お世話になります。

/var/log/messages内に一定期間内に特定文字列を〇個以上出力されたら検知するようにしたいと思っております。

動作未確認ですが、以下のような書式で実現可能でしょうか。
({サーバ名:log[/var/log/messages,@messages].count(120m,"failed:")}>3)and (({サーバ名:log[/var/log/messages,@messages].nodata(7200)})=0)

上記条件文は2時間以内に"failed:"の文字列が4つ以上出力された場合に検知することを想定しております。
調べた結果"count”関数のやり方しか見つけられませんでした。

また一定期間内に2回連続で検知した場合(例えば3時間以内に2回連続で"failed:"の文字列が出力)に検知できる方法もあれば教えて頂けないでしょうか。
(こちらを実現する方法が見つけることができませんでした)

アドバスを頂けると幸いです。
よろしくお願い致します。