Triagem de um disco Linux cheio: df, du, arquivos apagados mas ainda abertos e o journal

Objetivo

Descobrir por que um sistema de arquivos aparece como cheio e liberar espaço sem adivinhar nem apagar o que não deve.

Pré-requisitos

Acesso root ou sudo; o ponto de montagem que está reportando falta de espaço (a partir de um erro de aplicação ou de um alerta de monitoramento).

Passos

1. Confirme qual sistema de arquivos e qual recurso está esgotado: df -h mostra o espaço de cada sistema de arquivos montado; df -i mostra o uso de inodes separadamente. Um sistema de arquivos pode estar com 100% dos inodes em uso e ainda ter espaço livre; nesse caso, apagar arquivos grandes não resolve.
2. Descubra para onde o espaço foi, sem atravessar para outros sistemas de arquivos montados: du -x -h --max-depth=2 /var 2>/dev/null | sort -h. A opção -x/--one-file-system impede que o du desça para outro sistema de arquivos montado dentro de /var e infle o total.
3. Verifique se há espaço retido por arquivos apagados que algum processo ainda mantém abertos. Eles nunca aparecem no du, porque a entrada de diretório já não existe; resta apenas o inode, até que o último descritor de arquivo seja fechado. Liste-os com lsof +L1, que mostra os arquivos abertos cuja contagem de links caiu para zero (ou seja, apagados). O kernel documenta esse mesmo estado com o sufixo (deleted) acrescentado ao destino quando um arquivo mapeado ou aberto é removido (unlink) enquanto ainda está referenciado.
4. Para cada entrada de lsof +L1, anote o PID e o comando e depois reinicie ou recarregue de forma controlada o processo (para um serviço systemd: systemctl restart <unit>). O espaço só volta ao sistema de arquivos quando o último descritor é fechado; apagar o caminho de novo não adianta, pois a entrada de diretório já não existe. Se o processo não deve ser reiniciado, é possível truncar o arquivo aberto por meio do seu descritor, com : > /proc/<pid>/fd/<fd> (o número do FD aparece na saída do lsof), o que libera os blocos imediatamente; um processo que continue gravando no deslocamento antigo produzirá então um arquivo esparso (sparse), de modo que reiniciá-lo na próxima janela de manutenção continua sendo a solução limpa.
5. Se o journal for o maior consumidor, verifique com journalctl --disk-usage e depois limite-o com journalctl --vacuum-size=500M ou journalctl --vacuum-time=2weeks.
6. Em ext2/3/4, verifique a porcentagem de blocos reservados, mantida fora do alcance dos usuários comuns (tune2fs -l /dev/sdX1 | grep -i reserved); reduzi-la temporariamente com tune2fs -m 1 /dev/sdX1 libera espaço para quem grava sem ser root, ao custo da margem de segurança que essa reserva existia para oferecer.

Resultado esperado

Depois do passo 6, df -h e df -i mostram folga; lsof +L1 não retorna mais entradas ligadas a serviços que deveriam ter liberado seus arquivos.

Limites e base de verificação

Baseado em df(1), du(1), lsof(8) e proc_pid_maps(5). Reiniciar um processo para liberar os handles de arquivos apagados causa uma breve indisponibilidade desse processo; faça backup ou anote o PID e o comando antes de reiniciar. Reduzir os blocos reservados do ext4 é reversível com o mesmo comando tune2fs -m e a porcentagem original.