Вопросы на собеседовании: Embedded-инженер

Ежемесячные обновления платежного терминала должны сохранять boot target 250 мс и использовать доступный secure element. Спроектируйте anti-rollback, который блокирует старый уязвимый образ, но не уничтожает recovery после плохого нового образа.

Разместите A/B update в 4 МБ flash, пока приложение SIL-2 опрашивает на 5 кГц с дедлайном 100 мкс. Ожидается 12 релизов в год, а каждая активация может остановить устройство не более чем на 30 секунд.

Контроллер должен принимать подписанные релизы 12 лет без замены прошивки при каждой ротации или отзыве production signing key. Определите root, переход trust manifest, период перекрытия и правила rollback.

После отказа обоих application slots MCU на 100 МГц с 1 МБ flash должен возобновить monitor SIL-2 на 200 Гц за 5 секунд без доступа техника. Задайте минимальный recovery image, политику входа и аутентифицированный ремонт.

Линия выпускает четыре подключенных счетчика в секунду и дает provisioning идентичности 180 мс станционного времени. Спроектируйте создание или ввод ключа, привязку сертификата, блокировку fuses, повторы и аудит для двух миллионов устройств.

Спланируйте OTA rollout на 1,2 млн устройств за 36 часов без нарушения дедлайна управления 2 мс во время download. Задайте локальные лимиты ресурсов, cohort gates, ограничение доставки и stop criteria для бюджета поддержки 0,1%.

Контур 1 кГц должен закончиться за 300 мкс, пока закрытая калибровка хранится во внешней flash 8 МБ. Разделите authenticated boot и конфиденциальность калибровки, не вводя дешифрование в путь управления.

При RX DMA 40 МБ/с pipeline Cortex-M7 с cacheable memory должен обрабатывать каждый кадр 4 кГц за 100 мкс. Определите размещение буферов на полных cache lines, порядок maintenance и barriers, передачу владения и роль DTCM только для CPU.

Разместите задачу управления SIL-2 на 2 кГц с дедлайном 200 мкс рядом с parser, получающим 5 000 недоверенных событий в секунду, на одном Cortex-M33. Определите привилегии, MPU regions, права на периферию и проверяемую границу сообщений.

Memory review должен разделить 768 КБ SRAM между сбором 16 каналов на 10 кГц, цепочкой ASIL-C на 75 мкс, DMA banks, стеками и ростом. Дайте принудительные размеры regions и объясните, что ECC занимает и чего не занимает.

Разрешите конфликт flash layout: обычное управление должно стартовать за 120 мс из внутренней flash 1 МБ, а дешевая внешняя flash должна поддерживать A/B packages и power-safe repair. Откуда выполняется код и как сохраняется предыдущий package?

Ethernet ingress принимает 80 МБ/с, но выбранные команды должны достигать задачи управления 10 кГц за 100 мкс на SoC с 2 МБ RAM. Покажите zero-copy путь владения и место, где ограниченная safety-копия предпочтительнее.

Encoder выдает события на 20 кГц с требованием отклика 100 мкс и jitter менее 5 мкс, пока тот же Cortex-M7 пишет 10 000 записей/с. Распределите ISR, задачу, очередь и поведение при сбросе логов, затем задайте worst-case test.

Power review wearable должен совместить измерение движения 200 Гц, 20 BLE-пакетов/с, обнаружение падения за 50 мс и 14 дней от батареи 180 мАч. Какую работу можно группировать, а какая должна оставаться causal?

Production-устройства ASIL-C имеют только 4 КБ trace RAM и не имеют постоянных ETM pins, но контуру 5 кГц на Cortex-R5 нужны доказательства дедлайна 120 мкс. Спроектируйте маловлияющий production profiling и его связь с лабораторией.

Задача 10 кГц в среднем занимает 35 мкс, но имеет дедлайн SIL-2 100 мкс, пока 3 000 bus frames/s создают burst interference. Какая ограниченная реализация и метрика приемки заменят вводящее в заблуждение среднее?

