В MagOS у нас реализована следующая схема:
При выключении машины, когда уже процессы остановлены на самой последней стадии происходит сохранение changes.
А при старте системы все содержимое модуля сохранения копируется в changes.
Это сделано было в связи со спецификой работы aufs. Результат подключения модуля и его копирования - различный, это из-за перекрытий по whitelist. И как итог информация об удаленных файлах и каталогах - теряется.
Или у вас что-то хитрое с aufs сделано и нет такой проблемы?