Простое выравнивание сработает, но не очень качественно, средняя температура по больнице.
Описанный выше способ будет давать ложные срабатывания в дни переносов выходных, сезонность тоже необходимо будет учитывать (треть сотрудников вернулась из отпуска — получите пик).
При том у клиента может быть несколько сотрудников, характер звонков у каждого разный.
Как могут взломать АТС? Нарисовать еще один транк? Завести еще клиентов? Увести пароль от клиента?
Эти события тоже необходимо отслеживать, из какого транка пришел звонок, в какой ушел. Не появились ли неизвестные клиенты.
Ну итд.
PS: Душевная статья —
ivdon.ru/magazine/latest/n2y2012/742/