Isso é o que eu faço quando enfrento esse problema. Isso não é uma regra, mas apenas compartilhar minhas ideias.
1)
Verifique a saída de df -kh e confirme onde está /dev/xvda1 montado. (digamos o diretório / var)
2)
Se /dev/xvda1 estiver sendo preenchido rapidamente, haverá muita E / S acontecendo sobre ele.
Experimente e veja a saída do comando iotop (se tiver), se não ignorar este passo.
2.1)
Se você obtiver a saída do iotop, veja o processo que está fazendo o máximo de E / S na tela. Deve ser um dos melhores se o espaço estiver se enchendo tão rápido.
Anote o PID do processo.
Depois disso, verifique o seguinte
%código%
No final da saída do comando lsof -p <PID> <---- PID that you noted down , você vê algo como
rsyslogd 1171 root 0u unix 0xffff8800379e8700 0t0 11328 /dev/log
rsyslogd 1171 root 1w REG 8,1 628182 3540277 /var/log/messages
rsyslogd 1171 root 2w REG 8,1 27890 3540278 /var/log/secure
rsyslogd 1171 root 3r REG 0,3 0 4026532040 /proc/kmsg
rsyslogd 1171 root 4w REG 8,1 6375 3540279 /var/log/maillog
rsyslogd 1171 root 5w REG 8,1 15228 3539742 /var/log/cron
Anote os valores como 0u, 1w, 2w etc. Estes são descritores de arquivos abertos por esse processo. Um dos descritores de arquivo será aquele em que os dados serão gravados rapidamente.
3) Supondo que você não tenha nenhum outro diretório no diretório / var montado em um dispositivo de bloco diferente, faça o seguinte (se fizer isso, faça ping novamente, talvez precisemos de mais algumas informações sobre o sistema)
cd /var <--- the directory which you saw where /dev/xvda1 was mounted.
find . -maxdepth 1 -type d -exec du -hs {} \;
Isso apresentará o diretório que mais consome espaço no diretório / var. Pode ser que você tire alguma vantagem daí.
Deixe-me saber se algo der certo ou não.
Aviso:
Estou supondo que o seu lsof esteja montado em algum diretório e não faça parte de algum LVM, SWRAID, etc. Se os comandos acima não ajudarem nada (de preferência se o Passo 1 não tiver saída sobre / dev / xvda1), sabemos que compartilhamos mais etapas para investigar.