 証
金＊澤明 ・古戸健・松本達治“Power Switching Timing Test Tool” for Vehicle-Embedded Software Verification ─ by Akira Kanazawa, Ken Furutoand Tatsuji Matsumoto ─ To keep vehicle embedded software quality high, products must be verified on every
event timing including unexpected timing.Especially important is the timing of power supply switching. In general, in
the time region just after power supply is switched on, the possibility of occurrence of software error is higher than in
the steady state. This is because the operating conditions at the time of switch-on of a power supply are different
from those in the steady state, such as higher communication load.Continuous efforts are being made to verify
product quality thoroughly, but if software scale and complexity continue to increase, the verification work might beextremely larger in the future than in these days. The authors have developed a testing tool that allows theverification to be performed at high time resolution at the timing of power supply switching. And the authors havealso implemented automatic testing functions to the tool. Thus, they have constructed efficiency verification
environment. The authors have applied this “power switching timing test tool” in the verification of prototype ECU.
About 17,000 test cases were prepared and tested about prototype ECU. Such testing is impossible without the“power switching timing test tool”. As a result, we have demonstrated the tool to be effective.In addition, wedeveloped the automatic judge function to the tool so that testing operation efficiency is also improved considerably.

1.

緒言

近年、自動車のドアロック、ルームランプ等の機能は使① プロセスを改善してプロジェクトを管理レベルから改善する（2）

い易さと快適性が追求され、高級車だけでなく、小型車でも高機能化が進んでいる。これらの機能を制御する車載電② 設計技法を改善して上流から品質を確保する子ユニット（以下、電子ユニットを ECU と略す）も高機能③ 開発経験豊富なメンバーによる技術的なレビューを実施
する化に伴って、搭載されるソフトウェアの規模は図１に示す
ようにこの 20 年間で約 1,000 倍に膨れ上がっている。そし④ 実機を使ってできるだけ多くの動作条件で検証するて、ソフトウェアの複雑化がこのまま進むと、今後の設⑤ シミュレーション環境で動作検証し、実機ではテストしにくいタイミングについて検証する（3）計・検証不足による品質低下が危惧される。
一般的にソフトウェアの品質低下の防止策として、例え本論文では、④の手法に着目し、実機を使って従来よりも格段にきめの細かい動作条件での検証を効率的に行えるば以下の取り組みが考えられる。

ツールを開発したので報告する。

ソフトウエア量（行）

100M

2.

目

的7Ｍ

10M
1M車両100K
走（情全体

御行制

含報系

ソフトウェアの品質を確保するためには、設計段階で十2Ｍむ）分なレビューと検証を行い、設計ミスを完全に取り除くのが基本である。しかし、設計および設計の検証は人為的な系作業であるため、ミスを 100 ％除去できるとは限らない。

10K

そのため、ソフトウェアを実際に動作させてテストを行い、2Ｋ潜んでいる設計ミスを検出し、修正することで残存する設

1K
1980

1985

1990

1995

2000

2005

2010
（年）

計ミスを無くしてから製品化する必要がある。
ソフトウェア開発における一般的な V 字フローを図 2 に

図1

車載 ECU のソフトウェア量の遷移（1）−（ 106 ）− 車載ソフトの広範囲な起動タイミングの検証示す。このうち、ソフトウェアを実際に動作させて検証す① 100ms 以下の精度で起動タイミングを狙ったテストが困
客先要件

製品化

要求仕様
仕様確認書

総合テスト

難である。そのため、目標としたタイミングテストを実施するために何度も繰り返してテストしなければならな

外部設計い場合がある② テストの結果を記録するのも手作業である。また、作業システムテスト

基本設計者への負担も大きくなるため、休憩や交代も考慮する必結合テスト

詳細設計要がある。そのため、多大な工数が必要になり、開発コ単体テスト

ストが上昇する
これらは、いずれも手作業に頼っているために発生する

コーディング

図2

課題であり、解決するためには、自動化ツールを導入する必要がある。

ソフトウェア開発の V 字フロー

これまでにも、当社では市販の汎用的なテストツールを用いてテストを自動化してきた。例えば、複数イベントの同時発生など、設計上で問題が発生しやすそうなタイミングでのテストに取り組んできた。この市販のテストツールるのは、システムテスト工程が中心である。今回はシステを応用することで電源の ON/OFF 動作を制御させることもムテスト工程に着目し、車載 ECU の起動タイミングの違い検討したが、ツールの制約から、500μs 以下の精度でのタによる異常な動作がないことを効率的に検証することがでイミング検証ができなかった。これまでは手作業による繰きるツールを開発したので、以下に報告する。

