Спасибо, буду думать. несрочно, так что еще и потестирую.
Да, в системе есть SD-карточка, на которую файл прошивки попадает разными путями. Файл уже содержит необходимые чексуммы, то есть его валидность проверяется.
И в системе есть резервное питание, то есть вероятность выключения питания во время такого обновления минимальна.
Но таки да, процесс небезопасный, и хочется уменьшить вероятность сбоя.
Я еще думал про второй (вспомогательный) бутлоадер, который просто является частью основной программы и используется только для обновления основного бутлоадера.
Задача защиты от чтения не стоит, это не ширпотреб (пока что