Типичная проблема - большие логи, которые удалены, вернее, количество хардлинков у которых меньше единицы. С точки зрения системы файл удалён, на деле же он может быть открыт на запись/чтение и не удалён физически. lsof +L1 покажет список таких файлов. Ну и выход из такой ситуации - только перезапуск сервиса, который держит файл.