Время до обнаружения против точности: как выбрать окно агрегации?

Между скоростью и надёжностью детекта стоит фундаментальный компромисс: чем короче окно агрегации, тем быстрее реакция и тем шумнее сигнал. На минутных данных всплеск виден через минуту, но и случайных выбросов на порядок больше; на часовых агрегатах шум усредняется, зато о падении вы узнаете через час. Управляют этим тремя ручками: длина окна (шум падает примерно как корень из числа точек), требование удержания — алерт только если превышение держится k точек подряд, и многооконная схема, знакомая по SRE-практике burn-rate алертов: короткое окно ловит резкое, длинное — медленное, а совместное условие отсекает одиночный шум. Выбор окна — не техническое решение, а следствие цены минуты простоя: если минута стоит дорого, платят ложными тревогами; если инцидент дорог только после часа, короткие окна не нужны.