り返し起動テストで品質を確保してきたが、今後のソフト車載 ECU に組み込まれているような組み込みソフトウェ

ウェアの大規模化と複雑化により、品質を確保するために

アは、スイッチ、センサ類、通信などの各種入力の発生タ実施すべき繰り返し起動テストの回数が多くなることで、イミングの違いにより、動作条件が大きく異なる。ソフト工数が飛躍的に増大していく恐れがある。

ウェアの品質を確保するためには、仕様書に記載された典そこで、1μs 精度で電源の ON/OFF の制御を可能とし、型的な動作パターン、正常系の動作タイミングは言うに及電源起動のタイミングにおける動作を効率的かつ広範囲ばず、想定外の特殊なタイミングまで含めて異常な動作がに検証するために、専用のツールを新規に開発することないことを広範囲に検証する必要がある。特に、ECU に電とした。

源を投入して初期化プログラムと通常処理が同時に動作し始めるタイミングは、通信負荷が増大するなど定常状態と4.

は異なった動作条件となるため、過去の例から経験的にタ示す。のため、これまでは緒言に述べたソフトウェア品質を確保する個々の取り組みにより、製品の品質を確保してきた。と、従来通りの評価手法で品質は確保できるものの、検証作業にかかる工数が飛躍的に増大していく恐れがある。

理機器の構成を、図 3 に示す。また、仕様の概要を表 1 にイミング設計の抜けが潜みやすいことがわかっている。そしかし、今後益々ソフトウェアの大規模化と複雑化が進む

原

今回開発したのは、配電／入出力 BOX およびパソコン上で動作する配電/入出力 BOX の制御ソフトである。
外部からの直流電源が、配電/入出力 BOX を介して ECUに供給される。パソコンと配電/入出力 BOX とは高速デジ

そこで私は、パソコンを利用して車載 ECU の電源起動タ

タル出力 I/F ボード（図中高速 DO）およびデジタル入出力

イミングを細かい時間分解能で少しずつ時間をずらして制I/F ボード（図中 DIO）で接続されており、パソコン上で動御させて、その時の車載 ECU の動作を効率的に検証できる作する制御ソフトから配電/入出力 BOX にあるリレーのツールを開発した。

ON/OFF 状態を制御することで、ECU に供給している直流電源の ON/OFF を制御する。

3.

課

題

まず従来から行われているシステムテストの手法とその開発したツールの範囲課題について整理する。
電源の起動タイミングの違いによるテストを実施する場
合は、何度も電源の ON/OFF 操作を繰り返して動作を検証する必要がある。

電源ON/OFF指令

パソコン 高速DO
テスト
パターン

DIO

SW情報

配電／入出力BOX

固定
入力+B,ACC,IG1,IG2

SW出力

外部トリガ

12V

トリガ

直流電源

ECU

チェッカ

出力
モニタ
CANバスログ

CANアナライザ

しかし、手作業で起動テストを行うため、以下の問題点がある。

図3

機器構成図

2 0 0 8 年 1 月 ・ SEI テクニカルレビュー ・ 第 172 号 −（ 107 ）−

表1

仕様概要

・独立して 16 種の電源制御が可能（4ECU 群× 4 電源種（+B,ACC, IG1, IG2））
+B ：バッテリ接続時、常に ON 状態である電源種
ACC, IG1, IG2 ：イグニッションキーの位置により ON 状態となる電源種
・高精度なタイミング制御が可能
時間分解能： 1μs（但し、再現性能は配電／入出力 BOX のリレーの性能に依存）
・１出力あたりの電流容量は 40A
・テストパターンは汎用エディタで容易に作成可能
・外部に TTL 出力が可能（ECU にポート入力可能）
・外部トリガによる連携スタート機能あり

