Во-первых, vfs.file.size на access.log
Во-вторых, cat /etc/logrotate.d/nginx
+ можно lsof`ом посмотреть /var/log и увидеть кто и что туда пишет
в один момент времени лог на 4гб скакнуть не мог, как часто вы свободное место в /var/log проверяете?
Кстати, в конце крафика, ступенькообразность заканчивается, изменили время забора метрики?