Необходимо проанализировать журнал и и изменение и CRLF только к LF (ctrl-l).
Вот пример:
EVENTCREATE /T ERROR /ID 1000 /l application /d "This is text^L this is line 2"
Я думаю, это может быть что-то вроде этого:
# ps -eo user,pid,pcpu,pmem,vsize,size,tty,state,etime,cputime,command | grep [p]hp