Projetando memórias flash à prova de falhas: validação criptográfica no banco passivo e rollback em sub-segundos se o boot falhar.
Antes de alternar bancos, o Módulo de Segurança de Hardware (HSM) valida a assinatura digital (RSA-4096 ou ECDSA P-384) do novo kernel. Se um único bit falhar por radiação ou adulteração, o bootloader descarta o novo banco e continua no original.
Ao iniciar no novo banco, o sistema entra em período probatório com um watchdog de 30 segundos. O orquestrador precisa validar telemetria de freio e direção antes de renovar o timer. Se houver kernel panic, o timer expira e o carro volta ao banco antigo em 800ms.