El calendario también es parte de lo normal

El tráfico de una empresa tiene ritmo: la semana laboral sube, el fin de semana baja, el último día del mes se cierra la facturación. Eso se llama estacionalidad: variaciones que se repiten con el calendario y que no son anomalías. Una línea base que mezcla todos los días en un solo número ignora ese ritmo y obliga a elegir entre dos males: un umbral tan alto que no ve nada un domingo, o uno tan bajo que alerta todos los lunes.

La regla de oficio es comparar un día con los de su misma clase: un lunes con otros lunes, una hora con la misma hora de otros días, un cierre de mes con otros cierres de mes. Así la línea base se vuelve una por clase, y la desviación se mide contra la clase que le toca.

Abre el laboratorio y ejecuta salida_diaria | summarize promedio = avg(mb_salida) by dia_sem | sort by promedio asc. Verás siete filas, una por día de la semana, ordenadas de menos a más. La distancia entre el fin de semana y los días de entre semana es de un orden de magnitud, y aun así el promedio del mes (que viste en la sala anterior) no dice nada de eso.

La estacionalidad se equivoca en las dos direcciones. Un día puede quedar por debajo del promedio general y, aun así, estar muy por encima de lo que le corresponde. El promedio del mes de este servidor es de 914 MB y el domingo típico, el que acabas de leer, es mucho menor. Supón que un domingo cualquiera marca 540 MB: contra el promedio general parece un día flojo; contra los domingos, es más del doble de lo habitual.

Es el mismo error en espejo de las alertas de los lunes: comparar con la clase equivocada hace invisible lo que importa y ruidoso lo que no.

Algunos picos son previsibles porque el negocio los programa: la nómina, la facturación, los reportes de fin de mes. El área de operaciones los anota en un calendario, y ese calendario es parte de la línea base: un pico que coincide con un evento anotado no se descarta, se clasifica como esperado y se mide contra los picos anteriores del mismo tipo.

Ejecuta calendario | where dia == "09-30" para ver qué dice el calendario del último día del mes, y salida_diaria | where mb_salida > 1400 para ver qué días superan los 1.400 MB.

Con la consulta salida_diaria | where mb_salida > 1400 aparecen los días del mes por encima de 1.400 MB, y con calendario los eventos que se anotaron. Cruza las dos tablas por fecha. Cada día que tiene evento queda explicado; cada día que no, queda abierto. Un día abierto no es un incidente: es un día que todavía no tiene explicación.