从2004年开始，我写过几次小型IC设计中心的IT环境。比较多的论述了创业类型的芯片设计公司，应该怎么去设计自己的IT环境。这10多年间，有不少初创型的公司来咨询过如何更好的规划IT系统，我都尽力协助解决。

　　我本人也在这期间经历过各种类型的公司，包括提供EDA平台的苏州ICC，做交换机芯片的CentecNetworks，已经被收购的Broadcom，做嵌入式CPU的China-Core，以及过去两年为其工作的初创大型CPU设计公司，IBM Power8在中国的落地项目中晟宏芯。以上工作经历，给了我很多锻炼，让我在面对各种大小类型的IC设计公司的时候，变得更加成熟。但是，在这个过程中，深感国内的IC设计公司在IT环境的建设方面，跟国际大公司比较，差距依然非常大。

　　如何将自己的经验分享出来，以提高中国IC设计公司的IT水平，变得越来越重要，也越来越紧迫。希望本文有助于目前在中国逐渐兴起的IC设计行业，在国家的大基金项目下，少走弯路，缩小跟国外的大公司之间的差距。

　　基础设施主要包含网络、机房等方面，我这里主要介绍的是机房的建设。过去十多年，我建过几台服务器的小机房，也建过几百台服务器的小型数据中心。考量的东西很多，因为本篇主要论述大型IC设计中心的IT环境，所以主要讲的是几百台服务器的机房。

　　我们可以看到这个数据中心分成了多个部分：接入机房，实验室机房，消防钢瓶间，UPS配电间，电池间，主机房，值班室。

　　跟供电方核对，是否有满足需求的电力接入。然后可以确定UPS容量，最后通过设备的断电后备时间要求，计算出需要多少电池。供电系统是一个很复杂的设计，需要机房设计方认真核对，一旦错误，后期很难补救。

　　作为用户方:我们提供的信息主要有：总机房设备的最大负载、供电冗余要求、每机柜多少KW、电池的后备时间。

　　送风的方式，经过机房地板形成一个冷热回路。这种方式在很多地方使用，优点是送风集中，运维方便。缺点就是噪音大，空调冷热路径长，能耗损失多。另外一种，就是行间空调。行间空调顾名思义，就是空调就位于机柜旁边，空调出来的冷风就被机柜上放置的服务器吸入，然后从服务器后端排出热空调，形成循环。

　　这也是一个难以取舍的选择。整体来说，风冷技术成熟，能耗比水冷高。但是水冷风险高，因为管路的安装和维护要求高，一旦漏水，对机房来说都是大事故。但是，水冷真的可以很大程度降低能耗。

　　机房布线的考虑，经常受到环境的限制，经常我们不得不取舍。主要需要考虑的是水管如何布置，包括加湿器的进水管和冷凝水的排水管。强电线缆如何布局以及弱电（双绞线及光纤线缆）布局。

　　水管的布局，需要考虑漏水的情况下，对机房的影响。机房漏水从来不是小问题，任何处置不当，就可能导致机房停止运行。主要有两方面的水路需要处理，一边为冷凝水的排出，另外就是加湿器的进水。建设机房的时候，建设方提出想把顶楼的排水管在中间开口，通过这个排水口去释放空调的冷凝水，听起来不错吧？可如果大雨的情况下，排水管堵塞或者来不及排出去的时候，水就会从排水管的开口处，直接往机房排放。加湿器进水一定要前置阀门，随时将其管理。否则，自来水的突然高压，可能会导致机房大面积过水。由于进水管的安装问题，我甚至不得不将加湿器进水管完全关闭，以免发生意外。水管一般都是从机房地板下走。

　　强电的安装需要注意跟弱电分开，因为强电会干扰弱电信号。这就提出了一个现实的问题：强电到底应该走顶部还是地下？因为顶部往往会走弱电线缆。弱电走顶部的一个好处是后期维护和排错更加方便。我这里设计方选择了走地下，地板下有40cm，强电在架设的桥架上走。但是，因为排水管需要有一定高度，不得不走了强电桥架的上部，这应该是一个失败的设计。但是，如果强电走顶部，弱电怎么办？两者之间需要隔离。整体的通道和机柜设计已经解决这个问题，所以建议选择冷通道和机柜的时候，选择好顶部可以分割强弱电布线的产品。这样可以很好的解决强弱电分离的问题，同时避免了强电跟水路一起走的尴尬。

　　接入机房负责跟外界的沟通，包括各家运营商的接入线路：电信的互联网，电信的电话，联通的互联网，专线等。

　　我们都知道，IC设计公司是要做出硬件产品的，而很多工作需要的服务器，不是IT人员去管理，而是设计人员自己做各种测试使用。如果没有一个独立的空间，是无法做好隔离的。这样测试环境会让整个IT系统不稳定。仿真器等设备需要大功率的制冷和独立空间，所以实验室机房采取传统的精密空调，采用下送风的方式制冷。