表2

コマンド

テストパターンの記述フォーマット

パラメータ

記述例

OutReq
OutPutビット信号名称、相対 OutReq, ACC-1,
出力時刻、出力状態
00000100ms, On

WaitTime

相対出力時刻WaitTime, 15s

WaitTrig

ビット信号名称

WaitTrig, +B-1

Nop
ExecOut（なし）

ExecOut

テストパターンは、1 行に 1 命令を記述する。記述内容
は、コマンドの後にカンマ区切りでパラメータを記述する。
テストパターンは汎用性の高いテキスト形式とした。表 2
パソコンからの電源信号出力に高速デジタル出力 I/F ボーにテストパターンの記述フォーマットを示す。

ドを採用することで、ソフトウェアの仕様としては 1μs 単

例えば、ACC 電源の ON になるタイミングが、+B 電源位の高精度な時間分解能を実現している。ただし、再現テの ON になるタイミングの 500ms 後よりも遅れた場合のストを含めたツール全体の性能は配電/入出力 BOX に実装

ECU の挙動を検証する場合、図 4 のようなテストを実施すするリレーの性能に依存する。リレーの応答性能に個体差る。テストパターンの例を図 5 に示す。この例では ACCがある場合はソフト的に補正することが可能であるが、電源のタイミングを 1ms ずつ遅らせた場合のテストケース

ツール全体の応答性能を高めるためには高速なリレーを実を示している。

装する必要がある。
また、配電／入出力 BOX には、TTL レベルの信号を外部に出力する機能を備えさせることで、電源の ON/OFF 状態の制御と同様に信号の出力制御も可能とした。この機能

テスト１回目(ΔT=0ms)

テスト2回目(ΔT=1ms)

によってスイッチの ON/OFF 状態を ECU 等に出力すること＋B＋Bもできる。例えば、スイッチと電源の状態が同時に変化しACC 500ms

ACC 500＋1msた場合のテストなどに応用できる。

IGIG

テスト401回目(ΔT=400ms)

…
ΔTを漸増

＋B
ACC 500＋400ms
IG

また、配電/入出力 BOX に外部からテスト開始のトリガを入力することも可能である。制御ソフトは外部からのト

図4

ACC 電源の立ち上がりが遅れた場合のテスト例

リガを判断し、これと連携して電源やスイッチの ON/OFF制御を開始することができる。
図 3 機器構成図に示した例では、ECU が出力する CANバス信号をバスデータ解析装置（図中 CAN アナライザ）に入力して特定のフレームを受信した際に配電/入出力BOX へトリガを出力している。ここで、CAN（Controller
Area Network の略称）とは、車載向けに開発されたシリアル通信プロトコルである。
このトリガにあわせて、ECU に対して車両電源系統である +B（バッテリ接続時、常に ON 状態である電源種）,
ACC, IG1, IG2（イグニッションキーの位置により ON 状態となる電源種）の 4 種類の電源の ON/OFF 状態を制御すると同時に、スイッチの ON/OFF 状態も制御している。

5.

利用方法

本ツール利用の手順は以下のとおりとなる。
① テストパターンを用意する。

テスト 1 回目(Δt ＝ 0ms)
OutReq, +B-1,0ms, ON
OutReq, ACC-1,500ms, ON
OutReq, IG-1,1000ms, ON
ExecOut：
WaitTime,
5s
テスト 2 回目（Δt ＝ 1ms）
OutReq, +B-1,0ms, ON
OutReq, ACC-1,501ms, ON
OutReq, IG-1,999ms, ON
ExecOut：：
WaitTime,5s
テスト 401 回目（Δt ＝ 400ms）
OutReq, +B-1,
0ms, ON
OutReq, ACC-1,900ms, ON
OutReq, IG-1,600ms, ON
ExecOut：② 用意したテストパターンをツールに入力、設定する。
③ ツールを使ってテストを実施する。

−（ 108 ）− 車載ソフトの広範囲な起動タイミングの検証

図5

テストパターンの例

6.

