캠리(CAMRY) 토요타 자동차 급발진 사고의 기술적 근거. 한국도 동일?

2013년 10월 24일 토요타 자동차의 급발진 사망사고를 둘러싼 미국 오클라호마주의 공판에 제출한 내용이 의미심장하여 공유 해 봅니다. 

한국에서 일어나는 급발진 사고는 모두 ECR(Electronic Crash Recoder)의 분석만을 의존하고 게다가 ECR은 서드파티 제품이 아닌 자동차 제조사에서 달아야만 해서 분석 데이터가 명확하지 않습니다. 당연히 제조사에 불리한 정보는 넣지 않겠지요. 

이번 공판에서는 Barr Group의 CTO인 Michael Barr씨가 분석한 자료를 증거로 내놨습니다. 

실제 토요타 ETCS(전자제어 쓰로틀 시스템)의 소스코드 분석 결과입니다. 

• 데이터 미러링을 하지 않아 스택오버플로우가 발생할 경우 대처할 수 없다. 
• 메모리를 41%만 쓴다고 발표했지만 실제로는 94%의 메모리를 사용하기 때문에 언제든 스텍오버플로우 가능성이 있다. 
• MISRA-C 위반 재귀 코드가 발견되었다. 
• MISRA-C : Motor Industry Software Reliability Association에서 규정한 C코드의 정합성을 판단하는 테스트 규약
• RTOS 내부 구조 및 쓰로틀 각도변수 미러링이 불완전하다.(안하는 것보다 못함?) 
• RTOS : Real Time Operating System
• 포인터를 사용한 콜 및 라이브러리 변수 약 350개를 태스크 전환시 RTOS를 사용하지 않았다. 이 떄 Runtime Task Montoring을 실행하지 않았다.(엑셀을 밟는 등 전자 제어적 명령을 모니터링 안하고 그냥 처리.. 문제가 생기면 나몰라?)
• 자동차 업계 표준 규격인 RTOS API의 OSEK버전을 채택하였으나, CPU벤더에서 공급된 OSEK버전이 인증 규격이랑 다르다. 
• RTOS태스크가 의도치 않은 오류로 셧다운 되었을 때의 현상에서는 UA(Unintended Acceleration, 급가속/급발진) 가 발생할 가능성이 높다. (윈도우의 블루스크린 같은 아무것도 못하는 상황에 스로틀을 전개방으로 OS가 먹통된다고?)
• 메모리상의 싱글비트에 의해 태스크가 제어되기 때문에 하드웨어 또는 소프트웨어의 결함에 의해 데이터가 파손된 경우 필요한 태스크가 일시정지 하거나 불필요한 태스크가 실행되어버릴 가능성이 있다. 
• 요게 정상적이다가 갑자기 급가속 하는 원인일 가능성이 크군요.
• 실제 차량 테스트를 했을 때 특정 데드태스크(Dead Task)에 의해 스로틀의 제어기능을 잃어버린 것이 나타남에 따라 UA가 발생한 경우에는 가속을 멈출 수 없다. 
• 앱이 순간 종료 하는 것 같은 느낌인데, 이 경우 뭘해도 제어가 안되는 급발진 원인 중 하나 같습니다.
• 스파게티 코드로 만들어져 글로벌 변수만 11000이 넘는다.
• IT를 하면 누구나 보고 욕하는 것이지만 엄청난 전문가가 혼자서 계속 관리하면서 만들지 않는한 이전 사람이 만든 코드는 보기 귀찮으니 또만들고 비슷한거 만들어 호출하고 하는건 여전하네요.  
• 67개 함수에 대해서는 테스트 불가. (스코어가 50이 넘으면 테스트 불가). 이 중에서 스로틀 각도 함수는 스코어가 100이 넘어서 점검불가 상태. 
• 스로틀 밸브 제어 함수는 누가 점검을??

IT경험자가 본다면 납득할 거 같은 내용들 입니다.

소프트웨어 이외의 원인 가능성이 있는 내용

• 스로틀에 이상이 발생한 원인 중에 엑셀 페달 위치의 센서 내부에 있는 Sn whisker(주석 휘스커, 사용함에 따라 이물질이 침착되는 증상, https://en.wikipedia.org/wiki/Whisker_(metallurgy))

많은 급발진 사고 영상을 보면 굉음이 나는데 그게 스로틀밸브가 최대개방 된 경우 입니다. 즉, 스로틀밸브 각도 조절 오류 또는 태스크가 알 수 없는 오류로 종료된 경우 전개방이 된 상태가 되는 것이겠지요. 그 때 태스크는 오류로 종료 되었기 때문에 스로틀밸브 컨트롤 태스크가 새로 뜨지 않아 조절이 안되는 걸 꺼구요. 윈도우도 explorer종료시 전 어플리케이션이 전체 죽었다가 살아나는 경우를 볼 수 있는데, RTOS는 윈도우가 아니기 때문에 이미 죽은 태스크는 다시 안살리고 다른 태스크 마저도 죽어버리거나 하나 보네요. 

실제 한국의 자동차에서도 위 분석 결과에 의심스러운 내용들이 있지 않을까요?

저걸 분석해 줄 수 있는 전문가가 한국에 있다면 좋겠지만...

아래는 원문입니다.

https://eetimes.itmedia.co.jp/ee/articles/1311/11/news072.html

추가로 전기 자동차는 동일한 ETCS에 스로틀 밸브의 각도 대신 모터에 공급하는 전류로만 바꾸지 않았을까...

그러고보니 문득 생각이 드는게 PC뿐만 아니라 휴대폰이니 ap등등 전자제어 장치는 모두 하드웨어 리셋 버튼이 있는데 왜 이 비싼 자동차는 하드웨어 리셋 버튼이 없을까요?

게임하다가 조금만 버벅거려도 환불하느니 하는 사람들 많은데..

당신은 지금 갑저기 앞으로만 달려가면서 컨트롤이 안되는 버그가 언제 일어날지 모르는 온라인 게임을 즐기고 있습니다.

과금은 당신 목숨과 수천만원의 돈이구요.

이런 게임이 있는데 한 번 해보실라우?

giip :: Control all Robots and Devices! Free inter-RPA orchestration tool! https://giipasp.azurewebsites.net/