Halcon Engine部署时为何常遇许可证验证失败？

Question

Halcon Engine部署时许可证验证失败，常见原因有三：一是运行环境未正确安装HALCON Runtime License（非开发版License），或license文件（如halcon.lic）未置于HALCON_LICENSE环境变量指定路径；二是Linux系统中因权限不足导致Engine进程无法读取license文件，或SELinux/AppArmor策略拦截访问；三是多实例并发部署时，License服务器（如HALCON License Server）连接超时、端口被防火墙阻断（默认端口27000），或浮动许可（Floating License）配额耗尽。此外，容器化部署（Docker/K8s）易遗漏license挂载、时区/主机名不一致触发反盗版校验失败，以及Windows服务以LocalSystem身份运行时无法加载用户级license注册表项。建议统一使用`halconenv`工具校验环境，并通过`hdevelop -check_license`或API `get_system('license_info')`实时诊断。

Answer 1

```html

一、现象层：许可证验证失败的典型报错与可观测信号

• HalconEngine::initialize() failed: License check failed
• HDevelop 启动时弹出 "No valid HALCON license found"
• 容器日志中出现 Cannot open license file '/opt/halcon/license/halcon.lic'
• Windows服务事件查看器记录 Event ID 7024: The HALCON Engine service terminated with error code 0x80070005 (Access Denied)
• get_system('license_info') 返回空字典或 'status': 'invalid'

二、环境层：HALCON Runtime License 部署合规性校验

HALCON Engine 仅依赖 Runtime License（非开发版），常见误操作包括：

错误类型	正确做法	验证命令
License文件未放置于$HALCON_LICENSE路径下	创建/opt/halcon/license/，将halcon.lic放入并设为644	echo $HALCON_LICENSE && ls -l $HALCON_LICENSE/halcon.lic
Windows注册表中写入了开发版License（HDevelop专用）	Runtime License 必须通过文件系统或HalconLicenseServer分发，不可复用HDevelop注册表项	reg query "HKEY_LOCAL_MACHINE\SOFTWARE\MVTec\HALCON-20.11\License" /v LicenseFile

三、权限与策略层：Linux 安全机制对License读取的深度影响

在RHEL/CentOS（SELinux）或Ubuntu（AppArmor）环境中，即使文件权限为644，仍可能因安全策略拦截访问。典型路径：

1. 检查SELinux上下文：ls -Z $HALCON_LICENSE/halcon.lic → 应为system_u:object_r:textrel_shlib_t:s0或自定义许可上下文
2. 临时放行测试：setsebool -P halcon_read_licenses on（需预定义策略模块）
3. AppArmor配置片段示例：/opt/halcon/license/** r, 加入/etc/apparmor.d/usr.bin.halconengine

四、网络与并发层：浮动许可（Floating License）部署的三大故障面

graph TD A[HALCON Engine 实例] -->|TCP 27000| B(HALCON License Server) B --> C{License Check} C -->|Success| D[分配许可槽位] C -->|Fail| E[超时/拒绝/配额满] E --> F[检查防火墙：
iptables -L -n | grep 27000] E --> G[检查许可池：
halconlicserver -status] E --> H[检查客户端主机名一致性：
hostname -f 必须与License Server白名单匹配]

五、容器化层：Docker/K8s 中被低估的License反盗版触发点

• 挂载遗漏：Docker run 必须显式绑定 license 目录：-v /host/license:/opt/halcon/license:ro
• 时区不一致：License Server 校验客户端系统时间偏移 >±300s 将拒绝授权 → 使用 -e TZ=Asia/Shanghai 并同步 NTP
• 主机名伪造失效：K8s Pod 默认 hostname 为随机字符串，需通过 hostname: my-halcon-node 或 hostAliases 显式声明
• 镜像内未预装 runtime license 工具链：基础镜像应包含 halconenv 和 halconlicserver CLI 工具用于健康检查

六、诊断工具链：从静态校验到运行时探针的闭环验证

推荐采用分层诊断流程：

1. 环境预检：halconenv --check-all 输出含 License Path OK、Runtime Version Match、Network Reachable 三项状态
2. 运行时探针：在Engine初始化后立即调用 get_system('license_info')，解析返回JSON中的 type（floating/standalone）、valid_until、features 字段
3. 服务级监控：Prometheus Exporter 可采集 halcon_license_slots_used、halcon_license_server_latency_ms 等指标

七、Windows服务特殊场景：LocalSystem 身份与注册表隔离问题

当HALCON Engine以Windows服务方式部署时，LocalSystem账户默认无法访问当前用户（User Hive）注册表中的License路径。解决方案包括：

• 将 license 文件路径硬编码至服务启动参数（推荐）：--license-file=C:\halcon\runtime.lic
• 使用 sc config "HALCONEngineSvc" obj= "NT AUTHORITY\LocalService" 切换为 LocalService（可访问部分用户配置）
• 通过组策略启用 Load user profile = true（仅适用于 Windows Server 2016+）
• 避免使用 HKEY_CURRENT_USER\SOFTWARE\MVTec\HALCON-xx.x\License 注册表项作为唯一许可源

```