Ausfallsichere Flash-Speicherlayouts: Kryptografische Verifikation in der passiven Bank und Sub-Sekunden-Rollback bei Boot-Fehlern.
Bevor der Bootloader Bänke tauscht, prueft das Hardware-Sicherheitsmodul (HSM) die RSA-4096- oder ECDSA P-384-Signatur des neuen Kernels. Ist nur ein Bit durch kosmische Strahlung gekippt, verwirft der Bootloader das Update und bleibt auf der sicheren Bank.
Nach dem Booten auf der neuen Bank laeuft ein 30-Sekunden-Hardware-Watchdog. Der Orchestrator muss den Erfolg kritischer Brems- und Lenkdienste bestaetigen, bevor er den Watchdog bedient. Bei einem Kernel-Panic laeuft der Timer ab und bootet die alte Bank in 800 ms.