出自はデンマークとAda、ボーイングやエアバス採用のRTOS「Deos」と「HeartOS」：リアルタイムOS列伝（40）（2/3 ページ）

IoT（モノのインターネット）市場が拡大する中で、エッジ側の機器制御で重要な役割を果たすことが期待されているリアルタイムOS（RTOS）について解説する本連載。第40回は、ボーイングやエアバスをはじめ航空機で広く採用されているRTOS「Deos」と「HeartOS」を取り上げる。

[大原雄介，MONOist]

航空業界向けから軍事寄りにビジネスフォーカスを移す

　1991年には、InterATCからAdaとJOVAIAL言語のビジネスを買収し、これを幅広く展開する。MIL-STD-1750AおよびMIPS R3000対応のAdaコンパイラや、同じくMIL-STD-1750AおよびZilog Z8002向けのJOVAILコンパイラなどが提供された他、DO-178 DAL-A準拠のAdaランタイムも同じく1991年に提供を開始している。DO-178は航空機に搭載されるシステムのソフトウェアに関する規定であり、DALはDesign Assurance Level（設計保証レベル）を意味する。DALにはレベルA〜Eまでの5つがありレベルAは“Catastrophic（故障すると破滅的な影響がある）”用途向けに、故障率を飛行時間当たり1E-9（つまり1兆時間あたり1回）以下にすることを求められる仕様である。同社のAdaランタイムはこれを満たすことが認証されたわけだ。

　さてこのあたりまでDDCはコンパイラとランタイムに注力していた訳だが、セーフティクリティカルなシステムでは単にコンパイラやランタイムだけでなく、RTOSもまた同じようにセーフティクリティカルであることが求められる。これまでDDCは自社のランタイムを、（顧客が選んだ）さまざまなRTOSに移植するという形で作業を行ってきたが、そろそろ「だったら自分たちでDO-178 DAL-A準拠のRTOSを開発して提供した方が楽じゃね？」と考えたようだ。

　DeosとHeartOSがそれで、実はどちらももともとはHoneywell Internationalが開発して、自社で提供していたものである。1998年にはDeosがDO-178 DAL-Aの認証を取得している（取得そのものはHoneywellが行った）。この時点ではまだDeosもHeartOSも、あくまでHoneywellのソリューションであったが、DDCはこれを広範にライセンスすることを考えたようだ。

　背景にあるのは、1997年に米国防総省が方針を転換し、Adaの利用が機器の必須要件でなくなったことだ（これはその前から兆候はあった）。これが実現すると、AdaのエキスパートというDDCのアドバンテージが薄れてゆくのは明白であり、これに対応して新しいビジネスの柱を打ち立てたいと考えたとしても不思議ではない。最終的にDDCはHoneywellからDeosおよびHeartOSとこれに関わる資産一式（これらの中にはDeosなどの開発に携わったエンジニアも含まれる）を買収し、2008年にDeosとHeartOSのライセンス提供を開始している。

　ちなみにこれに先立つ2003年、Ada関連製品の売り上げが急速に落ち、同社は損失を計上している。これに先立つ2001年には9.11事件があって航空業界の売り上げが大幅に落ちており、2003年はイラク戦争とSARSの影響でさらに売り上げが落ちた。これを受けて同社は航空業界向けからもう少し軍事寄りにビジネスのフォーカスを移している。こうなるとそもそもデンマークに拠点を構えているのが不利であり、そこで2003年にはデンマーク拠点を完全に閉鎖。1986年に設立したアリゾナ州フェニックスの米国拠点に本社機能を移動した。このタイミングで社名もDDC International A/Sから現在のDDC-Iに変更している。

　さてそんな形で一般的に提供されるようになったDeosとHeartOSであるが、特徴はよく似ており、どちらもセーフティクリティカルな用途向けである。Deosの方はDO-178C／ED-12C DAL-A対応に加え、ARNIC 653 APEX（航空機のアビオニクス向けソフトウェアの標準インタフェースを定めたのがARNIC 653で、このためのRTOSのためのメモリ空間をアプリケーションの空間から分離するための拡張APIがAPEX（APplication EXecutive）として追加定義されている）に準拠した製品である。

　他にも以下のような規格にオプションで対応可能であり、航空機向けシステムのほぼ全ての場所で利用されることを前提にした構成である。

• DO-178C/ED-12C Verification Evidence (Artifacts) to Design Assurance Level A
• DAPOSIX 1003.1 subset targeted at FACE Safety Extended Profile
• ARINC 653 p4 (ARINC Specification 653 Part 4)
• ARINC 615 (ARINC Specification 615 Target Data Loader)
• ARINC 664 (ARINC Specification 664 Data Bus)
• File System (ARINC Specification 653 Part 2)
• Certifiable Fast File System - Data Streaming File System
• AFDX - Avionics Full-Duplex Switched Ethernet