Алгоритм (алгоритмы) для определения аномалий (“скачки”) в транспортных данных

Я должен для обработки сетевого трафика, полученного с tcpdump. Чтение трафика не трудно, но что становится немного хитрым, определяет, где существуют "скачки" в трафике. Я главным образом обеспокоен TCP пакеты SYN и что я хочу сделать, дни находки, где существует внезапное повышение трафика для данного целевого порта. Существует довольно мало данных для обработки (примерно один год).

Что я попробовал, до сих пор должен использовать экспоненциальное скользящее среднее, это было достаточно хорошо, чтобы позволить мне вывести некоторые интересные меры, но сравнение, что я видел с внешними источниками данных, кажется, немного слишком агрессивно в отмечающих вещах как аварийные.

Я рассмотрел использование комбинации экспоненциального скользящего среднего плюс исторические данные (возможно с 7 дней, в прошлом думая, что должен быть еженедельный цикл к тому, что я вижу), поскольку некоторым газетам, которые я прочитал, кажется, удалось смоделировать использование ресурсов тот путь с хорошим успехом.

Так, делает любой знает о хорошем методе или где-нибудь пойти и читать на этом виде вещи.

Скользящее среднее значение я использовал взгляды примерно как:

avg = avg+0.96*(new-avg)

С avg будучи EMA и new будучи новой мерой. Я экспериментировал с тем, какие пороги использовать, но нашел, что комбинация "должна быть данным фактором выше, чем среднее число до взвешивания нового значения" и "должно быть по крайней мере 3 выше" для предоставления наименее плохого результата.