Az ismertebb lehetőségek:
a) (ezt írtad is) van egy fájl, amit valaki nyitvatart, és (esetleg más)valaki töröl. Ilyenkor az alkalmazás változatlanul tudja írni/olvasni, ellenben ls-ben nem látszik, du nem mutatja, de df-ben hatása látszik. Ellentétben a korábban írtakkal, ha nem is könnyen, de lsof -fel megtalálható.
b) mount-könyvtárban van. pl: /usr és /usr/local két külön FS, viszont (trehányságból/tudatosan) a /usr/local eredendően nem üres. Az ott levő fájlok persze df-ben számítanak, viszont mihelyt mountolod /usr/local -ra amit kell, azonnal eltűnnek és nem tudod számolni du-val.
A df/du különbség szerintem simán adódhat abból, hogy kilőtted ugyan a processzt, de valaki más is ugyanazt a fájl használta. (Legalábbis szinte biztos, hogy ha én találok egy ilyen elhagyott fájlt és megtalálom a hozzá tartozó processzt, nem keresek tovább. Kilövöm, és kész. De ha ez nem segít, akkor ez azt jelenti:
a) van más aki használja
b) van másik ilyen törölt fálj
c) vagy mint Trey is említette korábban, softupdates. (Ez ügyben érdemes elgondolkodni a
kern.filedelay=10
kern.dirdelay=9
kern.metadelay=8
sorokat beírni a /etc/sysctl.conf -ba (Nyilván környezetföggő, hogy mennyivel kaarod a SU késleltetését csökkenteni. Ezek az értékek 20 sec-cel kevesebbek az alapértelmezettől.)
d) eset is lehet, de azt nem tudom.
Ha nagyon nincs meg, akkor az általad korábban is említett fstat és lsof mellett, én elgondolkodnék a (portsból telepíthető) sysutils/fuser előbányászásának (bár az lsof többet tud), illetve egy fsdb -r /problemas/fs és elkezdenék körülnézni.
Jav:
Amúgy lsof kimenetben, ha VREG (azaz közönséges fájl) tipus esetén nem fájl, hanem könyvtárnevet látsz (plusz zárójelben eszköznevet), akkor nagy eséllyel meg is van a bűnös, lehet gyanakordni. Mivel a listában látszik a mérete, lehet látni ha növeksik, és látszik az i-node száma is, tehát meg lehet keresni "find dir -inum" -mal (nem kéne találni), és meg lehet nézni fsdb-ben az inode SZÁM paranccsal, jó esélyen a linkcount 0 lesz. (Érdekes egyébként, nekem tesztek közben többször előjött, hogy az első fsdb szerint még van linkje, a másiodik szerint már nincs.)