Waarschijnlijk zit uw auto vol gevaarlijke software

Toen ik nieuwe banden op mijn mini-motor had laten monteren moest iedereen heel hard lachen. De naam van de banden was namelijk nogal toepasselijk Pirelli Angel. Voor iemand die letterlijk aan zijn 4de leven bezig is weet ik waar ik over praat als we het over beschermengeltjes hebben.

Motor versus auto

Na 10 jaar motorjournalist te zijn geweest besloot ik, nadat een belastinginspecteur mijn online motormagazine doelbewust kapot had gemaakt, autojournalist te worden want dat was minder gevaarlijk dan motoren testen. Nou… ik was nog maar pas begonnen met auto’s testen toen ik op een dag een auto opgehaald had waarvan ik na een paar kilometer – in een haakse linkerbocht bij het oprijden van de snelweg – al het onbehaaglijke gevoel had dat er iets niet klopte. Een paar dagen later reed ik door de mooiste opritbocht van Zuid-Holland toen de auto van het ene op het andere moment volledig onbestuurbaar raakte. Zomaar ineens en zonder enige waarschuwing vooraf, dit wordt ook wel een ‘Unexpected bug’ genoemd (Unexpected bugs – problems that no one has thought of or situations that have been overlooked). Alle vaardigheden die ik tijdens meerdere anti-slipcursussen had geleerd hielpen niets, de auto was 100 procent onbestuurbaar en gleed weg naar links zonder dat ik daar ook maar iets aan kon doen.

Ik was achteraf blij dat mijn neefje bij mij in de auto zat als getuige en die zegt ook nu nog steeds dat het doodeng was en dat hij nooit meer zoiets heeft meegemaakt in een auto. Als dit was gebeurd op een provinciale weg met tegemoetkomend verkeer, dan hadden we dus op een tegemoetkomende auto, bus of vrachtwagen kunnen klappen. Ik ben daarna uitgestapt en terug gelopen om te kijken of er soms diesel in de bocht lag maar dat bleek niet het geval. Later die week gebeurde het nog een keer op de Schipholweg in Leiden, de auto gleed weer zomaar ineens weg naar rechts zonder enige waarschuwing vooraf.

Slechte recensie

Voor mij was het toen over en uit met deze auto en ik heb meteen na thuiskomst de importeur gebeld over wat er gebeurd was. Die reageerde nogal laconiek en na het terugbrengen hebben ze de auto uitgelezen en zeiden ze dat er niets mee aan de hand was.

Na een degelijke analyse kon het volgens mij maar één ding zijn en dat is een software bug in de elektronische demping. Als die namelijk niet werkt heeft een auto geen grip meer en raakt hij onbestuurbaar. Een auto heeft niet alleen maar grip vanwege de banden maar vooral vanwege de vering/demping, en met name die laatste is ongelofelijk belangrijk.

VOA

Nadat dit gebeurd was ben ik naar de VOA (=Verkeers Ongevallen Analyse) van de politie in Leiden gegaan. Ik wilde van hen weten, als ik verongelukt was doordat ik net op het verkeerde moment op de verkeerde plek was geweest, of zij dat dan wél hadden kunnen uitlezen uit de elektronica aan boord van de auto.

Het is mijn vermoeden dat er dingen geregistreerd worden in de elektronica van auto’s maar niemand schijnt het zeker te weten dan wel te willen bevestigen. Bij de VOA kreeg ik te horen dat zij die software bug in de elektronische demping niet hadden kunnen opsporen in het geval ik op een weg met tegemoetkomend verkeer op een tegenligger was geklapt en in het allerslechtste geval daarbij was verongelukt. Ik was dan vrijwel zeker als een dodelijk ongeval met oorzaak onbekend (= bijvoorbeeld bestuurder is onwel geworden) de boeken in gegaan. Dat was voor mij eerlijk gezegd behoorlijk onverteerbaar want de oorzaak was wel bekend, alleen niet op te sporen door de VOA van de politie. De grote vraag was toen uiteraard: hoeveel automobilisten zijn er al verongelukt bij een eenzijdig ongeval door een ‘unexpected’ softwarebug?

Dejà vu

Het is nu exact 9 jaar geleden dat dit gebeurd is maar het heeft me nooit meer los gelaten. Nog datzelfde jaar zocht de vaste fotograaf van de TVR Club contact met mij via Autotesten.nl en toen ik hem vertelde over mijn ervaring met die testauto met elektronische demping zei hij tegen mij: ‘Precies met die auto (zelfde merk) heb ik samen met een vriend een proefrit gemaakt via een autodealer van Merk X en we zijn toen in die mooie linkerbocht van Noordwijk aan Zee spontaan – dus zonder enige waarschuwing en precies zoals jij beschreef- de bocht uitgevlogen. We hadden gelukkig niet veel schade maar het was wel heel erg vreemd wat er gebeurde, want ik had op het bewuste moment totaal geen controle over de auto.’

