如何利用IBM i Journals开展数据分析：查询记录变更者及高频更新程序

IBM i Journals主要用于数据恢复与复制，可通过DSPJRN命令显示或打印日志内容，恢复时则用APYJRNCHG命令将变更还原到数据库。示例命令如下：

输出日志到结构化文件 #

DSPJRN JRN(JRN001) FILE((CUST)) 
JRNCDE((R)) OUTPUT(*OUTFILE) 
OUTFILFMT(*TYPE4) OUTFILE(QTEMP/JRN001_OUT) 
ENTDTALEN(*CALC)    

应用日志变更还原数据 #

APYJRNCHG JRN(journal-library/journal-name) FILE(file-library/file-name) 
RCVRNG(receiver-range-library/receiver-name) FROMENTDT(yymmdd) TOENTDT(yymmdd)

直接处理日志数据时，因为变更内容常被塞在单个字段里，查询体验很差。要回答“谁在上周修改了这条记录”或“哪些程序频繁更新该文件”这类问题，可以按以下方法操作：

1. 用OUTFILFMT(*TYPE4)生成结构化日志 #

你已经用到的OUTFILFMT(*TYPE4)是关键——它会把日志条目拆分成多个独立字段，而非单个大字段。输出文件包含大量实用字段：

• USER：执行操作的用户账号
• JOBNAME：操作所属的作业名
• PGMNAME：触发变更的程序名
• ENTDT/ENTTIME：日志记录的日期和时间
• JRNCDE：日志类型代码（比如R=新增记录、U=更新记录、D=删除记录）
• 业务表的关键字段，以及变更前后的数据内容

2. 用SQL直接查询结构化日志文件 #

拿到*TYPE4格式的输出文件后，无需解析单个字段，直接写SQL就能快速获取所需信息：

查询上周修改指定记录的用户/程序

假设业务表CUST的关键字段是CUSTID，要找CUSTID=123上周的修改记录：

SELECT USER, JOBNAME, ENTDT, ENTTIME, PGMNAME
FROM QTEMP/JRN001_OUT
WHERE CUSTID = 123
  AND ENTDT >= CURRENT_DATE - 7 DAYS
  AND JRNCDE IN ('R', 'U', 'D')
ORDER BY ENTDT DESC, ENTTIME DESC;

查询频繁更新文件的程序

统计最近30天内各程序更新CUST表的次数：

SELECT PGMNAME, COUNT(*) AS 更新次数
FROM QTEMP/JRN001_OUT
WHERE ENTDT >= CURRENT_DATE - 30 DAYS
  AND JRNCDE IN ('R', 'U')
GROUP BY PGMNAME
ORDER BY 更新次数 DESC;

3. 持久化日志（可选） #

如果需要长期分析日志，别把输出文件放在QTEMP（临时库会随作业结束清空），可以创建永久库的表，定期用DSPJRN追加日志数据，方便积累历史做深度分析。

4. 用系统视图直接查询（更高效） #

IBM i提供了系统视图QSYS2.JOURNAL_ENTRIES，无需先执行DSPJRN就能直接查询日志数据，且数据已结构化：

SELECT USER_NAME, JOB_NAME, PROGRAM_NAME, ENTRY_TIMESTAMP
FROM QSYS2.JOURNAL_ENTRIES
WHERE JOURNAL_LIBRARY = '你的日志库名'
  AND JOURNAL_NAME = 'JRN001'
  AND TABLE_LIBRARY = '你的文件库名'
  AND TABLE_NAME = 'CUST'
  AND ENTRY_TIMESTAMP >= CURRENT_TIMESTAMP - 7 DAYS
  AND ENTRY_TYPE IN ('R', 'U', 'D');

内容的提问来源于stack exchange，提问作者mortimer