Alternância de partição por hardware, isolamento de escrita em flash e fallback em menos de 420 ms garantindo confiabilidade absoluta contra travamentos.
Quando uma nova imagem é finalizada no Banco B, o cliente de telemática grava um sinalizador de atualização atômico. Ao reiniciar, o bootloader tenta inicializar o Banco B. Se ocorrer falha de watchdog ou pânico de kernel antes que o autoteste confirme o sucesso, o contador decrementa até acionar o retorno imediato ao Banco A.