Алгоритм определения избыточного телефонного трафика?

Для каждого дня недели по логам определить ЧНН, нагрузку в нем и среднюю нагрузку за весь день. Усреднить по нескольким неделям (опять же по дням недели) и подобрать доверительные интервалы по всем параметрам на глаз или по какой-нибудь теореме Байеса.

Простое выравнивание сработает, но не очень качественно, средняя температура по больнице.
Описанный выше способ будет давать ложные срабатывания в дни переносов выходных, сезонность тоже необходимо будет учитывать (треть сотрудников вернулась из отпуска — получите пик).
При том у клиента может быть несколько сотрудников, характер звонков у каждого разный.
Как могут взломать АТС? Нарисовать еще один транк? Завести еще клиентов? Увести пароль от клиента?
Эти события тоже необходимо отслеживать, из какого транка пришел звонок, в какой ушел. Не появились ли неизвестные клиенты.
Ну итд.
PS: Душевная статья — ivdon.ru/magazine/latest/n2y2012/742/

Большое спасибо! Будем тестировать.