> Вероятно так и есть. Есть идеи как это отследить/проверить?

Самое очевидное что в голову приходит:
1. echo 1 > /proc/sys/vm/block_dump
2. вызвать проблему
3. вырубить все это, иначе утонете в флуде (echo 0 > /proc/sys/vm/block_dump)

И посмотреть в буфере dmesg кто и зачем трогал диск. Если я угадал - там будет весьма широкий ассортимент executables и shared libs, которым резко потребовалось вернуть страницы на место потому что исполнение встряло. Учтите что флуд может быть довольно крутой и что забавнее, если у вас был логгер - он будет логгить в том числе и свои записи, по поводу чего даже в 100% idle системе может случайно кончиться место на диске под ядерным логом.

> Или как это механизм правильно называется, дабы гугол спросить или исходники
> ядра поковырять?

Насколько я помню - по именно этой причине файл запущенной программы лочится на диске так что его нельзя полностью удалить до того как программа будет выгружена. Чтобы ядро могло подчитать страницы которые оно отбросило из бинаря программы.

Навскидку как-то так нашлось:
http://www.gossamer-threads.com/lists/linux/kernel/237239
https://www.quora.com/When-swapping-is-disabled-does-the-ker...