收到合规函的第一反应别是删软件，你删的那点东西在取证工具面前跟没删一样

西门子或达索的函件躺在法务邮箱里，抬头写着“未经授权使用”，附件里可能还夹着IP地址或者MAC地址的列表。IT主管的第一反应往往是“赶紧把没授权的卸了”，采购的第一反应是“问问销售能不能补几套便宜的”，研发主管的第一反应是“别动我工位，下周要出图”。三个反应凑在一起，就是一场小型灾难。

先说一个最容易被忽略的机制层面的东西。NX的许可走的是FlexNet/SPLM，许可证服务器在跑的时候是持续对外通信的，厂商侧能探测到许可证服务器的存在和大致位置。更麻烦的是文件本身：NX导出的JT文件里嵌了许可证信息和使用记录，.prt文件头里也带着版本、许可证类型甚至工作站标识。你发给客户的装配图，某种程度上就是一张带着指纹的底稿。SolidWorks那边则是另一套逻辑，SolidNetWork License Manager的日志文件lmgrd.log默认躺在C:\Program Files (x86)\SOLIDWORKS Corp\SolidNetWork License Manager\下面，记录着每一次签出和签入。这个日志有一个很要命的特性：许可服务器一停一启，日志就被重置清空。也就是说，如果你慌了神去重启服务“试试看”，历史使用记录可能就没了，而厂商手里如果已经有一条远程探测的时间线，你这边却拿不出对应的本地日志，事情会从“可能超装”变成“无法解释”。

所以第一件该做的事，跟技术无关：谁也别动。不要卸软件，不要清日志，不要重启许可服务器，不要让任何一个工程师以“个人身份”去回厂商审计员的电话。法务先把函件的主体、要求、截止时间看清楚，IT同步做一件事——对现有的许可服务器做快照，把当前的lmgrd.log或者FlexNet的debug日志原样拷出来，保留时间戳和文件哈希。有一个真实的判例摆在那里：法院去某公司做证据保全，公司把电脑里的Tekla删了，结果法院在四台机器里查到了六套软件的删除记录，最后赔了六十多万；另一个更极端的案子里，直接断电对抗保全，十三套被推定成二十二套，赔偿从六十万跳到了两百七十多万。删除这个动作本身，在有取证资质的鉴定面前，比软件本身更致命。

数据口径是第二个坑。采购那边的合同台账上写着“NX 12套，SolidWorks 30套”，IT用扫描工具拉出来的安装清单是NX 17台、SolidWorks 41台，业务部门报上来的“每天真正在用的人”又是另一组数字。这三组数字如果没有人去对齐，你拿什么去跟厂商谈？安装量、授权量、活跃并发量，这是三个完全不同的东西，但很多企业收到函件之后才第一次意识到它们的区别。正确的顺序是反过来的：先让IT从许可服务器导出按用户、按设备、按模块的签出记录，让采购把每一份合同的授权类型（是单机锁还是浮动池，是Named User还是并发）和有效期整理成同一张表，让业务确认哪些设备是外包驻场、哪些是共用工位、哪些虚拟机是自动开机就占着许可的。这三张表对不上，任何对外的回复都是给自己挖坑。

NX和SolidWorks不要用同一套逻辑去查。NX的token-based许可在FlexNet下可以跑lmutil lmstat -a -c 端口@服务器来拉实时签出状态，但Siemens的稽查如果已经在走流程，他们关心的往往不只是“你现在开了几个”，而是“过去一段时间里有多少台不同的设备、不同的账号触碰过服务器”。SolidWorks的lmgrd.log则更适合看历史签出签入的时间分布，缺点是它不重置就一直在长，重置了就断片，所以先把日志的定期归档做起来比研究什么“回收策略”重要得多。两边都需要做的，是把共用设备和虚拟机单独标出来。一个工位三个人轮班用，在安装清单上可能只算一台，但在并发峰值上可能是三份同时签出；一台VDI模板机克隆出二十个实例，每一个都可能独立去许可服务器要token。这些场景不提前摸清楚，你算出来的“缺口”和厂商算出来的“缺口”永远对不上。

联合自查的指挥关系，不用搞得多复杂，但有一条线必须清楚：技术事实由IT出，合同事实由采购出，业务影响由使用部门确认，对外口径由法务收口。IT不要直接回复审计员“我们大概超了五套”，采购不要在没有法务确认的情况下跟销售口头承诺“月底前补单”，业务也不要自作主张把某个外包团队的设备从清单里“拿掉”。厂商的审计员受过训练，一个普通工程师在电话里随口说的“那台机器是测试用的”，到了报告里可能就变成“承认该设备未获授权”。先冻结，再对齐口径，然后才谈得上“整改”。

最后说一个具体的。一家做非标设备的厂，同时收到了NX和SolidWorks两边的合规沟通。IT先拉安装清单，发现NX有19台，合同只有11套；SolidWorks有52台，合同写着40套浮动。采购坚持说“SolidWorks浮动池够用，40个并发平时从来跑不满”，IT把SNL的日志翻出来一看，确实平时并发在三十出头，但每周三下午结构评审之前会冲到四十五以上，超出的部分是怎么来的？查下去发现，有三个外包团队的工位用的是同一台共用机的克隆镜像，每个镜像都独立装了SolidWorks并且指向同一个许可服务器，平时没人管，评审前那几个人一开机就抢。NX那边更隐蔽，多出来的八台里有五台是已经离职或转岗的人留下的工位，电脑没重装，NX还在，许可服务器上那些账号早已无人登录，但安装记录和.prt文件都在。他们没有急着卸，先把这五台设备和三个外包镜像的清单、日志、快照拉齐，交给法务和采购。最后怎么谈的是另一回事，但至少交出去的东西经得起对方拿同一份日志来对。