Architecture de mémoire flash indestructible : vérification passive, signatures cryptographiques et retour arrière instantané en cas d'échec.
Avant toute bascule de partition, le module de sécurité matériel (HSM) contrôle la signature RSA-4096 ou ECDSA P-384 du nouveau noyau. Si un seul bit a été altéré par rayonnement cosmique ou attaque, le chargeur rejette la mise à jour et reste sur la version saine.
Après le démarrage sur le nouveau banc, le système entre en période probatoire de 30 secondes sous la surveillance d'un watchdog matériel. Les services critiques doivent valider leur santé. En cas de panique noyau, le watchdog bascule sur l'ancien banc en 800 ms.