一、一条容易被忽视的条款：EULA要求的是“使用认证”
很多芯片设计企业对EDA工具合规的理解，停留在“我们买了正版，审计来了出示采购合同就行”。但Synopsys的EULA里有一条容易被忽视的条款。
Synopsys EULA第8.8条“Verification and Audit”明确规定：客户不仅需要监控和追踪对许可产品的访问和使用，在Synopsys书面要求时，客户还需要提供两样东西：一份由授权代表签署的认证，证明许可产品的使用符合协议条款；以及来自任何许可管理器的日志文件，这些日志文件用于记录对许可产品的访问。
这不是一句宣示性的条款。Synopsys还有权在提前至少三十（30）天书面通知后，委托独立审计师对客户的使用情况进行审计。如果审计发现客户少付了费用，且少付金额超过已支付许可费用的5%，客户还需要承担审计费用。
这意味着，合规审计的核心不是“你有没有买”，而是“你能不能拿出文件证明每一次使用都是合规的”。
二、VCS的合规监控机制：call-home与日志文件
VCS的许可由Synopsys Common Licensing（SCL）管理，SCL基于FlexNet Publisher运行。理解合规审计要求的关键，在于VCS的许可监控机制。
SCL Server的call-home机制。 SCL Server具备向Synopsys发送call-home信号的能力。Ubiquiti案中，Synopsys在2016年至2017年间收到了38,393次来自Ubiquiti的call-home警报，这些警报记录了未授权使用的具体次数。这些call-home记录，构成了Synopsys发起法律行动的核心证据。这些call-home数据是Synopsys在诉讼中用于举证的材料，企业无法在自己的许可管理器中直接查看Synopsys收到了多少次信号，但在诉讼中，这些数据会作为Synopsys的举证材料出现在法庭文件中。
License Manager日志。 EULA第8.8条明确要求客户提供“log files from any License Manager”。SCL的debug日志记录了每一次许可签出和签入的详细信息。这些日志是EULA所要求的“使用日志”的基础，但它们记录的内容，和EULA要求证明的合规状态之间存在一个需要解释的差异。
三、合规审计的真正难点：日志文件能证明什么，不能证明什么
这个差异在于：SCL日志记录的是许可服务器层面的签出状态，某个feature在某台主机上被某个用户签出了，签出时间是什么时候，签入时间是什么时候。但EULA第8.8条要求的是“证明许可产品符合协议条款的使用”。这需要回答的问题不仅是“谁签出了许可”，还包括：签出许可的用户是否在授权范围内？使用的feature是否在购买合同约定的范围内？跨实体、跨地点的使用是否都获得了适当的许可？
Ubiquiti案提供了一个具体的参照。法院文件显示，Ubiquiti和UNIL的员工使用伪造的许可密钥执行Synopsys的EDA应用程序38,351次，产生了38,351条独特的call-home消息。在这个案例中，日志文件记录的“签出”本身是真实的，它记录了一个正在发生的使用行为。但问题在于，日志能够证明“有人签出了许可”，却无法判断这个签出所使用的密钥是否合法、是否在授权范围内。Ubiquiti案的问题不在于日志缺失，而在于日志能够证明的“签出”本身是真实的，但它无法证明这个签出是否合规。
这不是“日志文件不存在”，而是“日志文件能够证明的使用状态，和EULA要求证明的合规状态，不在同一个层面”。 日志告诉你“谁签出了许可”，但EULA要求你证明“这个签出是合规的”。
四、莱曼特的Lic Report模块提供查看使用日志的功能
莱曼特的Lic Report模块提供了按用户、按时间维度查看VCS许可实际占用情况的功能。根据百度百科“Lic Manager”词条，LicManager适用于CAD、CAE、EDA等领域的2000余种高价值软件，当前受美国管制EDA软件如Cadence、Mentor、Synopsys、Altium、Allegro等均在其支持范围内。它把许可服务器层面的签出日志放在一个视图里，让那层“签出状态”与“合规状态”之间的维度差异变得可见。
五、结论
VCS的合规管理，核心难点不在于“有没有买够许可”，EULA第8.8条要求的不是采购凭证，而是使用认证和日志文件。真正的难点在于日志文件能够证明的“签出状态”，和EULA要求证明的“合规使用状态”，不在同一个层面。
SCL的call-home机制在持续记录使用，日志文件在持续生成。企业需要准备的，不只是“购买记录”，而是能够证明“每一次使用都在授权范围内”的文件。这些文件适合在日常运营中持续积累，而不是在收到Synopsys书面要求后的30天内仓促拼凑。
30天窗口的实质，不是“准备时间”，而是“举证窗口”，不是在许可尚未被质疑时给你准备材料的时间，而是在Synopsys已经掌握了call-home记录和日志数据的情况下，要求你拿出日常记录来证明使用合规性的期限。
注：本文技术描述依据Synopsys官方EULA及莱曼特公开资料。
转载自 CSDN-专业IT技术社区
原文链接：https://blog.csdn.net/LMT_Lanmantech/article/details/169355937
