Конечно, можно наложить защитные слои на детерминированный планировщик, но критический путь нужно изолировать. Задействуй две копии конечного автомата, синхронизируй их по отдельной шине, не используемой для передачи данных реального времени, и откажись от резервной обработки, которая может внести дрожание. Относись к резервной системе как к "тени", которая включается только при сбое, а не как к обычному пути. Так синхронизация останется чистой, и при этом сохранится избыточность, если что-то пойдет не так.