[SVP]

Справедливо.
На ЭП10 так и сделано.
Вся система верхнего уровня резервирована на 100%.
Причем резерв горячий. Т.е. всегда параллельно работают обе системы. Получают все входные сигналы, делают расчеты и формируют управляющие воздействия. Только активно выдаются наружу управляющие сигналы одной из них. И если рабочая зависла, управление мгновенно передается на резервную систему.
Таким образом, однако, можно нейтрализовать зависания, вызванные внутренними сбоями в системе типа от электромагнитных помех, нарушений контактов, дефектов памяти и т.п.
А вот если комплекс входных сигналов попал в непредусмотренное в программном обеспечении состояние - тогда, конечно, "на знают, что делать" обе системы, и основная, и резервная.
Такие зависания можно лечить только накоплением опыта эксплуатации и соответствующими корректировками ПО.
Финальная стадия такой отработки ПО на ЭП10 заняла 2 года - фактичеки весь срок гарантийного обслуживания электрвозов.
Многовато, вообще-то.
Но некоторые ситуации встречаются в эксплуатации так редко, что, действительно, быстрее полностью зашлифовать ПО просто неполучается. Пока с проблемой не столкнешься - решить ее нельзя. И на ЭП10 таких вопросов было довольно много по разным причинам.