Мы, кажется говорили об overlayfs? На флешке два раздела: FAT и
EXT3. Загрузчик подбирает с FAT-раздела ядро с вкомпиленной
маленькой ramfs и запущает его. Инитскрипт чекает раздел EXT3 и
если он годен - монтирует поверх своего rootfs, после чего все
работает оттуда с обновленным софтом и прочим блекджеком. При этом
FAT-раздел вообще не смонтирован и никто туда ничего не пишет. Если
раздел EXT3 покоцан - то ничего не монтирует, дает зеленый свисток
в зенит и ждет коннекта по SSH. Зайдя по SSH можно спокойно отформатить раздел EXT3 и залить всякое. При необходимости обновить ядро - раздел FAT монтируется, делается копия старого ядра, заливается новое ядро, reboot. Загрузчик умеет откатываться на старое ядро, если с новым проблема.