A method and system have a feature of rewriting an application program to a nonvolatile rewritable memory in a way that allows for prevention of execution or corrupted program or recovery from failures that occur during execution of the application program. Before writing the application program to a first segment of the memory, an indicator is written to a second segment of the memory, indicating that the first segment of memory contains "invalid" information. At least the first segment, but not the second segment, is then erased and the application program is then written to the first segment. If the writing process is not completed, perhaps due to an unforseen disturbance (e.g., power outage) in the system, the first segment retains the indicator without changing the indicator's value. However, if the writing process is completed, a control processor determines that the writing process is completed and changes the indicator in the first segment to a value indicative of "valid" data. Prior to subsequent attempts to execute the application program, the value is checked, and if the value indicates the presence of invalid data, process control does not transition to the application program. A delay provision is also included for providing a window of opportunity to issue a command signal during a predetermined time interval that causes the process flow to not transition to the application program, even if the indicator indicates the application program contains valid data.

Um método e um sistema têm uma característica de reescrever um programa de aplicação a uma memória rewritable permanente em uma maneira que permita a prevenção da execução ou do programa corrupted ou a recuperação das falhas que ocorrem durante a execução do programa de aplicação. Antes de escrever o programa de aplicação a um primeiro segmento da memória, um indicador é escrito a um segundo segmento da memória, indicando que o primeiro segmento da memória contem a informação "inválida". Ao menos o primeiro segmento, mas não o segundo segmento, é apagado então e o programa de aplicação é escrito então ao primeiro segmento. Se o processo da escrita não for terminado, talvez devido ao unforseen o distúrbio (por exemplo, outage do poder) no sistema, o primeiro segmento retem o indicador sem mudar o valor do indicador. Entretanto, se o processo da escrita for terminado, um processador de controle determina que o processo da escrita está terminado e muda o indicador no primeiro segmento a um valor indicativo de dados "válidos". Antes das tentativas subseqüentes de executar o programa de aplicação, o valor é verificado, e se o valor indicar a presença de dados inválidos, o controle do processo não transição ao programa de aplicação. Atrasa a provisão é incluído também fornecendo uma janela da oportunidade de emitir um sinal do comando durante um intervalo predeterminado do tempo que cause o fluxo process não à transição ao programa de aplicação, mesmo se o indicador indica o programa de aplicação contem dados válidos.