In de fabriek van Volvo in Göteborg rolde deze week de eerste Volvo EX60 van de band. ICT Magazine was erbij en sprak CTO Anders Bell over software bouwen voor 2,5 ton wegende hardware die op snelheid voortbeweegt.
De sfeer in de fabriek in Torslanda in Göteborg was feestelijk. De Zweedse viceminister-president Ebba Busch was aanwezig, net als oud-premier Magdalena Andersson. Volvo’s fabrieksmedewerkers kregen een verlengde lunchpauze zodat de massaal toegestroomde media en dealers de fabriek in konden lopen om het moment te aanschouwen dat het eerste exemplaar van de EX60 van de productieband rolde. CEO Håkan Samuelsson vergeleek het moment met de lancering van de XC60 twee decennia geleden, de auto die Volvo naar de premiummarkt bracht. Busch verwoordde het groter: “Volvo is niet zomaar een bedrijf in Zweden. Het is verweven met de ziel van ons land.” De EX60 is ontworpen in Göteborg, ontwikkeld in Göteborg en gebouwd in Göteborg. Alle software is geschreven in Zweden. In een tijd waarin Europa zijn technologische positie steeds nadrukkelijker bewaakt, is dat een bewuste keuze.
Anders Bell is Chief Engineering & Technology Officer bij Volvo Cars en al meer dan twaalf jaar betrokken bij het bedrijf. Hij is de architect achter de beslissing om alles in eigen huis te bouwen: van de centrale compute tot de cybersecurity, van het besturingssysteem tot de toolchain. En hij is ook degene die het meest open is over wat dat heeft gevraagd. “Automotive software engineering op schaal bestaat pas 5 jaar,” zegt Bell. “Er is geen blauwdruk en de mensen die dit eerder hebben gedaan, zijn er simpelweg nog niet.”
De afgelopen 5 jaar bouwde Volvo daarom stap voor stap een volledige softwarefabriek op in Göteborg. Het bedrijf kiest bewust voor één softwaremaster en één unified operating system, van waaruit alle updates tegelijk worden uitgerold naar alle modellen op de weg (waarover later meer). De testregimes, de toolchain, de manier waarop software geconfigureerd wordt vanuit die ene master naar meerdere autogeneraties en vier fabrieken: het moest allemaal van de grond af worden uitgevogeld en opgebouwd.
De diamant slijpen
Bell omschrijft die afgelopen 5 jaar als het omzetten van steenkool onder druk. “Zet er genoeg druk op en het wordt een diamant. Nu moeten we die diamant slijpen.” De ruwe jaren van bouwen zijn voorbij. Bell is eerlijk over wat er mis ging. De eerste software-defined vehicles van Volvo, de EX90 en zijn opvolgers hadden een moeizame start. Softwareproblemen die normaal gesproken binnen de muren van het bedrijf blijven, bereikten soms de klant. “Dat is een harde ervaring,” zegt hij. “Maar we zijn daar nu voorbij.” De EX60 rijdt op dezelfde software als zijn voorgangers, alleen is die inmiddels gehard door jaren van gebruik, miljoenen kilometers en de corner cases die je alleen ontdekt als mensen de auto in het dagelijkse leven gebruiken.
Wat automotive software zo anders maakt dan reguliere enterprise IT, is niet de complexiteit van de code zelf, maar de context waarin die draait. “Het gaat er niet om of je kunt programmeren,” zegt Bell. “Het gaat om programmeren in een automotive context.” Een fout in een bedrijfsapplicatie levert een melding op bij de helpdesk. Een fout in een rijhulpsysteem kan andere consequenties hebben. Die realiteit dwingt tot een manier van werken waarbij elke regel code door een strak systeem van veiligheidseisen, functionele tests en architectuurkeuzes moet voordat hij in een auto terechtkomt.
Bij Volvo vertaalt zich dat in 20 complete software builds per dag. Elke 4 uur wordt de meest stabiele build geselecteerd en automatisch door een volledige regressietest gejaagd, dag en nacht, zeven dagen per week. Wat klanten daarvan zien is bewust beperkt: 4 releases per jaar, afgestemd op de fabrieksplanning. De snelheid zit achter de schermen. Wat naar buiten gaat, moet stabiel zijn.
