在 Linux 运维工作中。你是否曾经面对过这样一个“诡异”问题：根分区已近满，业务处于高峰期却又无法重启？df -h 显示根分区使用率逼近 100%。但 du 逐层扫描目录，却找不到占用几十 GB 的大文件。

这篇文章结合一次真实的 Tomcat 日志导致的根分区告警。从现象、排查思路、底层原理到完整方法，全程拆解，让你快速定位并解决这类空间“凭空消失”的困扰。

一、问题现象

1. 执行 df -h 查看磁盘。根分区 /dev/sda1 总容量 99G，已用 89G，使用率已达 90%+，仅剩 0.9G 可用，一旦写满就会导致业务异常。怎么说呢，
2. 执行 du -sh /*>/dev/null 统计根目录下所有一级目录大小。可见目录总占用仅约 20GB，与 df 的结果相差近 70GB。
3. 独立挂载的数据盘 /data 占用正常，无数据盘溢出的影响。

痛点： 你可能正处在业务高峰期。需要立刻释放空间，却又不想重启关键服务——这时传统方法往往无效。

二、逐层排查定位

当发现 df 与 du 不一致时先从最常见的两种情况入手：挂载点覆盖和已删除但未释放的文件。

. 排除挂载点覆盖

M 挂载前若已有大量文件写入，将被新挂载层完全遮盖。为确认可在业务低峰期卸载数据盘，再检查原生目录大小；老实说，本案例中数据盘正常，无此原因。

. 定位已删除未释放文件

此类问题概率最高。执行的观点是，

lsof | grep deleted

结果中若出现大量指向同一文件的进程条目。即说明该文件已被删除但仍被进程持有句柄。至于示例，

java root 1w REG,/home/.../logs/catalina.out
java root 2w REG。/home/.../logs/catalina.out
...

. 确认文件真实大小

/proc/PID/fd/ 是进程打开文件描述符映射。说起来，直接 stat 会显示链接本身。 需要加 -L 跟随链接读取目标文件：

stat -L /proc//fd/

. 理清 PID 与 TID 的误区

• PId: Tomcat 服务只有一个主进程；话说回来，TID: Java 多线程共享同一文件句柄。多条记录只表明多个线程引用同一 inode。
  
• SAME INODE → 同一物理文件，只需处理一次即可。

三、根因详细说明

. df 与 du 的统计原理差异

• : 从超级块读取已分配的数据块数量，不考虑文件名是否存在；只要块被占用即计入使用量。
• : 遍历目录树，仅累加可见文件大小；删除后的隐藏文件无法计入。

. Linux 文件删除的本质

L 文件由三部分组成：

1. 再看dentry，包含名字 + inode 编号；按理说，inode：元数据，如权限、时间戳等；data blocks：真正存储内容的磁盘块。老实说，
   

: 删除目录项。将 inode 链接计数减一。只有满足以下两条件才真正释放磁盘块：

• inode 链接计数为零；进程打开计数为零，

. 本次故障链路

1. 删除日志。但 Tomcat 正在写日志 → 文件名消失，但句柄仍然存在。

关键提示： "rm" 删除正在写入中的日志，会让 df 报告空间被占用而 du 看不到它。"截断"才是正确做法，" 切勿重复使用 rm 操作，以免 触发类似错误。

四、方法

. 应急方案：不重启业务即刻释放空间

If you cannot afford downtime,truncate open file via its descriptor:

# 截断标准输出对应的文件描述符
echo>>/proc/${PID}/fd/${FD}/catalina.out.truncate_here?>

完成后立即验证：

# 检查根分区是否回落
df -h /
# 确认截断后大小归零
stat -L /proc/${PID}/fd/${FD}/ | grep Size

注意：

. 根治方案：从源头避免问题复现

日志清理规范化

• Avoid using ;instead,truncate to keep filename intact:

# 保留 file name 并清空内容 > catalina.out

• This keeps log file open for process and prevents accidental disk usage spikes.

配置 logrotate 自动切割

Create a dedicated configuration for Tomcat logs:

/etc/logrotate.d/tomcat /home/apache-tomcat-*/logs/catalina.out { daily rotate 7 # keep last week of logs compress missingok notifempty copytruncate # safe for running services – no restart needed!其实，}

---