効果検証

実際に本ツールの有効性を検証するため試作 ECU に適用して評価した。その構成を図 8. に示す。試作 ECU は、2 つの CAN バスの通信データを相互に中継する機能を有する装置である。
試作 ECU の 2 つの CAN バスには、他の車載 ECU を模擬した ECU（以下、模擬 ECU）がそれぞれ 2 台ずつ計 4 台接続されている。制御パソコンから配電/入出力 BOX 経由で電源の ON/OFF を制御するのは、試作 ECU および試作ECU に接続された模擬 ECU4 台の計 5 台である。評価パソコン（CAN バスデータ解析の機能あり）では、2 つの CAN
写真 1

ツールの実行画面バスのデータを収集してログに記録し、このログを解析することで試作 ECU の動作を検証する。

電源制御
電源
模擬 模擬
ECU ECU

評価パソコン

バスログ

CANバスログ

試作ECU

模擬 模擬
ECU ECU 電源制御

図6

写真 2

配電／入出力
BOX制御
パソコン

試作 ECU への接続例

実車ベンチへの接続例

試作 ECU に接続された 2 つの CAN バスに、模擬 ECU を2 台ずつ接続し、試作 ECU のテスト仕様をもとに、各模擬ECU の電源起動のタイミングを様々に変化させても正常にテストパターンはテキスト形式で記述するため、汎用エ動作することを確認した。

ディタで編集することができる。しかし、図 4 のように広範囲にタイミングを変化させたテストパターンを作成する

具体的には、12 通りの起動シーケンスをベースに、パ場合、人手作業では効率が悪い。そこで、テストパターンターン違いも含めて合計 16 パターンを、1ms 単位でタイミを自動生成するツールを別途開発し、作業効率を向上させングをずらしたシナリオを合計 11,020 通り作成して評価した。これについては紙面の都合により、詳細な説明を略す。

た。また、仕様上のジャストタイミングを起点として前後本ツールを起動し、作成したテストパターンを読み込む

20ms の時間幅に限定した上で 0.1ms 単位で起動タイミングと、写真 1 のような画面になる。信号毎に、電源のをずらしたシナリオも 6,400 通り作成して追加評価した。

ON/OFF 状態が波形で表示されるため、作成したテストパ

これら 1ms 単位でのテストシナリオ 11,020 通りと、0.1msターンの電源 ON/OFF タイミングが目的に適ったものかど単位でのテストシナリオ 6,400 通りの計約 17,000 通りのテうかが一目で分かるようになっている。

ストシナリオを作成して、動作検証した。

本ツールの応用的な使い方の 1 つとして、実車ベンチに実行結果は、2 つの CAN バスのデータを評価パソコンで接続することが考えられる。実車ベンチへ接続した例を、収集してログに記録し、これを解析して仕様と比較するこ

写真 2 に示す。とにより確認した。

実車と同じ環境で、複数の ECU に対して、様々なタイミログの解析には、図 7 のようにログの比較ツールを開発ングで電源の ON/OFF を実施することができる。これによして利用した。これは、あらかじめ用意したリファレンスり、車両動作をイメージしながら、開発 ECU の電源起動のとなるパターンデータ（設計意図を厳密に反映したデータタイミングに依存する動作を検証することができる。

出力タイミングパターン）と実行結果（CAN データ）とを自動的に比較し、相違を求めることで設計した仕様との差異を検出するものである。

2 0 0 8 年 1 月 ・ SEI テクニカルレビュー ・ 第 172 号 −（ 109 ）−1回目 実行結果
3−実行結果5−実行結果 （CANバスログ）
6−実行結果4−実行結果
2回目 実行結果

図7

CANバスログを検証
・パターンデータとの比較

パソコン
制御ソフト
テスト
パターン

高速DO
DIOログ比較ツール（新規開発）による自動検証

配電/入出力BOX
機械式リレー
機械式リレー
機械式リレー
機械式リレー

考ECU

ACC
IG1IG212V

CAN

外部直流電源

ログ比較ツールによる自動検証

（a）

7.

