Os dados estão obviamente distorcidos. Execute o logwatch manualmente ou execute sua "comparação" exatamente no mesmo momento em que o sistema executa o seu próprio.
Eu tenho um servidor RHEL 5 que recentemente ficou sem espaço em disco e agora nosso Logwatch para o servidor relata o uso de disco a seguir (acho que esta é a última noite precisa antes da partição / var ser preenchida):
Filesystem Size Used Avail Use% Mounted on
/dev/mapper/VolGroup00-LogVol00
62G 3.8G 55G 7% /
/dev/mapper/VolGroup01-LogVol00
198G 185G 2.8G 99% /var
/dev/cciss/c0d0p1 99M 24M 70M 26% /boot
Se eu fizer login no servidor e executar o df -h manualmente, recebo o seguinte resultado:
Filesystem Size Used Avail Use% Mounted on
/dev/mapper/VolGroup00-LogVol00
62G 14G 46G 23% /
/dev/mapper/VolGroup01-LogVol00
198G 174G 14G 93% /var
/dev/cciss/c0d0p1 99M 24M 70M 26% /boot
Eu verifiquei /usr/share/logwatch/default.conf/logwatch.conf e descobri que o diretório temp é /var/cache/logwatch , mas esse diretório não contém itens. Alguém sabe o que poderia fazer com que o logwatch exibisse dados antigos como esse?
@Tim fez a pergunta que me levou a esse caminho, por isso estou lhe dando crédito pela resposta correta.
O problema não era que os dados estivessem distorcidos, mas que havia alguns processos em execução que faziam o espaço em disco usado flutuar descontroladamente. Este servidor está executando seis instâncias do Moodle que tinham backups escalonados durante a noite. Alguns dos backups não foram concluídos e eles não limparam seus arquivos temporários. Parece que outro processo vem depois e limpa os arquivos temporários e aconteceu em algum lugar entre quando o logwatch rodou (4:00) e quando eu chequei manualmente (8:00).