1. 你无法确定你试图向设备驱动发送的写指令是否成功?驱动程序本身一般都有缓存；

2. 即使写指令正常返回，你也无法确定设备实际上是否写成功，因为设备本身可能也有缓存。目前没有设备能保证写指令返回的情况下，所有数据一定成功的保存在介质上（但部分厂商能保证少量数据一定能成功写入），对存储设备的flush操作并非绝对可靠；

3. 哪些成功哪些失败可能是乱序的，换句话说，如果先发送写请求A，再发送写请求B，并且都成功返回，掉电时请求A可能丢失，但B成功（NCQ功能）；

4. 机械式磁盘可能会出现丢失半截数据的情况（比如，一个512字节扇区只写入了100字节，也就是题主说的bit级错误），但这种一般都会通过校验位检测出来。

因为有以上这么多的限制，实际上文件系统一般没办法保证数据一定不丢失，甚至哪些丢失哪些能恢复也是不确定的。

一般来说，文件系统有以下的几种策略：

1). 完全不管错误的事情，错了就错了；

2). 打标记位的方式，如果怀疑有错，通过磁盘检测功能恢复；

3). 在设计上保证文件系统结构上可恢复，但不保?用户数据可恢复；

4). 能在用户数据层面上保证数据的绝对正确。

第一种和第二种策略现在比较少见，FAT文件系统算是属于这类；主流文件系统基本上都能保证第三种，比如NTFS之类的；第四种比较难，一般都要配合存储驱动一起，多见于Flash介质的专属文件系统。

保证数据不损坏，具体的方案一般有：

方案1：Copy-On-Write，写数据的时候不在原来的位置写，而是先读一份，然后写到另外一个位置，当确认写成功时，把文件系统的指针指向新的位置。如下图：

实际应用中，比这个情况复杂，因为Data2写入的过程中，File1本身的一些信息（修改时间等）也发生了变化，所以CopyOnWrite产生的影响不止这一个块，而是很多。

方案2：日志（Journal）技术。使用日志记录meta-data甚至是数据块的变化情况（NTFS就是这种策略），一旦出现掉电情况，在日志中反推到一个正确的状态上，就可以保证meta-data不损坏。

常见的方案就这两种，当然还有别的更复杂的技术，比如Comparison of file systems，但不管用什么方案，本质上都是以牺牲性能为代价换取结构上的稳定。

那么文件系统如何保证数据的正确性？如果是指文件的数据部分，是无法保证的，因为文件系统无法确定数据到底写没写进去，绝大多数文件系统?能保证自身结构是正确的，但这个正确可能是回滚之后的状态，具体回滚多少内容，文件系统自己也不能保证。

这事说起来挺复杂的，不同文件系统，不同设备，不同介质，效果都是有区别的。