如果数据库开启了审计（模式 DB_Extended），则可以用以下 SQL 查到，如果没有开审计，则需要建立触发器去跟踪，就看你有没有建立了，可以查查所有的触发器。

SELECT USERNAME
       ,USERHOST
       ,TIMESTAMP
       ,RETURNCODE
FROM dba_audit_session
WHERE USERNAME='TEST'
    AND RETURNCODE='1017' 
ORDER BY TIMESTAMP DESC;

也没有触发器，则只能通过监听日志了。通过监听日志收集到该用户连接信息，逐个排查，比较费时。
查看$ORACLE_HOME/network/admin/log/listener.log日志
10-MAR-2019 08:51:03 * (CONNECT_DATA=(SID=lhoms)(SERVER=DEDICATED)(CID=(PROGRAM=oracle)(HOST=omstestdb)(USER=oraoms))) * (ADDRESS=(PROTOCOL=tcp)(HOST=100.69.1.11)(PORT=49434)) * establish * lhoms * 0
10-MAR-2019 08:51:03 * (CONNECT_DATA=(SID=lhoms)(SERVER=DEDICATED)(CID=(PROGRAM=oracle)(HOST=omstestdb)(USER=oraoms))) * (ADDRESS=(PROTOCOL=tcp)(HOST=100.69.1.11)(PORT=49435)) * establish * lhoms * 0
这样可知是上面100.69.1.11的ip尝试多次失败登陆造成的被锁.