История продолжается....
Ситуация такова:
Есть три свича 1- 3526, 2-3550 (с которого и начался этот топик) и 3-3526
связаны гигабитом: 1-2-3, у всех прошивка 5.00-B12, включен SafeGuard Engine настроички немного разные, но в среднем выглядит так:
Interval : 5 sec
Rising Threshold(20-100) : 90 %
Falling Threshold(20-100) : 60 %
Trap/Log : Disabled
Проблема случается вечером-ночью когда нагрузка на свичи не большая, а то и просто маленькая - выглядит так:
2 и 3 свичи показывают загрузку по CPU на протяжении получаса 100% при этом в логах (sh log) не пишут что переходят в safe mode (а должны ли писать?). Одновременно с ними и на первом свиче возрастает нагрузка на CPU до 60%. Спустя пол часа на третьем свиче загрузка по CPU приходит к норме (5%-20%) на втором свиче уменьшается до 60%, на первом - без изменений - 60%.
После перезагрузки первого свича - загрузка по CPU приходит в норму, второй перегрузить пока не могу - у него ответственная работа, но я уверен что после перезагрузки CPU прийдёт к норме.
При этом наблюдается дополнителные эффекты

а именно - на первом вилане (default) потери пакетов от 30 до 70% процентов (при этом что интересно 1 и 2 свичи соеденены 1 виланом, так вот на первый свич потерь нет...) на остальных виланах потерь нет.
Также наблюдается неизвестный трафик скоростью приблизительно три мегабита....
Сейчас включил CPU filtering & LBD (mode vlan-based) - едем дальше...
Что можете еще посоветовать?