autopilot redundancy