磁盘告警响了，登录服务器却翻不到大文件，问题往往不在监控本身
监控平台连续推送磁盘空间告警，运维人员登录服务器后用常规方式逐层翻找大文件，却始终找不到明显的空间占用者。这种情况下，很多人第一反应是怀疑监控误报。但更常见的原因是查找范围或统计口径出了偏差——磁盘空间确实被占用了，只是占用方式不在“找大文件”的视野之内。
先确认报警指向哪个分区
排查的第一步不是找文件，而是确认报警对应的挂载点。用磁盘使用情况命令查看各分区容量，对照监控中的分区名称，避免把某个临时挂载目录的告警误当成根分区。同时要留意挂载覆盖问题：后挂载的目录会遮住原目录下的内容，表面看空间正常，底层实际仍有数据占用。容器环境尤其需要区分视角，容器内看到的磁盘视图与宿主机可能不同，排查应在对应层面进行。
再查已删除但被进程占用的文件
如果分区使用率很高，但目录统计总和明显偏小，需要考虑文件已被删除、句柄仍被进程持有的情况。这类文件在目录里看不到，空间却不会释放。一般思路是先列出占用中的已删除文件，再定位对应进程，确认是否可以安全重启或让进程重新打开日志。生产环境不要直接结束进程，应先评估业务影响。
接着核对隐藏项与系统保留空间
常规目录统计容易漏掉隐藏目录、日志轮转残留、快照数据和文件系统预留块。日志切割后旧文件可能仍在别处保留；快照会额外占用空间却不体现在普通目录大小里；部分文件系统还为特定用途预留空间，使可用容量低于表面数值。核对时应把这些项目分开确认，而不是只累加可见目录。
最后区分inode满与配额限制
空间报警不一定等于容量不足，也可能是索引节点耗尽。大量小文件会把inode用完，此时写入失败但容量显示仍有剩余。另一种情况是配额限制，用户或目录达到配额上限后无法继续写入，表现与磁盘满相似。排查时先看inode使用率，再确认是否存在配额策略，避免在错误方向上反复清理。
可执行的排查清单
按顺序逐项确认：一看报警分区与挂载关系，排除挂载覆盖和容器视角差异；二查已删除仍被占用的文件及对应进程；三查隐藏目录、日志残留、快照和预留空间；四查inode使用率；五查配额设置。每一步记录命令输出和判断依据，生产环境操作前做好变更记录，涉及删除和重启的动作先确认影响范围。不同文件系统和发行版的表现存在差异，具体以实际系统环境和官方文档为准。把顺序固定下来，比反复找大文件更有效。