Updates op schaal
Volvo rolt momenteel een grote over-the-air (OTA) update uit naar meer dan 2,2 miljoen auto’s. Die update gaat, vanuit diezelfde ene softwaremaster, naar alle voertuigen die sinds 2020 van de band zijn gerold. De nieuwste modellen worden standaard geleverd met conversational AI, mogelijk gemaakt door een samenwerking met Google Gemini: je kunt met je auto praten, vragen stellen, een route plannen of zelfs een tekst laten transcriberen. Diezelfde functionaliteit krijgen nu ook de auto’s uit 2020. Voertuigen die van de band rolden voordat grote taalmodellen bestonden. “In 2020 hadden we geen idee dat dit ooit mogelijk zou zijn,” zegt Bell. “LLM’s bestonden nog niet eens.”
De succesratio van die OTA-updates is 99,9 procent. Maar Bell kijkt niet naar de 99,9. “De resterende 0,1 procent mag alleen bestaan uit goedaardige fouten,” zegt hij. “Een update die mislukt maar opnieuw geprobeerd kan worden: prima. Een update waardoor je de auto niet meer kunt starten: rampzalig.” Want 0,1 procent van 2,2 miljoen auto’s is nog altijd veel te veel om luchtig over te doen.
Als er toch iets misgaat, gaat het team direct de diepte in. Niet de geslaagde updates staan centraal, maar de mislukte. Bell: “Dat zijn de gevallen waar we geobsedeerd door raken.” Zodra uit de monitoringdata blijkt dat mislukte updates zich concentreren op een bepaald land of een specifieke uitvoering van de auto, stopt de uitrol direct. Dat deel wordt apart gehouden terwijl de rest gewoon doorgaat. Volvo lost het probleem eerst op voordat die groep de update alsnog krijgt. “Ik zou nooit op de knop durven drukken voor 2,2 miljoen auto’s tegelijk.” Dat maakt elke uitrol een precisieoperatie.
Eén master, alles schaalbaar
De grootschalige OTA-uitrol naar 2,2 miljoen auto’s is alleen mogelijk omdat Volvo consequent vasthoudt aan één softwaremaster voor alle modellen. Een bug die wordt opgelost voor de ene auto, is automatisch opgelost voor alle andere. Een nieuwe functie hoeft maar één keer te worden ontwikkeld en komt beschikbaar voor het hele wagenpark. Dat bereik je alleen als je vanaf het begin de discipline hebt gehad om geen uitzonderingen te maken. Bell vergelijkt het met hoe Apple en Microsoft hun platforms beheren. “Als je echt goed wilt worden in software, moet je je richten op één platform,” zegt Bell. “Niet één per model, niet één per generatie, maar één. Alles wat je daarna doet, bouw je daarbovenop.”
Voor IT-organisaties die worstelen met meerdere productlijnen, verouderde systemen of gefragmenteerde codebases is dit herkenbaar. De verleiding om per project, per klant of per generatie een aparte branch te starten is groot en vaak begrijpelijk. Maar de prijs betaal je later, in testlast, in coördinatie en in de moeite die het kost om tempo te maken. Bell: “Software is een schaalbusiness. Je hebt schaal nodig om echt goede software te maken. En daarvoor heb je maar één softwareplatform nodig.”
Partners en grenzen
De één-softwaremaster-strategie betekent wel dat Volvo scherpe keuzes moet maken over wat het zelf bouwt en waar het op partners leunt. HuginCore, de centrale software-architectuur van de EX60, is volledig in Zweden ontwikkeld. Maar de chips waarop die software draait, komen van Nvidia en Qualcomm. De AI in de auto is van Google Gemini. Bell ontkent de afhankelijkheid niet. “We werken met technologiepartners voor de software en silicon, maar afhankelijkheid van leveranciers is niet nieuw voor ons,” zegt hij. “We werken al jaren samen met toeleveranciers voor de fysieke onderdelen van de auto, van remmen tot veiligheidssystemen.Dat vraagt altijd om uitwijkplannen en alternatieve bronnen. Voor onze technologiepartners geldt precies hetzelfde.”
Volvo beheert die afhankelijkheid met langetermijncontracten, alternatieve bronnen en uitwijkplannen. Bell vertelt over de brand die onlangs in een van Volvo’s eigen fabrieken in het Noorse Raufors plaatsvond. Het legde de productie stil voor precies één shift, niet langer. “Je drukt op de knop, het protocol ligt klaar en het crisisteam staat direct aan de slag,” zegt hij. Datzelfde denken past Volvo toe op zijn technologiepartners. Nvidia, Qualcomm en Google zijn strategisch en dus kwetsbaar. Afhankelijkheid is onvermijdelijk, zegt Bell, maar verrast worden is een keuze.
