Генерация и закрытие алертов из журнала/п

[viktorkho]

Доброго всем!

Попадаются устройства, которые генерируют постоянный поток событий, включающий в себя сообщения о начале и завершении аварий. При это сообщение о завершении аварии ссылается на сообщение об открытии в прошлом по его идентификатору.

Вопрос в том, как корректно мониторить такие потоки Zabbix'ом.

Лежащий на поверхности ответ "регулярными выражениями" при детальном рассмотрении лишь добавляет новых воросов - регуляркой возможно напарсить паттерн открытия аварии. Теперь надо как-то сохранить ID этой аварии, чтобы парсить уже новую регулярку, содержащую запомненный ID..


Пример для наглядности из 3 трапов/записей журнала по 3 поля на запись:

a:1 r:1 t:anyAlarm # Случилась авария anyAlarm
a:2 r:2 t:otherAlarm # Случилась еще одна авария, otherAlarm
a:3 r:1 t:anyAlarm # Авария anyAlarm закрылась

где
a - инкрементный счетчик аварий, он же уникальный ID аварии в потоке
r - если текущее сообщение об открытии аварии - значение равно значению поля а этого же сообщения; при закрытии будет содержать ID сообщения об открытии
t - описание аварии

Итого после 3 обработанных сообщений в заббиксе должна быть только 1 авария otherAlarm.

... Как?

За любые конструктивные размышления "вслух" заранее спасибо.