Achtung OT: Es kann durchaus sein, dass es diesen kritischen Moment eben nicht gibt. A&H könnte durchaus mit zwei Flashspeicherbänken arbeiten, von denen nur eine aktiv ist. Dann würde beim Update die inaktive beschrieben und ganz am Ende ein Bit geflippt, das angibt, dass ab sofort eben die andere Bank aktiv ist. Beim nächsten Update dann wieder umgekehrt.
Das wäre wirklich sicher, denn bis zum Umschalten passiert einfach gar nix, und das Umschalten selbst ist atomar - das heißt, entweder läuft danach die alte oder die neue Firmware. Einen undefinierten Zustand gibt es somit zu keiner Zeit.
Das klingt sehr plausibel und hört sich für mich so an, wie es sein sollte!
Leider machen es einige Hersteller nicht so oder haben es mindestens in ihren letzten Baureihen vor den aktuellsten Produkten noch nicht so gemacht. Allerdings gibt es zumindest Pfade, wie man mit Zugriff aufs Betriebssystem ein geladenes firmware update nochmals neu schreiben kann.