Overlay2磁盘空间“虚高”报警通常由已删除但被进程占用的日志文件或层残留导致，需通过df、docker system df和lsof分层排查，定位后用cat /dev/null截断或SIGUSR1优雅重启释放，再配置log-opts限制日志大小预防。
Overlay2 存储驱动磁盘空间“虚高”报警，通常不是真占满，而是 df 显示使用率爆表，但 du 统计总和远小于此——这说明有已删除却仍被进程占用的文件（尤其是容器日志），或 overlay2 层残留未释放。排查要分层验证，避免误删。
一、确认是否真满：区分“空间满”和“inode满”
执行三组命令交叉验证：
-
df -h /var/lib/docker—— 看 overlay2 所在挂载点实际使用率 -
df -i /var/lib/docker—— 检查 inode 是否耗尽（常见于大量小日志文件） -
docker system df -v—— 查看镜像、容器、卷、构建缓存各自真实占用，注意 “Reclaimable” 列
若 df -h 显示 98%，但 docker system df 总和仅 40GB，大概率是 deleted 日志文件仍在被 dockerd 或容器进程持有句柄。
二、定位“幽灵文件”：找被删除但未释放的大日志
进入 /var/lib/docker/containers/ 目录，运行：
-
lsof +L1 | grep -i json.log—— 列出所有已删除（link count=0）但仍打开的 *-json.log 文件 -
lsof +L1 | awk '{print $7,$9}' | sort -nr | head -10—— 按大小倒序显示被占用的已删文件
输出中会看到类似：dockerd 1234 root 12w REG 253,1 8.2G 1234567 /var/lib/docker/containers/abc.../abc...-json.log (deleted) —— 这就是虚高的元凶。
三、安全释放空间：不重启服务也能清理
针对上述被占用的 deleted 日志，有两种稳妥方式：
- 临时清空：用
cat /dev/null > /proc/1234/fd/12（其中 1234 是 dockerd PID，12 是 fd 编号）直接截断句柄内容，立即释放磁盘 - 优雅重启：执行
kill -s SIGUSR1 $(pidof dockerd)，触发 dockerd 自动轮转并关闭旧日志句柄（需 Docker ≥20.10）
操作后再次运行 df -h，使用率应明显回落。切勿直接 rm -f 已显示 deleted 的文件路径——那只是空操作，起不到释放作用。
四、预防下次再虚高：从源头控制日志膨胀
修改 /etc/docker/daemon.json，强制限制日志大小：
{
"log-driver": "json-file",
"log-opts": {
"max-size": "100m",
"max-file": "3"
}
}
保存后执行 sudo systemctl reload docker。新启动的容器将自动启用该策略，老容器需重启才生效。