Bij data en privacy ligt dezelfde afweging. De integratie van Google Gemini roept vragen op over wat er met gespreksdata gebeurt, waar die wordt opgeslagen en of die wordt gebruikt om het taalmodel verder te trainen. Bell is daar helder over: alles is gebaseerd op toestemming, alles wordt geanonimiseerd en de klant bepaalt zelf of hij data wil delen. “Het is onze taak om ervoor te zorgen dat je denkt: ik vertrouw deze mensen, ik druk op akkoord,” zegt hij.
Dat vertrouwen begint volgens hem niet bij de juridische tekst van een toestemmingsformulier, maar bij de keuzes die Volvo maakt in hoe het met data omgaat. Alle data wordt geanonimiseerd. “We zijn niet geïnteresseerd in hoe jíj de auto gebruikt, maar in hoe mensen in het algemeen laden en hoe bestuurders omgaan met het systeem. We zijn geïnteresseerd in wat de auto ziet. Kunnen we dit beter doen? Kunnen we mensen veiliger maken?” Bovendien verkoopt Volvo actief in tientallen landen, wat het bedrijf dwingt tot naleving van privacywetgeving wereldwijd. “We zijn expert in global compliance”, glimlacht de CTO. Die zorgvuldigheid is geen bijzaak, maar onderdeel van een bredere filosofie: een software-defined product stelt voortdurend nieuwe vragen. Over data, over vertrouwen, maar ook over de vraag die elke softwareontwikkelaar vroeg of laat moet beantwoorden: wanneer is het goed genoeg?
Nooit af, maar goed genoeg
Een software-defined product is nooit af, zegt Bell. Je kunt altijd meer doen, meer integreren, meer functionaliteit toevoegen. Maar er is een moment waarop je besluit dat het goed genoeg is om de wereld in te sturen. De CTO heeft daar een pragmatisch criterium voor. “Als je het uitbrengt, moet het geweldig zijn,” zegt hij. Op dat moment is het dat ook. Maar de ontwikkeling gaat door, en wat vandaag geweldig is, voelt over vijf jaar gedateerd. Dat is geen probleem, dat is de bedoeling. De kunst is volgens Bell om klanten niet alleen tevreden te maken op het moment van aankoop, maar ze daarna te blijven verrassen. De conversational AI die nu wordt uitgerold naar auto’s uit 2020 is daar een voorbeeld van.
Dat Volvo op de goede weg zit, wordt bevestigd door een onafhankelijke beoordeling van S&P Global Mobility, die automerken jaarlijks beoordeelt op hun mate van software-defined volwassenheid, op een schaal van nul tot vijf. Volvo is de enige traditionele autofabrikant wereldwijd die de hoogste categorie, Level 5, heeft bereikt. Bell is blij met de erkenning, maar voegt er direct een kanttekening aan toe. “Ze missen naar mijn mening één element,” zegt hij. “De capaciteit van je softwarefabriek. Hoe goed ben je in staat om software te ontwikkelen, testen en valideren? Dat hoort erbij.” Het eindproduct beoordelen zonder te kijken naar de machine die het voortbrengt, geeft een onvolledig beeld, vindt hij.
Dat is ook de kern van wat Bell in Göteborg uitdraagt. Softwarekwaliteit op schaal is geen kwestie van goede intenties of slim programmeren. Het is een fabriek. Met testregimes, releaseprocessen, één softwaremaster en protocollen die klaarliggen voordat ze nodig zijn. In de traditionele auto-industrie benchmarkten fabrikanten elkaar voortdurend. Een merk keek wat Mercedes deed, wat BMW deed, en paste zijn eigen ontwikkeling daarop aan. Dat werkt niet meer bij software defined vehicles, omdat niemand dat eerder heeft gebouwd. Bell: “We kunnen niet meer naar concurrenten kijken en zeggen: dat moeten wij ook doen. Niemand heeft dit pad al bewandeld.” Reden voor Volvo om zelf de standaard te zetten. Vijf jaar geleden was het bedrijf nog op zoek naar een blauwdruk. Nu ís het de blauwdruk.