Bei redundanten Systemen muß man ja alles was man einbringt in seiner Funktionsfähigkeit in Frage stellen.
Es muß dann also die Auswahl oder Entscheiderschaltung zusammen mit dem Umschalter deutlich sicherer sein als die zu schützende Einzelkomponente. Sonst läßt man die Redundanz besser weg denn weinger Teile sind zuverlässiger.

Ich schätze daß der Controller in einem individuellen Kleinsystem so ziemlich die erprobteste Komponente des Systems ist (von ein paar Montageschrauben abgesehen) und daß bei der HW die ganze individuell designte Interface Schaltung von Sensoren bis Aktoren vor allem auch in ihrem individuellem Aufbau, viel größere Unsicherheiten bietet.

Daraus leitet sich die Frage ab: Wodurch ergibt sich die größte Fehlerwahrscheinlichkeit in Systemverhalten. Ich schlage vor: Durch Unsicherheiten der Interpätation von Sensorsignalen und der Auswertung dieser Interprätation im Steueralgorithmus.
Redundanzansatz hierzu, noch einmal messen und die Wirkung der Aktoren durch weitere Messungen bestätigen. Im Zweifelsfall sicheren Systemzustand ansteuern, überprüfen und an Operator melden.
Bitte um weitere Kommentare.
Manfred