Você precisa usar transformações de evento na eventClass, onde o evento está sendo transformado e usar deduplicação.
De-dupid é uma combinação de
dispositivo | componente | eventKey | eventClass | severidade
Para o exemplo Blade 7 retirado do chassi 10.2.3.4 eventClass é / Hardware dedupid será
10.2.3.4 | Lâmina 7 | Blade_Key | / Hardware | 3 [3 significa aviso]
Para limpar o evento, todo o campo deve ser o mesmo, exceto a gravidade
10.2.3.4 | Lâmina 7 | Blade_Key | / Hardware | 0 [0 está claro]
Atributos dos contos do evento
verifique o link