1) папку типа protected я бы расположил не на уровне паблик-файлов index.php и .htaccess, а на уровень выше document_root. тогда это будет реальный protected без всяких .htaccess в ней и т.п
2) нужно использовать пространства имён, и соотвественно можно делать автолоадинг на них
3) не понимаю этой помешанности на синглтонах, паттерн очень сомнительный, не уверен что аппликая это обязательно один экземпляр. а если и один, то вряд ли здесь есть какая-то практическая польза от использования этого паттерна
4) по active record ничего не скажу, не люблю этот паттерн
5) чем полезны в контроллере call и callStatic? может быть просто сделать обработку всех возможных типов ошибок и исключений в ядре, включая syntax errors и т.п?
6) ну и html из контроллера и так понятно, что плохое решение. и это куда важнее, чем тот же active record. т.к нету пока что MVC, а только MC. все пункты достаточно субъективны, надеюсь никого не обидел