広瀬です。

ログ監視にしても、snmptrapに関しても似通った点がありますが、総じて言えることは以下の通りだと認識しています。

・ログ監視の場合

　トリガー条件対象とする文字列が「error」だったとします。

　→正常に戻すにはそのerrorに対して「正常になったor戻った」ということを示す文字列を別に定義する必要があります。
　　 しかし、一般的にログファイルにはエラーを出したら出しっ放しでありますし、どれが正常を示す文字列かという複雑
　　 なロジックが存在すると思います。

　→戻す場合
　　 過去のFORUMの履歴にもありますが、nodata関数を使用して強制的に一定時間(最小値30秒間)、同一エラー文字
　　　列の検知がなければ、トリガー値(TRIGGER.VALUE)を正常に戻すという処理を、トリガー条件式に組み込む方法です。

・SNMPTRAPの場合

　SNMTPRAPで投げた値が、仮に異常が「linkdown」だったとします。

　→SNMPTRAPの場合、linkdownに対をなすように正常時にはlinkupを飛ばしてくれるはずですので、
　　 正常に戻したい場合は、linkupをキーワードにTRIGGER.VALUE値を正常に戻す式を組み込むと
　　 理想に近い動きをするかと思います。
　
　　 {SNMPTRAP:snmptraps.str(linkDown)}=1
　　 {SNMPTRAP:snmptraps.str(linkUp)}=1
　　 {TRIGGER.VALUE}=0
　　 {TRIGGER.VALUE}=1

　　この辺、組み合わせると良いのではないかと思います。

※ただし複数の全く違うネットワーク機器等のSNMPTrapを１つのシステムに投げている場合、
　 同時に複数のポートダウン・アップ が同じ場合、若干検討する必要がありますので、ご注意ください。