oracle追踪drop table操作

DBA应该遇到过开发反馈表被drop，表被truncate等情况，然后追踪确认到底是谁操作。
首先强烈建议开启DDL日志，这样所有的DDL都会记录到ALERT日志中：
[code]alter system set enable_ddl_logging=true;[/code]
如下是alert日志中的记录：
[code]Tue May 13 17:56:32 2014
DROP TABLE AIWMS.RES_XXXX_SOCIETY
Archived Log entry 40911 added for thread 1 sequence 30797 ID 0xffffffffc363e468 dest 1:
Tue May 13 18:27:01 2014
create table aiwms.RES_XXXX_SOCIETY
(XXX
)
Tue May 13 18:29:49 2014
TRUNCATE TABLE AIWMS.RES_XXX_SOCIETY REUSE STORAGE[/code]
可以清晰看到有人DROP了表，重建了表
然后再从ASH视图（v$ash没有可以尝试dba_ash）中根据SQL_OPCODE定位哪个主机哪个程序做了操作，其中SQL_OPCODE：12 为DROP TABLE 10为 DROP INDEX、85为TRUNCATE TABLE，关于SQL_OPCODE更多可以参考：
http://docs.oracle.com/cd/B19306_01/server.102/b14237/dynviews_2088.htm#i1414383
[code]select USER_ID, SQL_OPCODE, XID, SAMPLE_TIME,MODULE,MACHINE
from v$active_session_history
where SQL_OPCODE =12
and to_char(SAMPLE_TIME,'yyyymmdd')='20140513'[/code]
[img]http://www.orasql.com/blog//uploadfiles/1_41596.jpg[/img]
可以看到bidevelop3这台主机下午5点53做了drop table操作，后确认开发连错了生产库误操作。