Алгоритм(ы) для обнаружения аномалий ("всплесков") в данных трафика

мне нужно обработать сетевой трафик, захваченный с tcpdump. Чтение трафика не сложно, но что становится немного сложным, это определить, где есть "шипы" в трафике. Я в основном обеспокоен пакетами TCP SYN, и то, что я хочу сделать, это найти дни, когда происходит внезапный рост трафика для данного порта назначения. Есть довольно много данных для обработки (примерно один год).

до сих пор я пытался использовать экспоненциальную скользящую среднюю, это было достаточно хорошо, чтобы позволить мне получить некоторые интересные меры, но сравнение того, что я видел с внешними источниками данных, кажется слишком агрессивным в отметке вещей как ненормальных.

Я рассматривал возможность использования комбинации экспоненциальной скользящей средней плюс исторические данные (возможно, с 7 дней в прошлом, думая, что должен быть еженедельный цикл к тому, что я вижу), поскольку некоторые статьи, которые я прочитал, похоже, сумели моделировать использование ресурсов таким образом с хорошим успех.

Итак, кто-нибудь знает хороший метод или куда-нибудь пойти и прочитать об этом.

скользящая средняя, которую я использую, выглядит примерно так:

avg = avg+0.96*(new-avg)

С avg быть EMA и new новая мера. Я экспериментировал с тем, какие пороги использовать, но обнаружил, что комбинация "должна быть заданным фактором выше среднего до взвешивания нового значения" и "должна быть по крайней мере на 3 выше", чтобы дать наименее плохой результат.