Чаще всего такое бывает, когда какой-то сервис активно пишет в файл данные, а этот файл вручную удаляют. Сервис ничего не знает про удаление и продолжает писать в удаленный файл. Такое обычно бывает с логами, например веб сервера.
В итоге вы не можете управлять занимаемым местом, так как файл удален, но приложение все еще держит его открытым и пишет в него. Посмотреть на такие удаленные файлы можно с помощью lsof.
# lsof | grep '(deleted)'Чтобы избежать таких проблем, после ручного удаления перезапускайте сервис, который использовал удаленный файл. А еще лучше настраивайте мониторинг свободного места и ротацию логов.
Одну из таких ситуаций я рассмотрел в статье - https://serveradmin.ru/disk-zanyat-na-100-i-ne-ponyatno-chem-df-i-du-pokazyivayut-raznyie-znacheniya/