　　我们主机房按照标准模式，设计了独立的消防管网系统，气体灭火。UPS配电间跟电池间。UPS设备目前有模块化的，可以考虑，避免机房设备不足的时候，UPS浪费电力严重的情况发生。

　　这个涉及的考量很多，很多时候我们不得不折中考量，这让人感觉很无奈。比如，我们需要考虑楼层的承重，一旦我们考虑建设机房的地方，如果楼下是空的，就需要建筑设计单位拿出承重设计数据，不能满足我们需求的情况下，我们需要加固。一般情况下，都是不能满足的，没有哪家建筑设计院会将普通的办公楼设计为承重达到机房的要求，除非是厂房设计。一般建筑的承重为250kg—500kg，而我们机房一般要求1000kg-2000kg之间。特别是UPS电池间，这个地方要求的承重非常高。

　　如果我们选择地下没有架空的一楼做机房，当然就不需要重新加固建筑承重了，但是一楼往往会面临另外一个问题。机房空调的外机往哪儿放？现在的建筑一般都是空调放在顶楼，如果一楼的机房到顶楼的距离过长，会影响制冷效果，能耗也会损失更多。另外，一楼还需要防水，特别是暴雨来临，如果地势低洼，很可能导致倒灌，一旦进入机房，整个机房就可能完全停止工作。

　　集中式布局，一般在一个冷通道采用一台大型多插槽的交换机，这样的布局方式，机房布线是一个难点，因为几百根网线要布局到核心交换机处，线缆的连接非常麻烦，好处是解决问题的时候简单，且由于交换机多采用了个冗余部件，很少出现故障。各个机柜之间也基本是线速连接的。

　　分布式布局，多采用TOR交换机模式，即每个机柜顶部安装一台交换机，然后各交换机通过上联到核心交换机处实现连接。这样的连接方式，交换机数量比较多，可能不得不浪费很多端口，因为我们一个机柜里边很难会完全用完交换机端口（现在一般交换机都是24口-48口）。这种方式的优点是：布线非常简洁，只要每机柜到核心交换机机柜布置2根6芯的光纤+2根六类线即可。

　　建议新建的机房采用10G TOR交换机+40G上联，这是趋势，服务器之间采用10G连接的成本已经降到足够低了。可以满足一段时间的需求。

　　无论采用分布式还是集中式，都推荐在每个机柜上放一台简单2层交换机，用于设备的远程管理口，比如服务器的ipmi端口。这样可以不用随时进出机房去开启关闭服务器。

　　消防部门审批方案和报备，必须是当地有资质的建设方。另外，气体释放的方式最好是经过监控室人工确认，否则可能导致机房人员没有按时撤离，窒息而死。

　　首先让我们来看一个网络的结构示意图，因为这部分涉及到实际内容，我只能通过示意图的方式来简单讲一下基本的要求。无法提供真实的网络结构图给大家看了。

　　用于隔离互联网跟办公网。我们对外提供的有限服务位于防火墙后面，这也是最容易被外部攻击的区域。在这里，我们通过ACL等措施隔离办公网络流量，防火墙部署入侵检测和杀毒等服务。

　　是物理隔离，另一种是逻辑隔离，各有优缺点，按需采用即可。物理隔离的优点是安全，任何通过网络入侵的机会将为零。但是缺点是实用性和方便性遇到困难，无法做到多个异地site协同工作。逻辑隔离是采用各种安全规范，严格限制研发网络跟办公网络的交互，实现即时办公网络被入侵，依然可以保证研发网络安全的网络设计。这种优点是可以多site协助，跟外部交流容易。缺点就是存在安全错误导致的安全风险存在可能。

　　能有效隔离，就会造成安全风险点大面积增加。同时，对内的安全防护就无从谈起。使用，我们一般会在登陆客户端跟设计服务器之间采用防火墙来隔离。同时，登陆服务器也需要采取各种安全措施，避免被内部用户入侵控制。

　　点对点电路上，相当于给提供物理链路给你。这种方式优点是点对点，只要电路不断，你的网络一定不会跟其他共享带宽。MPLS VPN是用的更多的专线方式，其特点是环状组网，使用逻辑隔离，将数据从一个大的带宽网络中隔离出来，运营商采用各种方式尽量保证你的带宽符合你申请的带宽。

　　如果只是两点，可以考虑SDH，如果是多点，建议还是用MPLS VPN比较合适。专线方式可以提供比互联网ipsec vpn更好的稳定性，建议研发的工作环境采用。而对于稳定性要求不高的应用，建议还是采用传统的ipsec vpn方式节省费用，比较专线每月都需要付出一大笔钱。