В сети 45 узлов и загрузка classic CAN 70%, при этом 180 сигналов идут на 100 Гц, а дедлайн команды ASIL-B равен 5 мс. Сравните сохранение CAN, переход на CAN-FD и совместимый отдельный сегмент.

Постройте расписание CAN-FD для 60 ECU и 2 500 кадров/с на шине 2 Мбит/с, если запросы торможения ASIL-C должны приходить за 2 мс. Задайте приоритеты, резерв нагрузки и policing отправителей.

Восемь потоков камер делят switched Ethernet с сообщением actuator уровня ASIL-B, чей end-to-end дедлайн равен 250 мкс. Постройте TSN schedule, выберите guard band или preemption и задайте admission rules вместо простого перечисления протоколов.

Каждый сэмпл wearable имеет 16 бит, поток идет на 1 кГц, а радио отправляет 50 BLE notifications/s при дедлайне тревоги 100 мс. Negotiated ATT MTU не меньше 43, поэтому 20 сэмплов помещаются в 40-байтный notification payload; если такой MTU недоступен, нужно решить fragmentation или изменить частоту notifications. Определите batching, приоритет тревоги и connection timing.

Пять поколений прошивки должны взаимодействовать десять лет, обрабатывая 4 000 protocol messages/s и доставляя команды SIL-2 за 1 мс. Определите negotiation версий и правила изменения семантики safety-команд.

Проведите review ABI между bootloader и приложением для MCU уровня ASIL-B, который загружается за 200 мс и должен пережить 15 независимых релизов прошивки. Какие handoff data и services остаются стабильными, и что происходит при несовпадении версий?

Три продуктовые линейки используют MCU на 100, 200 и 400 МГц, но делят контракт сбора 5 кГц с дедлайном 150 мкс. При команде из шести platform engineers решите, что войдет в общие driver interfaces, а что останется target-specific.

Для миллиона ECU уровня ASIL-C нужно обрабатывать 2 000 автомобильных сигналов на 100 Гц и runnable управления с дедлайном 2 мс. Сравните Classic AUTOSAR, RTOS framework и custom firmware с учетом нескольких поставщиков и программы на 24 месяца.

Шесть HIL racks должны обслужить девятимесячную validation-программу SIL-2 с 1 200 требованиями и критической цепочкой 1 кГц с дедлайном 300 мкс. Распределите тесты по риску и задайте timing evidence, расписание racks и трассировку.

За 12 недель нужно проверить ECU уровня ASIL-C, где контур 5 кГц имеет дедлайн 100 мкс рядом с 2 000 CAN-FD кадров/с. Спроектируйте fault-injection campaign с трассировкой от гипотез отказа до времени обнаружения и безопасной реакции.

У релиза IEC 62304 Class C есть 900 software requirements и восемь месяцев, чтобы доказать дедлайн 1 мс для терапевтического контура 500 Гц. Определите поддерживаемую цепочку от hazards и требований до кода и verification.

Приближается board freeze платформы SIL-2, где единственный поставщик MCU дает срок 40 недель, а revision B добавляет cache erratum. Контур 10 кГц должен оставаться в пределах 80 мкс; предложите second-source strategy и повторную квалификацию.

Прозрачная реализация на MCU фильтрует 12 каналов на 100 кГц, но нарушает дедлайн контура SIL-3 50 мкс на 18 мкс. При запасе BOM $4 и шести неделях до board freeze сравните более быстрый MCU с небольшим FPGA или DSP block и задайте доказательства для решения.

Architecture reviews находят девять interface defects на релиз, а timing regressions в control path ASIL-B с дедлайном 400 мкс попадают в HIL на две недели позднее. Спроектируйте mentoring и CI gate, чтобы сократить оба показателя на 60% за два релиза.

Задача на Cortex-M со стеком 512 байт начала вызывать HardFault после релиза, но устройство перезагружается до записи логов. Как локализовать и диагностировать проблему?

