Desviación y umbral

Un umbral fijo —«alerta si pasa de 1.200 MB al día»— tiene una virtud: se entiende en una frase. Y dos defectos que vienen de lo que viste en la sala anterior. Si el nivel normal de un laborable es de alrededor de mil, el número está tan cerca que cualquier día algo alto lo cruza. Y para un domingo, cuyo nivel normal es una cuarta parte, un volumen que lo triplica queda muy por debajo del umbral y nunca avisa.

Un umbral útil se mide contra la clase del día y en unidades de lo que esa clase suele variar. Para eso hace falta una medida de variación, y la más usada es la desviación estándar.

La desviación estándar resume cuánto se aleja, en promedio, un día corriente de su promedio. Con ella, el umbral se escribe en una línea: promedio + tres veces la desviación. En una serie de comportamiento regular, un día más allá de ese punto es raro por definición; no hace falta saber por qué para decidir que merece mirada.

El umbral solo vale si la base es limpia. En el laboratorio, base_laborable ya excluye los fines de semana, los dos cierres del calendario y el día atípico que viste en la primera sala: son 19 laborables corrientes. Ejecuta base_laborable | summarize promedio = avg(mb_salida), desviacion = stdev(mb_salida). Esa consulta calcula la desviación muestral (con la corrección que se usa cuando los datos son una muestra del comportamiento posible, no todo el comportamiento).

Un umbral no se prueba con teoría sino contando contra los datos que ya tienes: cuántas veces habría saltado en el mes. Es la misma disciplina del módulo de reglas, aplicada a una base. Ejecuta salida_diaria | sort by mb_salida desc | take 5: los cinco días de mayor salida, de más a menos. Con el umbral de la tarea anterior a la vista, solo hay que decidir en qué fila se corta.

Los días que superan el umbral no son todos del mismo tipo. Si dos de ellos coinciden con eventos del calendario (el cierre de quincena y el cierre de mes) y el tercero no tiene explicación, hay tres caminos. Uno es borrarlos de la serie para que el umbral quede bonito: es esconder datos. Otro es dejarlos dentro de la base: sube el promedio y la desviación, y el umbral deja de avisar de lo mismo la próxima vez. El tercero es clasificar: los cierres pasan a una base propia, de cierres, y el día sin explicación queda abierto como caso.

La base de laborables que usaste tiene 19 observaciones. Es poco para hablar de extremos: con 19 valores, el percentil 99 es en la práctica el valor máximo, porque no hay puntos suficientes entre el 95 y el 100 para que el percentil diga algo propio. Un percentil alto necesita cientos de observaciones; una media con desviación se defiende con menos, pero sigue siendo frágil si la ventana es corta.

Por eso la línea base lleva anotado el número de observaciones al lado del umbral: es lo que permite saber cuánto fiarse de él.