Поиск удаленных файлов, в которые ведется запись

Столкнулся с ситуацией, когда место на винте кончается, а что именно заняло диск - не понятно:

[root@host ~]# df -h
Filesystem            Size  Used Avail Use% Mounted on
/dev/sdb1             275G  254G   21G  93% /
tmpfs                 3.9G     0  3.9G   0% /dev/shm
/dev/sda1             1.8T   39G  1.8T   3% /home
/dev/sdc1             110G  3.2G  107G   3% /var/lib/mysql

[root@host ~]# du -shx /*
7.6M /bin
71M /boot
180K /dev
32M /etc
39G /home
332M /lib
23M /lib64
16K /lost+found
4.0K /media
4.0K /mnt
63M /opt
0 /proc
71M /root
13M /sbin
4.0K /selinux
4.0K /srv
0 /sys
12K /tmp
2.1G /usr
1.4G /var

Предположил, что какой то процесс открыл файл на запись, удалил его не закрыв и продолжает туда писать. Открытые удаленные файлы можно посмотреть через:

[root@host ~]# find /proc/*/fd -ls | grep  '(deleted)'
1639634485    0 l-wx------   1 apache   apache         64 Jun 17 20:57 /proc/12922/fd/2 -> /var/log/nginx/error.log-20150513\ (deleted)
1639634501    0 l-wx------   1 apache   apache         64 Jun 17 20:57 /proc/12922/fd/18 -> /var/log/nginx/error.log-20150513\ (deleted)
1639634510    0 l-wx------   1 apache   apache         64 Jun 17 20:57 /proc/12922/fd/27 -> /var/log/nginx/site.ru_nginx_access.log-20150514\ (deleted)
1639634511    0 l-wx------   1 apache   apache         64 Jun 17 20:57 /proc/12922/fd/28 -> /var/log/nginx/site.ru_nginx_error.log-20150513\ (deleted)
1639634512    0 l-wx------   1 apache   apache         64 Jun 17 20:57 /proc/12922/fd/29 -> /var/log/nginx/site.com_nginx_error.log-20150513\ (deleted)
1639638494    0 l-wx------   1 apache   apache         64 Jun 17 20:57 /proc/12923/fd/2 -> /var/log/nginx/error.log-20150513\ (deleted)
1639638510    0 l-wx------   1 apache   apache         64 Jun 17 20:57 /proc/12923/fd/18 -> /var/log/nginx/error.log-20150513\ (deleted)
find: `/proc/12923/fd/511': No such file or directory
find: `/proc/12923/fd/667': No such file or directory
1639642375    0 l-wx------   1 apache   apache         64 Jun 17 20:57 /proc/12924/fd/2 -> /var/log/nginx/error.log-20150513\ (deleted)
1639642390    0 l-wx------   1 apache   apache         64 Jun 17 20:57 /proc/12924/fd/18 -> /var/log/nginx/error.log-20150513\ (deleted)
1639642399    0 l-wx------   1 apache   apache         64 Jun 17 20:57 /proc/12924/fd/27 -> /var/log/nginx/site.ru_nginx_access.log-20150514\ (deleted)
1639642400    0 l-wx------   1 apache   apache         64 Jun 17 20:57 /proc/12924/fd/28 -> /var/log/nginx/site.ru_nginx_error.log-20150513\ (deleted)
1639642401    0 l-wx------   1 apache   apache         64 Jun 17 20:57 /proc/12924/fd/29 -> /var/log/nginx/site.com_nginx_error.log-20150513\ (deleted)
1639646126    0 l-wx------   1 apache   apache         64 Jun 17 20:57 /proc/12925/fd/2 -> /var/log/nginx/error.log-20150513\ (deleted)
1639646142    0 l-wx------   1 apache   apache         64 Jun 17 20:57 /proc/12925/fd/18 -> /var/log/nginx/error.log-20150513\ (deleted)
1746513574    0 lrwx------   1 root     root           64 Jun 19 07:01 /proc/16454/fd/72 -> /var/run/dovecot/login-master-notify995d7209624407dc\ (deleted)
1746513581    0 lrwx------   1 root     root           64 Jun 19 07:01 /proc/16454/fd/79 -> /var/run/dovecot/login-master-notifycd1113eecfa6b6fd\ (deleted)
1639653458    0 l-wx------   1 root     root           64 Jun 17 20:57 /proc/33016/fd/3 -> /var/log/puppet/puppet.log-20150118\ (deleted)
[root@host ~]#

Нарушителем спокойствия оказался nginx. Перезапустил его, и место вернулось:

[root@host ~]# service nginx restart
Stopping nginx:                                            [  OK  ]
Starting nginx:                                            [  OK  ]
[root@host ~]# df -h
Filesystem            Size  Used Avail Use% Mounted on
/dev/sdb1             275G  4.5G  270G   2% /
tmpfs                 3.9G     0  3.9G   0% /dev/shm
/dev/sda1             1.8T   39G  1.8T   3% /home
/dev/sdc1             110G  3.2G  107G   3% /var/lib/mysql
[root@host ~]#