После обновления компилятора джиттер 100-микросекундного контура управления вырос на 20 микросекунд при допустимых плюс-минус 5 микросекундах. Что вы сделаете?

Фиксированный пул из 64 DMA descriptors модема исчерпывается после повторных переподключений к сотовой сети, хотя heap остается стабильным, и телеметрия останавливается. Как проследить владение, безопасно восстановиться и ограничить lifecycle descriptors?

Двухъядерный контроллер повреждает очередь команд примерно раз на миллион операций, а при включенной трассировке сбой исчезает. Как найти и исправить race condition?

После включения data cache на Cortex-M7 конфигурационные записи иногда не проходят CRC после выхода из low-power режима. Как изолировать повреждение кэша?

Шумный полевой вход создает шторм прерываний, занимает 98% CPU и вытесняет safety-задачу. Как вы отреагируете?

MPU fault начинается сразу после того, как непривилегированная задача получает RX DMA buffer от привилегированного driver. Как сохранить данные fault и проверить region, lifetime и privilege handoff буфера?

Новая прошивка вызывает редкие HardFault в парке из 400 000 устройств, но в лаборатории сбой не воспроизводится. Как расследовать его, не уничтожая полевые данные?

Образ RTOS достигает 92% CPU на пиковом трафике и начинает пропускать 10-миллисекундный deadline датчика. Как локализовать и перепроектировать планирование?

Пять процентов устройств попадают в boot loop после OTA-обновления, а остальные загружаются нормально. Как восстановить парк и найти причину, зависящую от когорты?

Потеря питания во время обновления bootloader превращает устройство в кирпич еще до запуска приложения из ROM. Как перепроектировать обновление?

Подтверждена компрометация production-ключа подписи OTA, а многие устройства останутся offline на несколько месяцев. Как локализовать инцидент и провести ротацию ключей?

OTA verification отказывает на устройствах, потерявших время RTC, потому что validity сертификата проверяется по недоверенным wall clock. Как авторизовать релизы через signed epoch или trusted-time bootstrap, не отключая signature checks?

После полевого reset данные показывают, что MCU активировал v8, а communication coprocessor остался на v7, и несовместимые команды сделали устройство недоступным. Как локализовать mismatch, восстановить согласованную пару и исправить activation?

Security review показывает, что recovery partition принимает неподписанные USB-пакеты, хотя обычная загрузка использует secure boot. Что вы сделаете?

После добавления проверки подписи cold boot вырос с 350 миллисекунд до 1,8 секунды и нарушил требование запуска за 700 миллисекунд. Как вернуть время, не ослабляя secure boot?

Нужно развернуть новый secure boot и application firmware на миллионе устройств шести аппаратных ревизий. Спроектируйте этапы rollout и stop criteria.

Delta OTA packages не проходят CRC на 0,2% старых плат, потому что их заводские базовые образы отличаются на несколько байт. Как исключить частичное обновление или применение к неверной базе?

Парк автомобильных контроллеров входит в CAN bus-off при конкретной последовательности исполнительного механизма и постоянно отключается. Как провести инцидент?

Fail-operational controller имеет две CAN-шины и должен продолжать принимать критичные команды после отказа любой из них. Как запланировать дублированные команды, обнаружить stale copies и доказать controlled failover?

Safety-продукт имеет две I2C-шины, а любой датчик способен навсегда удержать свою шину низкой. Как разделить sensors, switches, reset domains и degraded operation, чтобы один отказ не убрал все измерения?

Четыре DMA-канала конкурируют за одну шину SRAM и увеличивают control chain с 70 до 110 мкс при дедлайне 100 мкс. Как изменить arbitration, bursts и размещение памяти, а затем доказать WCET?

Embedded Ethernet gateway теряет 0,3% пакетов на line rate, но переполнения application queue нет. Где вы будете искать?

Медицинский BLE-датчик отключается при запуске новой высокоприоритетной задачи, но только при connection interval 7,5 миллисекунды. Как разрешить timing conflict?

Новый stepping MCU имеет silicon erratum, который может заблокировать peripheral при совпадении DMA completion и clock gating. Как безопасно внедрить workaround?

