收到律师函才查License，你已经输了半步

先说实话：你猜不到厂商手里有什么，但你能把自己的账先对清楚。

我见过最被动的一家企业，是PTC的合规团队带着第三方律师和公证人员直接上门的，不是发邮件，不是打电话，人到了前台才通知IT。对方拿出一叠打印好的许可证服务器连接记录，精确到每台机器的IP、登录时间、使用时长。IT主管当场愣住，因为他自己从来没看过这些日志。最后赔了150万，外加强制采购30套正版。

这事的关键不在于PTC有多狠。关键在于，厂商手里的证据，绝大部分是你自己的系统在正常运行过程中攒下来的。你只是没看，他们看了。

厂商怎么“看见”你

工业软件厂商的核查手段，说白了就是三类东西叠在一起，没有多少神秘可言。

第一类是许可证服务器本身。FlexNet（现在叫FlexNet Publisher）也好，达索的DSLS也好，西门子的FLEXnet也好，这些许可管理器天生就在记录每一次check-out和check-in。谁、在哪台机器、什么时间、拿了哪个feature、用了多久，一条一条都在日志里。PTC可以通过FlexNet远程检测许可证服务器的活动状态、并发数量和地理位置。你以为是内网的事，其实服务器在往外说话。

第二类是产品内置的遥测和认证。Autodesk现在所有当前产品都要登录Autodesk identity并上报使用数据，厂商在你收到第一封邮件之前，很可能已经知道你的缺口在哪。SolidWorks的“Phone Home”也是同一个逻辑——回传许可证密钥，跟官方数据库比对，对不上就记一条异常。这类机制不是阴谋，它在用户协议里写着，只是没人读。

第三类最容易被忽略：业务系统里的操作痕迹。如果你上了Windchill，每台终端的登录信息、文件检出/检入记录、操作时间戳全在里面。Creo导出的.prt和.asm文件头里嵌着软件版本号和许可证类型，文件本身就在自证来源。你删了软件，历史文件删不干净；你断了网，U盘拷出去的文件照样能溯源。

企业核验时最容易犯的错

第一个错，是收到函就急着卸载。卸载不会让已经发生的使用记录消失，反而可能把时间线搞乱。厂商来函里通常会指定一个核查基准日，你把软件删了，基准日之前的事实你拿什么还原？正确的顺序是先把安装记录、许可证服务器日志、采购合同和授权凭证按时间轴对齐，再谈动作。该隔离的隔离，该停用的停用，但原始记录先锁死。

第二个错，是拿安装量当使用量、拿登录人数当并发数去跟厂商对账。Autodesk的合规审查里，排第一的发现类型就是“Named User超部署”，占34%，共享账号、一个账号多台机器同时登录是主要触发方式；“旧版本超授权使用”占24%；“网络部署残留安装”占18%。这三个东西对应的合同条款和计量口径完全不同，混在一起算，你连自己到底缺不缺、缺多少都说不清。

第三个错，是让研发主管或者某个热心的IT工程师自己去回邮件。多个部门分别对外回复，事实口径、承诺范围、材料版本必然打架。核查应该有一个统一的内部负责人，IT负责还原技术事实，采购负责整理授权材料和合同条款，业务确认每个使用场景的真实性，对外口径由法务或指定窗口统一出。在事实没核清之前，谁都不该对责任性质或金额做任何承诺。

一个具体的例子

某大型装备制造企业，近两千名研发人员，CAE/CAD年采购投入过千万。在一次厂商例行合规审计中，审计工具扫出来的实际运行实例数比购买的许可证数量多出近30%，追缴过去两年超额使用费加罚款共计八十余万元。

根源不是盗版，是虚拟机克隆。研发团队为了省事，把几台高性能工作站连同许可证环境做了镜像，新员工入职或者算力不够的时候直接克隆一台虚拟机就开工。一台授权变成了十几台在用，而且完全在IT监控之外。传统单机授权文件绑的往往只是MAC地址或硬盘序列号，镜像一克隆，绑定信息跟着复制，系统分不清原始和副本，每一台都“合法”地跑起来了。

审计通知来的时候，IT手里没有一份能对应到具体设备、具体账号、具体时间的使用底稿。八十多万的罚单里，有一部分买的其实是“不知道”这三个字。