você pode verificar se há arquivos abertos (arquivos que são excluídos enquanto ainda estão em uso por qualquer processo) usando as seguintes ferramentas
lsof | sort -nrk 7,7 | head -20
e df -h /
e du -x -sh /
Na saída lsof, você pode ver a palavra-chave excluída dos arquivos excluídos. Por exemplo
root@demobox:/root : lsof | grep -i deleted
dsmcad 25449 root txt REG 253,0 4843037 459377 /opt/tivoli/tsm/client/ba/bin/dsmcad (deleted)
root@demobox:/root : ls -l /opt/tivoli/tsm/client/ba/bin/dsmcad
ls: cannot access /opt/tivoli/tsm/client/ba/bin/dsmcad: No such file or directory