Note that the jury in Oklahoma went with the software and found that Toyota owed each victim $1.5 million in compensatory damages and also found “reckless disregard”. The latter meant the jury was headed toward deliberations on additional punitive damages when Toyota finally called the plaintiffs to settle (for yet another undisclosed amount). I understand there are about 500 personal injury cases still working their way through various courts, including one set for trial in a few weeks in U.S. District Court in Santa Ana, California. And new incidents still occurring.

Цецо, в случая май ситуацията е друга. Тойота не е случайна компания, имат си самочувствие (то се вижда по цените им), имат имидж да защитават и т.н. Открито си признават, че доста време не са имали капацитет (разбирай хора) които да са нясно как се прави failsafe firmware, съответно много неща са правени от подизпълнители и никой в Тойота не е проверил кода който вграждат после в автомобилите. Имат нелоши кодинг рулес които не се спазват, и това на никой не му прави впечатление.
Цинизма е, че са сложили външен watchdog и нишката която си комуникира с него работи, въпреки че нишката която върши основната работа и се грижи за целоста на системата е умряла. Т.е. този watchdog не им решава никакъв проблем, единственото което прави е ако се натовари много процесора да го ресетне, не и ако процесора се омота щото тогава от нищоправене не е и натоварен. Абе ... жална им майка ... гледай сеир сега как ще се раздуха това по медиите ...
(Между другото във фирмата в която работя нещата не се правят през пръсти, всичко си е точно, съответно цените не са особенно конкурентни и фирмата не е цъфнала и вързала, но ми е кеф да работя както трябва да се работи, вечер лягам и заспивам спокойно, компромис с качеството не се прави)

Всичко това е странно на фона на защитите реализирани в хардуера против разни глупави издънки.
Например, на доста от автомобилите педалът за "газ" е с два датчика. При някои са свързани насрещно - когато напрежението от единия датчик се увеличава, на другия намалява. Следят се данните и от двата и ако има разлика над определен процент - дефектен датчик и в авариен режим.
Същото е и с датчиците на дроселите с електрическо задвижване.
Подобно е и с бутоните за запалване - с два контакта. Пак се следят и двата.
При някои при които стартерът се управлява от екуто, комутацията е през две релета - едно с нормално отворен контакт, и втори с нормално затворен.

Казано в резюме, подсигуряват се повече от добре, и такива тъпи издънки...

...а ОС-а отдолу останал по бели гащи - с 4к стек + рекурсия.