Указал размер очереди =5:

limit_req zone=php_dos_bot burst=5;

Теперь в логе одни сплошные "200 OK":

08/Aug/2016:14:19:32 +0300 200 site.com
08/Aug/2016:14:19:32 +0300 200 site.com
08/Aug/2016:14:19:32 +0300 200 site.com
08/Aug/2016:14:19:32 +0300 200 site.com
08/Aug/2016:14:19:32 +0300 200 site.com
08/Aug/2016:14:19:32 +0300 200 site.com
08/Aug/2016:14:19:32 +0300 200 site.com

Здесь видно 7 успешно обработанных запросов в секунду. Если 5r/s - это "не более 1 запроса в течение 200мс", то как в одной секунде уместилось 7 таких промежутков ?