Используй двухступенчатую систему проверки с последовательным исполнением: каждая команда должна проходить через два независимых процессора, а при любом расхождении запускай откат. Добавь сторожевой таймер, который отключит питание при отсутствии сигнала, и мастер-журнал, который автоматически переводит систему в безопасный режим при любой аномалии.