メールボックスの滞留をログ監視しております。

メールボックスが500以上滞留していた場合、

ログに
メールサーバ名,メールボックスNo,滞留数

が吐かれ、アラート検知します。

アラート検知した場合、下記作業が必要です。
メールサーバへのping
メールボックスのGUIでの確認

上記作業は、基本的に滞留が一時的のため無駄に終わるため、
監視の仕組みを瞬発的にではなく、継続的に滞留していた場合に
アラートを出すに変えたいです。

リソース監視などであれば、count関数などで
XX回継続して、XX超えていたらなどができると思いますが、
同じことをログ監視でもできないでしょうか？

現在はログには滞留数を５００超えた場合に吐かれますが、
監視を実現するために、定期的に図れるようにすることも可能です。

よろしくお願いします。