Met lood in de schoenen reden hij en zijn vriend terug naar de autodealer. Het gekke was echter dat toen de autodealer de auto weer in ontvangst nam hij ze afwimpelde en ze dus ook geen schadeformulier hoefden in te vullen. Een uitermate vreemde manier om een schadegeval na een proefrit af te handelen.

En toen kreeg ik op een dag in maart 2013 (ruim 4 jaar na de test van auto Merk X) een mail van een Brabantse automobilist die mijn testverslag van die testauto met die software bug in de elektronische demping had gelezen. Zijn auto (merk Y) was ook van datzelfde concern en hij mailde dat hij exact had meegemaakt wat ik beschreven had. Ook zijn auto raakte in een bocht volledig onbestuurbaar maar hij had de pech dat hij een talud afreed, gelanceerd werd en daarna tussen opening van twee wegdelen van een viaduct (een kwartslag gedraaid) klem kwam te zitten. Zijn auto is daarna achter slot en grendel verdwenen bij de importeur van dat automerk.

Stuur vast

Dan gebeurt er amper een maand later weer iets geks met een testauto (merk Z) van – je gelooft het bijna niet – alweer hetzelfde concern. Middenin een bocht sloeg het stuur vast terwijl de motor gewoon draaide. Ik heb geen idee hoe ik door de bocht gekomen ben (ik deed veel aan fitness en was in topconditie) maar een bejaarde was waarschijnlijk rechtdoor geschoten en op de andere weghelft voor het tegemoetkomende verkeer beland.

Ik dacht in eerste instantie niet aan een software bug maar thuis gekomen ging ik het voorval analyseren en kwam tot de conclusie dat een vastslaand stuur met draaiende motor uitermate vreemd is. Het moet dus wel een software bug geweest zijn. Maar het verhaal hield hier niet op, het nam daarna een wending die ik nooit had kunnen voorzien.

Niet veel later was ik op bezoek bij één van Nederlandse beste autotuners (zij schrijven als één van de zeer weinigen hun eigen software) en toen ik hem alles vertelde wat mij tot nu toe was overkomen en wat ik te weten was gekomen zei hij: ‘Oh, daar sta ik helemaal niet van te kijken hoor. Wist je dat er tijdens de introductie van een nieuwe auto van een bekend Europees automerk een autojournalist is verongelukt omdat zijn stuur vast sloeg op het circuit?  De introductie is meteen afgeblazen maar gek genoeg is er helemaal niets over dit voorval te vinden op het internet toen ik die avond ging zoeken.

Je hebt dit niet van mij!!!

Een maand later kwam ik bij diezelfde autotuner een hele interessante man tegen die Nederlands beste tuner van het automerk Xxxx schijnt te zijn. Toen ik hem alles vertelde wat ik wist en wat mij overkomen was zei hij tegen mij: ‘Dit heb je absoluut niet van mij maar in alle Duitse auto’s met Bosch-componenten zit schaduw-software van Bosch.’

Toen moest ik weer denken aan die keer dat we (ik en een andere redacteur Jeffrey Sol) in 2007 met een Audi R8 naar de HAN (Hogeschool voor Autotechniek) in Arnhem waren gereden. Studenten autotechniek vertelden ons toen dat Duitse auto’s op een testbank konden detecteren dat er een uitlaatgas-meting plaats zou gaan vinden en dan automatisch overschakelden op een speciaal softwareprogamma (later  sjoemeldiesel henoemd) beter bekend onder de naam schaduwsoftware.

Dat was dus ruim 10 jaar voordat dit wereldwijd groot in het nieuws kwam! Verder vertelde deze autotuner mij in vertrouwen dat het Openbaar Ministerie een keer zijn hulp had ingeroepen in verband met een dodelijk ongeluk van een voetganger waarbij een Amerikaanse auto was betrokken. Er scheen in de USA software te zijn waarmee hij de snelheid en nog meer dingen kon uitlezen maar bij het OM hadden ze niemand  die daar mee overweg kon. Eigenlijk kreeg ik keer op keer alleen maar bevestigd dat er vreemde dingen aan de gang zijn in de autowereld op het gebied van Automotive Software.

Ook bussen getroffen

En neen, het is nog niet gedaan. Nog datzelfde jaar kreeg ik op een feestje van mijn werk te horen dat er ook in het openbaar vervoer dingen mis zijn. Ik kreeg het verhaal te horen van een buschauffeur die een raar ongeval had gehad met een bus bij Schiphol. De bus reageerde helemaal nergens meer op. Hij kreeg van zijn werkgever de schuld voor het ongeval omdat ze hem niet geloofden. Toen hij even later het contact had uitgezet en weer aan, functioneerde alles namelijk gewoon weer naar behoren dus vandaar dat zijn werkgever hem niet geloofde. Daarna vertelde hij mij dat er meer collega’s waren met dergelijke vreemde verhalen. Maar het werd nog veel gekker want in de lente van 2017 las ik tijdens mijn vakantie een artikel op RTL Nieuws waarvan ik meteen dacht: die man moet ik mailen.

