Форум PHP

Я всегда свое пишу (формат логов может незначительно отличаться от сервера к серверу) - там не очень большой скрипт получается, особенно если использовать регулярные выражения. Если возникнут сложности, обращайтесь, чем сможем поможем.

Ясно. Какие-то используемые готовые инструменты для этого есть?
Или своё придётся писать?

В первую голову посчитатей количество хостов, посчитайте скольким хостам соответствуют хиты, отсортируйте хосты по количеству хитов. Возьмите интервал в районе интенсивного появления 502 ошибки и посмотрите кто там в основном шурует, в каком диапазоне находятся хосты - в топах или разбросаны по единичным обращениям. В общем нужно провести ковровый анализ и попытаться выяснить столько закономерностей, сколько удастся. По странам постарайтесь разбросать IP-адреса, может вас какой-нибудь Уругвай досит и его можно безболезненно отсечь, сняв проблему.

Так а какими им быть? Я так понимаю все, что не активны, являются спящими. А раз изначально их 75, а активных меньше, остальные соответственно спят.
А так ничего не скачивается, pconnect не используется, да и вобще длительных скриптов нет

Да вот как там разобраться, записей очень много, сайт посещаемый. Может есть какой удобный способ выделить наиболее активных?

Ну это ясно. Кстати nginx, а не apache

А в логах что? Кто дергает сервер, с каких IP-адресов? Может это не DDOS, а просто какой-то неуемный робот, которого не сложно отключить?

Пиковый скачок (спящие процессы можно не смотреть) - у вас в Apache скорее всего выделено 500 процессов, все они разом оказываются задейстованы, вызывая отказ от обслуживания (DDOS).

А откуда столько спящих процессор (idle)? У вас что-то через PHP-скрипты скачивается или используется mysql_pconnect()? Или это просто системные скрипты? Посмотрите через top или ps, кто в основном спит (есть среди них httpd или mysqld)?

Очень похоже на DDoS
Сейчас перезагрузка не помогает
увеличил процессы до 2000, в течении пары секунд они тоже забились и снова 502.
Что делать?