Что меняется в детекции, когда данные — временной ряд?

Меняются три вещи, и каждая ломает привычные приёмы. Автокорреляция: соседние точки зависимы, поэтому случайное разбиение на обучение и тест бессмысленно, а «независимые» доверительные интервалы врут — фактическая частота ложных срабатываний оказывается выше расчётной. Сезонность и тренд: норма зависит от часа, дня недели и времени года, поэтому глобальный порог либо ослепнет ночью, либо будет звенеть каждый вечер; сначала снимают сезонность, потом ищут аномалии в остатке. Нестационарность: продукт растёт, приходят новые страны, меняется поведение — модель нормы должна обновляться, но не мгновенно, иначе она втянет длящуюся аномалию в норму. Плюс появляются свои единицы измерения качества: инцидент — это интервал, а не точка, поэтому важны время до обнаружения и доля пойманных инцидентов, а поточечные метрики начинают измерять длительность событий.