+B

CANアナライザ

現在の構成

察
パソコン

試作 ECU の動作検証を対象として、約 17,000 通りの広範囲なテストパターンを作成し、電源起動のタイミングの制御ソフト
テストパターン

高速DO
DIO

動作検証を自動化することで効率化をはかった。

配電/入出力BOX
電子式リレー
電子式リレー
電子式リレー
電子式リレー

+B

ECU

ACC
IG1IG212V

この作業を手作業で実施した場合に必要な工数は、次の外部直流電源ように試算できる。電源スイッチの操作とテスト結果の確CAN
CANアナライザ

認・検証と記録を 2 名の作業者で分担するものとし、1 テ（b）

ストパターンあたり 30 秒かかると仮定すると、17,000 通り改善後の構成（例）のテストパターンの実施には約 140 時間必要である。2 名
図8の作業者で実施しているため、工数としては約 280 人時か配電／入出力 BOX の現在の構成と改善後の構成（例）かる。
本ツールを使用した場合には、テストシナリオの作成に約 4 時間、テストの実行に約 49 時間かかり、結果の評価に約 20 時間かかった。このうち、テストの実行は本ツールにより高精度とし、高速な ON/OFF 動作の繰り返しにも対応

よって自動的に行われるため、必要な工数は全部で 24 人時することで、瞬断テストなども可能となる。となる。
以上により、従来手法と比較すると 256（280-24）人時、そしてバスショートとは、通信線が電源ラインやグラウンド線に接触し、通信不能となる異常状態のことである。

即ち 32 人日の工数削減が可能になる。

これについても、本装置を応用すればパソコンから定めらさらに、本ツールの発展的な適用用途として、以下の例がれたタイミングでバスショートを発生させることができ、考えられる。

動作条件の広範囲な検証に寄与できると考えられる。

① 瞬断テスト② バスショート
瞬断とは、ECU の電源が一瞬だけ OFF 状態になること

8.

結言を呼び、車両環境においては電線の接続不良などで発生し今回、これまでは 500μs の精度でしか行えなかったタイ得る。瞬断発生時、ECU はあらかじめ定められた異常発生ミング検証を 1μs の精度で可能とするソフトウェアと、そ時処理を行う必要がある。この異常発生時処理が適切に行のベースとなるハードウェアを開発完了した。

われているかどうかを検証する目的で、瞬断テストが行われる。
瞬断テストは、一瞬（例えば 10μs）だけ電源を OFF 状態にするテストパターンを作成すればよい。しかし、今回

試作 ECU を用いた効果検証の際には、テストパターンの自動生成ツール、およびテスト結果の自動解析ツールを開発して利用することで、さらに効率化をはかり、ツールの有効性を示した。

製作したツールは図 8（a）のように配電／入出力 BOX 内

今後の可能性として、瞬断やバスショートなどの異常系のリレーとして機械式リレーを採用しているため、リレーへの対応が考えられる。今後も広範囲なテストツールを開の追従性が悪いと、一瞬だけ電源を OFF にしてもリレーが発し続けることで、これまで以上に効率的かつ品質の高い反応せずに瞬断が発生しない可能性がある。また、瞬断試

車載 ECU 向けソフトウェアの開発に貢献していきたい。

験を繰り返しテストに使うと、リレーの接点が溶着を起こして装置が故障する可能性がある。そのため、機械式リレーは瞬断試験には適さない。
そこで、配電／入出力 BOX 内のリレーを、図 8（b）のように電子式リレー（FET 等）に置き換え、タイミングを−（ 110 ）− 車載ソフトの広範囲な起動タイミングの検証

参考

文

献

（1）小川計介、「標準化で開発効率を高める車載ソフト巨大化に立ち向かう」、日経 Automotive Technology 2007 年 11 月号、pp8297（2）寺久保敏 他、「CMM レベル 3 に準拠した車載向けソフトウェア開発プロセスの構築」、SEI テクニカルレビュー第 166 号、pp45-50（3）松本達治 他、「車載電子ユニット用ソフトウェアのクロス開発環境ツールの開発」、SEI テクニカルレビュー第 165 号、pp10-14執筆者 ------------------------------------------------------------------------------------------------------------------

金澤明＊：㈱オートネットワーク技術研究所

ソフト開発センター

古戸健 ：㈱オートネットワーク技術研究所
主任研究員

ソフト開発センター

松本

達 治 ：㈱オートネットワーク技術研究所 ソフト開発センター
センター長--------------------------------------------------------------------------------------------------------------------------------------＊主執筆者

2 0 0 8 年 1 月 ・ SEI テクニカルレビュー ・ 第 172 号 −（ 111 ）−