df 显示分区使用率 100%，du 统计各目录加起来却少很多，清理日志也没用。日志里能对上时间点，这种反而好排。
进程仍持有已删除文件的句柄，空间要等进程关闭或重启才释放。这一点先确认清楚，后面就不用反复试。
df -h du -sh /* 2>/dev/null | sort -h | tail lsof +L1 | head -20
「Linux 磁盘空间未释放」排查到最后往往是很小的一处差异，前面那些复杂猜测可以先放一放。线上出问题先对时间点，跟发布、备份、任务执行的时刻排一排，能省掉一半功夫。
日志级别临时调高可以，记得改回去，长期开着既占磁盘又掩盖真问题。权限不要一口气开到最大，先加到够用再往上试，范围小才好收。
把复现步骤压到三条以内，交给同事也能跑出来，才算真的定位清楚。改动写完就同步给同事，下一个人踩同一个坑，成本还是你的。
处理上按这个顺序：找出持有已删除文件的进程；重启或让进程重新打开日志；清理前先确认业务影响。
结果对不对很好判断，分区使用率明显下降，写入恢复正常，进程无需长时间停机。