Три слона, на которых все держится :
Минимальный состав ПО — только необходимое (systemd, SSH, OPC UA, Modbus, MQTT, TPM), всё фиксируется в конфиге
Автоматизированная CI/CD сборка — kas/CROPS для воспроизводимости, LAVA для hardware-in-loop тестов
Контроль supply chain — cve-check на этапе сборки, генерация SBOM через Syft/Grype для CRA compliance
Дополнительно разбираем безопасную загрузку (U-Boot + Verified Boot), адаптацию ядра с PREEMPT_RT для real-time, отключение лишнего (графика, unused drivers).
Почитать можно тут: https://outsource.rtsoft.ru/blog/yocto-bsp , уважаемые разработчики встраиваемого ПО🐧