台账只记了“买过”，审计来了照样抓瞎

干这行的都知道一个挺操蛋的事：你手上那张Excel，记的是“哪年哪月花了多少钱买了多少套”，但它记不了“现在到底谁在用、用没在用、用的是不是他该用的那个”。

原厂审计的人坐下来，第一句话不会是“你们买了多少”，他直接要许可服务器日志。他要看的是峰值并发到了多少，谁在什么时候 checkout 了什么 feature，持续了多久。你那张采购台账救不了你。

先把底层的账算清楚，不然后面全是糊涂账

软件许可这东西，不是“买了就等于能用”。三种模式，三套完全不同的算法：

Named User 绑的是人。西门子的条款写得挺死，一个 Named User 许可每个自然月只能重指派一次。你研发流动快，离职的人不释放，新人就挂不上去，账面上一堆“幽灵用户”在吃授权。这种模式审计的时候不看你峰值，就看授权名单上的人和实际登录的人对不对得上，多一个就是多一个。

Concurrent / Floating 看的是同一时刻的并发数，不是总人数。50个人装过、用过，平时只有5个在跑，不违规。但审计读的是你许可服务器日志里重建出来的峰值，不是平均值。峰值那一秒穿了，就是穿了，没有“我们平时用得少”这种说法。

Token-based 更阴。Siemens 的 NX、Teamcenter、Simcenter 走的是共享池，你调用一个高模块，就从池子里按权重扣 token。界面不会弹“你超了”，但日志里峰值消耗悄悄越过了 entitlement。Ansys 也有类似逻辑，HPC 求解吃的是 anshpc token，开一个 24 核的 Fluent 作业，几个 token 同时就没了，你根本来不及反应。

企业在这上面踩的坑，翻来覆去就那几类

Named User 离职不回收。这是最冤的一种。人走了，账号还在授权名单上挂着，每个月重指派的机会白白浪费掉。半年下来池子里躺着七八个“死人”，新人入职还得走特批。

Concurrent 被“占着不干活”的会话锁死。设计师去开会，SolidWorks 锁屏挂着；仿真岗提交完作业切去写报告，Mechanical 的 GUI 还在吃 license。FlexNet 默认只认心跳，TCP 不断它就当人还在，TIMEOUT 参数设了也未必按你想象的方式触发。

虚拟机克隆。一台授权做成镜像，新员工来了直接克隆，系统分不清原始和副本。航空发动机那个案子就是这么炸的，后面细说。

试用到期不锁死。软件继续跑，只是偶尔弹个提醒，IT 和采购都不知道，审计的时候这一段全算无授权使用。

版本和模块混用。SolidWorks 的 Standard / Professional / Premium 是叠加逻辑，但叠加不等于可以拆开给不同的人分别用。Catia 的模块化授权更细，基础包和 GSD、装配、运动仿真各算各的，工程师在界面上勾一下高级模块，日志里就多一条你解释不清的 feature 调用。

动手的顺序：先看清楚，再动手，最后才谈工具

第一步，摸底，只读不碰。 别上来就开自动回收。把 FlexNet 的 lmstat 拉两周，重点看三个东西：每个 feature 的峰值并发到底是多少；谁 checkout 了之后长时间没有活跃操作；峰值占用和实际在岗人数的差距有多大。

这里有个坑得提前说：lmstat 里的“start time”不等于“人还在”。得结合 AD 登录状态、RDP 会话，或者端点代理抓的键鼠输入来交叉判断，否则你把跑批的后台节点当成“闲置”踢了，研发能追着你骂一上午。

第二步，用厂商自己的机制做回收，别瞎改。 FlexNet 体系下，TIMEOUTALL 是最便宜的软超时手段。在 options 文件里挂 TIMEOUTALL 1800，就是 30 分钟无活动服务端自动回收。但阈值不能一刀切：NX / SolidWorks 纯建模 15 到 20 分钟比较合适，Catia 启动慢、大装配保存久，可以放到 20 到 25 分钟；Ansys 的求解节点一定要加白名单，后台在算的时候 GUI 没键鼠输入，但绝对不能碰。

lmremove 只留给真死会话：网络闪断了，客户端没重连，服务端还认为活着。用之前先用 lmstat 把 user / host / display 四元组拿准，默认 lmadmin 是禁用这功能的，误杀风险自己担。Named User 那边，把“每月重指派”做成一个离职流程里的固定动作，人走的那天就从授权文件里摘出去，别等到月底才发现额度用完了。

第三步，工具只在你看不清的时候才上。 如果你们家主要是 FlexLM / DSLS 体系，OpenLM 这类工具的核心价值是把“旁路监听会话”和“端点键鼠状态”拼在一起，做应用层空闲识别，而不是只看心跳。格发那种偏国内落地的方案，把 TIMEOUTALL、分组策略和报表包在一个控制台里，适合不想自己养脚本的团队。选型只问一个问题：能不能把“谁、哪台机器、什么 feature、checkout 时间、最后活跃时间”这条链拉出来。拉不出来，报表再漂亮也是糊弄鬼。

一个真实的案例，数字比道理更扎人

某航空发动机研究机构，研发人员规模不小，CAD/CAE 年年续费。原厂审计一扫，实际运行实例比购买量多出将近 30%，追缴过去两年超额使用费加罚款，折合人民币八十多万。IT 部门每个月还要额外花 30 人时去处理许可证相关的扯皮和临时补救。

根子不在采购，在研发为了图快，把工作站软件环境连同许可一起做成了虚拟机镜像，新员工入职直接克隆。系统分不清原始和副本，每一台克隆机都在正常跑，但授权台账上只写了一台。

后来他们做对的事，不是什么高深的东西：给许可绑硬件指纹，克隆出来的虚拟机指纹对不上，直接拒绝运行；到期没续的许可自动停，不留“默认延长”的口子；每一份许可从签发到回收全留日志。再审计的时候，追缴归零，许可交付从一两天缩到十分钟以内。

这个案例里最值得记住的一句话是：你“买了”证明不了你“在用”，你“在用”也证明不了你“用得对”。能把“买、装、用、收”串成一条可追溯的链，审计才从一场突袭变成一次例行检查。