预防’被检测到盗版’，为CATIA筑起安全防线

2023年4月，北京知识产权法院判了一个案子——某汽车设计公司CATIA系列软件复制了103套未授权，判赔2000万人民币。更让人后背发凉的是：现场证据保全时，42台电脑开了虚拟桌面试图遮挡，结果被法院认定为"阻碍证据保全"，反而成了不利推定的依据chinaiplawupdate.com。还有更早的，2017年上海知产法院对某企业抽样查了10%的电脑，18台里16台有CATIA安装记录，最终推定全公司侵权，按比例放大赔偿shzcfy.gov.cn。

CATIA的license是企业级软件里最容易被"查"的之一，因为Dassault的EULA里明确写了随时可以要求企业提供部署和许可详情，必要时可以现场审计kpmg.com。这篇就当是过来人的实操笔记。

一、先把根源说清楚

CATIA的license体系有两个时代，别搞混：

• LUM（License Use Manager，IBM的）：老的V5早期版本用，server target ID类似MAC地址，查许可状态用Start → ARP → License Use Runtime → Basic License Toolkpmg.com。现在还在用的企业不多了，但残留配置还在。
• DSLS（Dassault Systèmes License Server）：现在的主流。客户端配置文件是C:\ProgramData\DassaultSystemes\Licenses\DSLicSrv.txt，格式server_name:4085，端口默认TCP 4085，通过HTTPS协议交互haycad-infotech.bg+2。
• 查DSLS状态用dslicsrv_status -dump，能列出server target ID、license file版本、feature可用数，不用真正checkout licenserazorleaf.com。

审计风险的本质不是"装没装盗版"，而是"使用数据是否超出license file覆盖范围"。Dassault明确写了：如果 unauthorized usage 超过授权范围的5%，可以罚款并要求企业承担audit费用kpmg.com。

二、四个最容易踩的坑

坑1：虚拟桌面遮挡现场。 上面那个北京判例就是典型——42台电脑开虚拟桌面，被认定为阻碍证据保全，反而按不利推定放大了侵权数量chinaiplawupdate.com。这种动作只会让事情更糟，法院直接按最不利的方式推定。

坑2：教育版商用。 Dassault的教育版license只允许教学和科研用途，严禁商业盈利3dsystemes.com。有人以为"功能一样就先用着"，一旦被查，补的是全额商业版费用加罚款，和直接用盗版一个下场。

坑3：员工离职、外包不回收。 DSLS里named user许可挂在账号上，人走了账号不注销，license继续占着配额。外包、顾问、freelancer共用公司许可也是EULA明文禁止的，DSLS的后台操作记录都会留痕gofarlic.com。

坑4：DSLS部署不规范，license file失控。 license file只有一份，但DSLS server被复制到多个环境、或license file被手动拆分到多台server，feature数就"凭空多出来"。审计时DSLS的version、server target ID、feature记录全部对得上账才能自证清白razorleaf.com，对不上就是说不清。

三、四层解决方案，别跳步

第一层：先摸底

• 用dslicsrv_status -dump拉出当前DSLS状态，记录server target ID、license file版本、feature清单razorleaf.com；
• 用DSLS自带的Usage Log：DSLS默认有log，能按用户/机器/时间粒度拉出使用记录，这份log是audit时唯一能自证清白的原始数据，要配log rotation长期保留；
• 对照terminal端的Software Management V5（开始菜单 → CATIA Tools → Software Management V5），确认装的是什么configuration——CAC是PLM Express，DP2/HD2/MD2是CATIA P2hawkridgesys.com；
• 拉AD域的账号清单，对照DSLS的使用log，把不在员工名单上的IP、hostname、账号全部标出来。

第二层：零成本配置优化

• DSLS的log开启完整级别，默认级别信息不够，调成详细模式才能看到user和machine维度的记录；
• 防火墙上4085端口只放行企业内网CAD工作站的IP段，其他全部拒绝，VPN用户强制走跳板机，这是堵住越权访问最有效的一招；
• 所有客户端的DSLicSrv.txt统一，用组策略推，避免多server指向混乱；
• 离职流程里加一道DSLS账号回收，HR发offboarding单时抄送IT license管理员；
• 虚拟桌面/VDI环境要提前跟Dassault确认license覆盖范围，VDI不是不能跑，是要单独买VDI授权，别自己想当然。

第三层：优化采购策略

• 续约前自己算一遍使用率：DSLS的usage log里每个feature的P95并发、denied request次数、闲置feature清单，拿这份报告去谈判，砍掉常年零checkout的模块；
• 教育版、创客版严格隔离：这类license只在预研/学习场景用，不能碰任何量产和商业项目3dsystemes.com；
• DSLS版本和CATIA版本对齐：DSLS server版本过低会影响license file的覆盖，升级前先确认兼容矩阵razorleaf.com；
• 续约条款里加"内部调配权"：pool内部重新分配不需要额外费用，写进条款里省得以后扯皮。

第四层：上工具做长期管理

feature多、用户过百、跨多基地，靠人肉解析DSLS log撑不住：

• OpenLM for DSLS：支持DSLS，能做feature级使用率、idle session回收、异常访问告警；
• DS License Server管理控制台：Dassault自家有管理界面，配合同域的AD账号能统一管理用户；
• 轻量自建：Python定时拉dslicsrv_status和usage log + Prometheus + Grafana做水位告警，一个月开发量。

四、一个真实感的小案例

某做模具和检具的Tier 2供应商，设计团队55人，CATIA V5-6R2021共40套（DSLS浮动license，HD2 + MD2配置），年license+维保支出约420万。

摸底发现的事：

• DSLS的log没开详细级别，过去一年只有基础record，拿不出user维度的对账数据；
• DSLS server被IT复制了一份到测试环境"以防主server挂"，两份server同时跑，feature池实际超发了15%；
• 有9个账号属于已离职员工，DSLS里还挂着named user许可；
• 防火墙上4085端口对企业内网全开，查log发现3个外协IP在用；
• 5个模块（主要是复合材、DMU Kinematics）过去12个月零checkout，维保一直在交。

整改动作：

1. 测试环境的DSLS server下线，只保留主server一份，超发的feature重新核；
2. 9个离职账号注销回收，license转给新员工；
3. 防火墙只放行CAD工作站IP段，外协单独签Starter授权，切断共池；
4. 开启DSLS详细log + log rotation，写脚本每周自动出使用率报告；
5. 续约时砍掉5个零使用模块的维保，HD2从40套砍到34套（按P95算），省下来的预算补买了DMU Space Analysis；
6. 部署OpenLM，做feature级水位监控和异常访问告警。

结果：第一年license+维保总支出从420万降到342万（降19%），CATIA有效利用率从36%提到74%，DSLS log持续留存，下一次Dassault年度audit自查时，所有使用数据都能完整对账，"within licensed scope"结论一次通过，再也没人担心"被检测到"这回事了。