O espaço em disco disponível cai, enquanto o espaço usado permanece quase parado

Question

Recentemente descobri que em um dos meus servidores (Ubuntu 16.04) recebo quedas significativas em espaço livre em disco, em noites:

zoomparaasúltimas1h(apartirdeagora):

pode-se ver que isso acontece abruptamente. Há poucos minutos, quando executei watch df , vi que Available e Use% da partição montada em / mudaram muito rápido, mas Used só é diferente em 28B. Por exemplo. apenas quando o espaço em disco começou a cair:

Filesystem     1K-blocks    Used Available Use% Mounted on
/dev/simfs      52428800 7700776   4374316  64% /
devtmpfs         2097152       0   2097152   0% /dev
tmpfs            2097152       4   2097148   1% /dev/shm
tmpfs            2097152  209300   1887852  10% /run
tmpfs               5120       0      5120   0% /run/lock
tmpfs            2097152       0   2097152   0% /sys/fs/cgroup
none             2097152       0   2097152   0% /run/shm

e alguns minutos depois:

Filesystem     1K-blocks    Used Available Use% Mounted on
/dev/simfs      52428800 7700804   2354044  77% /
devtmpfs         2097152       0   2097152   0% /dev
tmpfs            2097152       4   2097148   1% /dev/shm
tmpfs            2097152  209300   1887852  10% /run
tmpfs               5120       0      5120   0% /run/lock
tmpfs            2097152       0   2097152   0% /sys/fs/cgroup
none             2097152       0   2097152   0% /run/shm

Portanto, minha pergunta é o que acontece lá, que o espaço em disco usado permanece quase constante, mas o espaço disponível não?

Eu executo 2 aplicativos da web no servidor, mas eles não permitem nenhum upload e o nginx diz que ninguém os acessa à noite. Eu realmente não esperava nenhuma alteração de disco neste sistema, excluindo logs. Eu tentei usar ncdu \ -e some_file durante o dia e à noite e, em seguida, diff , mas a saída é péssima para ler e comparar, por isso não posso dizer onde estão os arquivos novos / crescentes.

(em relação à segurança - ninguém está logado, exceto eu, e não consegui identificar nenhum processo incomum sendo executado, mas vou mergulhar nos logs mais tarde)