Claim → código → teste.
Matriz versionada, conferida pelo CI: arquivo citado existe, teste definido é chamado, elo quebrado reprova o build.
Safety case · estado real, sem arredondar
O que está
provado. E o que não está.
Trabalhamos com IEC 61508 e ISO 26262 como roteiro. Esta página existe para você não precisar perguntar o que já foi feito — e para não descobrir depois o que ainda não foi.
Fechado.
Fase 1 do caminho de certificação concluída, com gate automático no CI a cada push. Nada aqui depende de alguém lembrar de rodar.
TCB limpo.
clang-tidy (bugprone/analyzer/cert) sobre loader, capabilities, MMU, hypervisor, scheduler, IPC e SMMU. Sujou, reprova.
Entrada não-confiável.
5M execuções por push no validador de .japp e nos validadores de ponteiro EL0, sob AddressSanitizer. Zero leituras fora dos limites.
Cobertura
estrutural.
MC/DC é o critério que a norma cobra nos níveis altos. Onde já está em 100%, é o mesmo código do alvo compilado em host — fonte única, sem cópia.
✅
Validadores de entrada
100% MC/DC e branches nos parsers de .japp, filesystem, CAN e na fronteira cognitivo→crítico.
✅
Decisões do scheduler
100% MC/DC nas funções de escalonamento, com objeto de alvo provado idêntico por hash.
✅
Mediação por capability
100% de linhas, branches e MC/DC — é onde a alegação de isolamento se apoia.
✅
IPC e protocolo de prioridade
100% de linhas e MC/DC, com herança e teto exercitados ligados e desligados.
✅
MMU
100% de linhas, branches e MC/DC no mmu.cpp — sem nenhum desvio justificado, o único arquivo do Tier A nessa condição. Gate de CI desde 09/08/2026. É onde a alegação de isolamento espacial se apoia.
O que ainda
falta.
Nenhum destes está pronto, e nenhum é escondido do cliente. Três dependem de terceiro ou de dinheiro; um depende do alvo do piloto.
Pré-assessment.
Avaliação de lacunas com uma certificadora independente. Até lá, o safety case é autodeclarado.
Ferramenta comercial.
MISRA completo e ferramenta qualificada de WCET (aiT/RVS), que converteria máximo medido em limite provado.
Silício do piloto.
Toda a campanha vale para o BCM2711. No alvo certificável ela é refeita do zero — WCET é por-alvo.
O Jidō OS é um protótipo funcional validado em silício, não um produto certificado. Não temos certificado CC, IEC 61508 nem ISO 26262, e não afirmamos ter. O domínio crítico é validado na Raspberry Pi 4; o hypervisor EL2 e o guest Linux são validados em QEMU.