Guida completa all'ingegneria del firmware automotive, radice di attendibilità hardware, layout dual-bank A/B, compressione delta e ripristino sicuro nei veicoli SDV.
In un veicolo SDV, il firmware non può bloccare il veicolo durante la scrittura. Microcontrollori e SoC moderni allocano due regioni identiche: Banco A (software attivo) e Banco B (inattivo). La nuova immagine viene scritta nel Banco B durante la marcia, seguita dalla validazione della firma. Allo spegnimento del veicolo, il bootloader imposta il vettore di reset sul Banco B.
Se un'immagine appena aggiornata fallisce durante l'avvio o genera corruzione di memoria, il watchdog hardware scade in assenza di heartbeat. Il bootloader rileva l'errore e ripristina automaticamente il puntatore al banco precedente validato, impedendo qualsiasi blocco permanente del veicolo.