Het ging om een man die alles, maar dan ook werkelijk alles wist van auto-elektronica. Hij gaf over de hele wereld les en zou net die week praten met een aantal Israëli’s die ook zeker geen domme jongens zijn op software- en elektronica-gebied. Voor ik hem echter te spreken zou kunnen krijgen moest ik hem eerst een mail sturen met alles wat ik wist en dan zou hij beslissen of ik de moeite waard was om mee te praten. Het antwoord was positief.

Nadat ik hem alles verteld had wat ik wist, bevestigde hij aan mij het bestaan van schaduw-software en ook zei hij dat in de elektronische componenten (bv. een airbag) van alle auto’s dingen geregistreerd (en steeds weer overschreven) worden zoals stuurhoek, wel of niet remmen, kortom er zit al een soort van zwarte doos of beter gezegd zwarte dozen in elke moderne auto.

Software b(r)ug

Ik kreeg ook nog info uit een andere hoek. Ik mailde met een professor Automotive Software van een Technische Universiteit in Nederland over mijn ervaringen vermoedens. Blijkbaar was die mail ook gelezen door een medewerker van hem. Deze medewerker mailde mij spontaan – dus zonder medeweten van zijn professor – zéér interessante informatie over softwarebugs in bruggen en sluizen. Ik denk dat iedereen in Nederland nog wel weet van de ellende met de Ketelbrug en niet zo lang geleden was er nog de 100-ste storing van de nieuwe Botlekbrug in amper 2 jaar tijd en, hoe kan het ook anders, de ellende met de brug op de Afsluitdijk. Dergelijke storingen kosten het bedrijfsleven vele tientallen miljoenen euros alleen al vanwege de ernstige verkeersopstoppingen die erdoor ontstaan.

De bewuste mail van de medewerker van die Technische Universiteit: ‘Dag Daan, misschien is het volgende verhaal behulpzaam. Bij Rijkswaterstaat heb ik vrij lang gepraat over mogelijke problemen met de software bij bruggen en sluizen. Pas nadat ik hierover op de televisie was geweest werd men toeschietelijker, waarbij de grootste zorg is dat de goede naam niet wordt beschadigd. Het hielp dat er bij herhaling voor iedereen zichtbare problemen waren met name met de Ketelbrug. Concreet hebben we daarna voor Rijkswaterstaat de software in de Algrabrug bij Krimpen aan de IJssel doorgerekend, waarbij er twee min of meer zorgwekkende fouten boven water kwamen (die neem ik aan inmiddels zijn hersteld), en er een reeks aan commentaar was over de structurering van de software (veiligheidskritische functies werden in de user interface geïmplementeerd). Bij Rijkswaterstaat ziet men het voordeel van dergelijke analyse (precieser: er zijn hier en daar mensen bij Rijkswaterstaat die voordeel zien…). We rekenen op dit moment een document door waarin de besturing van de toekomst van een brug staat beschreven, en komend jaar zullen we de vernieuwde sourcecode van de Brienenoordbrug ter hand nemen. Helaas wil Rijkswaterstaat hierover niets in de pers. ’

Doodgezwegen

Maar, geen enkele krant of blog in Nederland wil mijn verhaal over software bugs publiceren. Zelfs die zich altijd zo op de borst kloppende kritische actualiteitenrubrieken willen er absoluut géén aandacht aan besteden. Die mail van die medewerker van die Technische Universiteit spreekt voor zich lijkt mij. 1.000 regels softwarecode bevatten zo’n 25-40 software bugs en dan zou er helemaal nooit iets misgaan? Ik weiger dat te geloven.

Even ter vergelijking: de Boeing 787 Dreamliner heeft iets van 6,5 miljoen regels codering aan boord. Een moderne auto van BMW of Mercedes heeft maar liefst 100 miljoen regels code. Het komt er dus op neer dat de elektronica aan boord van die nieuwe BMW of Mercedes maar liefst 2,5 miljoen software bugs kan bevatten. Het is mijn vaste overtuiging dat er mensen dodelijk verongelukt zijn in auto’s ten gevolge van software bugs die vervolgens na onderzoek van de Verkeers Ongevallen Analyse van de politie de boeken in zijn gegaan als ‘oorzaak onbekend’ of ‘bestuurder onwel geworden’.

Gelukkig heb ik hele goede beschermengeltjes want als je na een motorongeluk als een menselijke torpedo met 180 km/u op minder dan 30 centimeter langs de vangrail bent gevlogen – de aarde van onder de vangrail zat op mijn helm – en alleen een bokserfractuur (=breuk middenhandsbeentje van de pink) hebt dan snappen jullie de titel denk ik wel. Maar ik zal nooit of te nimmer in een zelfrijdende auto stappen… tenzij ik de broncode mag laten verifiëren door een computer-expert zoals Philip Koopman of Yoav Hollander.