Обновление vendor HAL незаметно очищает reserved control bit и сбрасывает communication peripheral в production. Как управлять дефектом и зависимостью от vendor?

Factory fixture повреждает calibration records в одной производственной партии, из-за чего датчики дрейфуют в поле. Как вы отреагируете?

После firmware release время работы от батареи падает с 12 до 6 месяцев, хотя сам deep-sleep current не изменился. Как найти энергетическую регрессию?

После добавления sensor driver deep-sleep current вырос с 8 до 220 микроампер. Как изолировать домен утечки?

Устройства сбрасываются по brownout, когда радио передает одновременно с запуском двигателя, но лабораторный блок питания скрывает сбой. Как его исправить?

Чтение внешней flash отказывает только выше 80 градусов Цельсия на одной ревизии платы, повреждая assets. Как провести temperature-only failure?

Продукт не проходит тест radiated emissions из-за узкого пика на фронте PWM, но изменение PWM влияет на управление actuator. Как вы возглавите исправление?

Недорогой oscillator при минус 40 градусах Цельсия дрейфует достаточно, чтобы через несколько минут нарушить timing радио. Какой дизайн вы выберете?

Fleet telemetry показывает, что flash sector приближается к пределу endurance на годы раньше плана, потому что счетчик записывается каждую секунду. Как вы отреагируете?

FPGA ставит timestamps датчику в одном clock domain, а MCU объединяет данные в другом, вызывая редкие скачки на один sample. Как исправить cross-domain timing?

Review ISO 26262 обнаруживает diagnostic coverage 92% для цепи feedback actuator при требовании safety 99%. Что вы сделаете?

Watchdog reset может ненадолго включить actuator до восстановления безопасного состояния программой. Как перепроектировать startup и поведение watchdog?

Запланированная fault-injection campaign не запускает diagnostic, который поддерживает safety claim. Как решить, ошибается продукт или test rig?

Перед сертификацией выясняется, что safety requirement нельзя проследить до отгруженного binary, потому что generated code и compiler inputs не архивировались. Что вы сделаете?

Производственная линия запрограммировала неверный brownout fuse в 12 000 контроллеров до обнаружения отсутствующей readback check. Как определить охват и исправить дефект?

Выпущенный protocol parser меняет byte order одного 32-битного лимита actuator, и часть полевых устройств может принять опасно высокое значение. Как провести recall?

Assessor отвергает safety case, потому что утверждение о постоянном соблюдении control deadline основано только на месяце полевых логов. Какие доказательства вы добавите?

Safety release завершил validation, но за 100 000 часов HIL произошли два необъясненных reset. Launch назначен на завтра. Как принять контролируемое решение go или no-go?

Нужно мигрировать зрелый продукт с FreeRTOS на Zephyr без изменения 2-миллисекундного control deadline и полевого поведения. Как спланировать миграцию?

Из-за дефицита MCU у вас есть 12 недель на перенос safety-related продукта со STM32 на NXP. Что вы сохраните и что повторно провалидируете?

Vendor беспроводного модуля объявляет end-of-life через девять месяцев для продукта, который нужно поддерживать еще семь лет. Как выбрать между last-time buy и заменой?

Vendor DSP library сокращает алгоритм с 1,3 мс до 600 мкс при дедлайне 800 мкс, но source, WCET evidence и материалы safety qualification недоступны. Как сравнить прозрачную оптимизацию, новый MCU и degraded option, и когда библиотеку нужно отклонить?

На review инженер удаляет memory barrier и range check, чтобы сэкономить 12 микросекунд в safety-critical loop. Как вы отреагируете?

Инженер исправляет single-core race между ISR и задачей, запрещая прерывания на 400 мкс в пути с дедлайном 100 мкс. Как локализовать изменение, научить минимальной critical section или ownership fix и усилить review?

Intermittent reset возникает только в production lot C, а hardware, manufacturing и validation подозревают друг друга. Как провести briefing и вести инцидент?