　　额外提示一点：目前研发设计网络，经常需要使用google等搜索引擎查询资料。国内的网络连接国外有防火墙封锁，同时两大运营商的问题导致访问国外异常慢，丢包率非常高。解决这类问题，目前有几个办法：方法一,购买一些vpn服务账号，适合个人使用。方法二、公司拉一条专线到香港，通过香港本地上internet。适合公司一起使用的，但是这种方式成本很高，差不多1000元/M，一条10M的线路需要每个月一万了。方法三、通过上面所述的MPLS VPN，路由到国外再上internet，类似方法二，只是成本更高，如果刚好有上下线非对称应用，比如国外分部主要通过MPLS访问总部资源的时候，主要是下行带宽，总部可以利用其上行带宽。方法四、采用SDN的方式和云计算结合，通过公有云实现这类应用，成本在100-300RMB/兆

　　看过我以前文章的朋友，一定会记得，2004年，我推荐Solaris8。2008年推荐的OS是RHEL3和RHEL4，到了2013年我写的文章，已经推荐RHEL5了。今天（2015年底）我推荐的是RHEL6.7。推荐OS必须跟当时所处的情况有关，目前三大软件商cadence synopsys mentor都已经支持RHEL6，所以采用RHEL6毫无问题。我们目前全部都采用的是RHEL6.7的OS。

　　CPU架构方面，依然推荐Intel的E5-2600v3和v4双路服务器，特殊情况可以考虑E7的4路服务器。作为一家主要引入IBM Power8处理器设计的公司来说，采用intel的CPU是不是有些特别的意味？一点也不奇怪，因为EDA vendor的主要软件都是支持x86的处理器，只有少量软件会支持AIX+Power。而从性价比来说，显然x86更有优势。

　　OS安装需要采用kickstart实现一致性安装，即所有服务器跑的系统和软件包都一样。实现本地的OS image和epel库，然后通过pssh等分布式管理工具实现软件安装的一致性要求。

　　我这里采用了windows 2008R2 + NIS来实现，使用NIS这么古老的认证技术主要是考虑了其简单方便性，没有过多考虑其他如安全等特性。

　　采用NIS的原因是我们会在后面实现autofs功能，这样PXE安装的Linux服务器就不需要挂载很多文件系统，而直接采用autofs的方式挂载。

　　ip地址的麻烦。某些服务器在采用了内部dns后，可以更容易使用。目前提供dns服务器的主要有两个程序：bind和dnsmasq。前者是传统的dns服务器，功能强大。后者是简单的dns+dhcp服务，一般用于小型环境。优点就是便捷，使用方便。具体服务器搭建，这里不再详细介绍，提醒一点是dnsmasq默认不提供跨vlan的dns服务，需要绑定interface。

　　内部ntp服务在这种环境下几乎是必须的。Ntp可实现内部时间的统一，避免认证失败或者文件时间冲突等问题。Ntp服务器的实现非常简单，不做介绍，注意要周期性跟ntp服务器同步时间。

　　要的工作。由于我们公司采用了内外网隔离的方式，所以我们的平时跟外部联系的邮件系统跟内部邮件系统是完全独立的两套。

　　外部邮件系统主要考虑的是防病毒，防垃圾邮件，安全，可维护性及尽量少的中断时间。基于以上考虑，我们最终选择了托管出去的方式。以前在多家公司，都用了自己搭建的邮件系统，包括exchange或者其他专业的邮件软件，开放25端口来跟外部通信。其中最麻烦的事情不是安全，而是垃圾邮件太多。如果公司自己购买一台垃圾邮件过滤系统，费用很高且可能一定程度误报误删，这样对公司来说是无法接受的。由于新建公司没有多少邮件迁移的任务，我们最终采用了托管出去的方式，按用户付费，这样完全避免了垃圾邮件的困扰。

　　内部邮件系统，我们采用了postfix来自己搭建一套。考虑到有需求，我们采取措施，让托管出去的邮件可以直接转发到内部邮件服务器上。这里涉及到了一个中转服务器。

　　设计行业中，有几个重要因素需要考虑：实时压缩、高速SSD做缓存、重复数据删除、snapshotmac vpn 浏览器、NFS v4 ACL、Backup。

　　实时压缩，可以很大程度减少存储容量的使用。在IC设计中，经常可以做到2倍的压缩率，即容量提升了一倍。同时，还提升了IO能力，因为压缩后的数据更小，有利于读写。现代的CPU都很快，压缩不会带来太大的负担。所以，可以放心使用。

　　高速SSD缓存，全闪存太贵，而采用SSD做缓存的方案，可以很大程度上将热点数据放在高速SSD上，遇到调用的时候不再去磁盘中寻找，这样可以很大程度上提供IOPS，是一种利用较低成本提供了较大效益的方案。

　　重复数据删除，重复数据删除功能可以在很大程度上减少磁盘空间的使用量，特别是针对某些应用，比如虚拟化及多版本开发环境。

　　Snapshot，这里的snapshot一定要跟SAN盘阵的区分开来，也跟LVM的不一样。基于netapp和zfs的snapshot功能，允许用户自我管理不小心删除的数据，随时自己去恢复，减少管理员的麻烦。提高了用户的满意度。

　　NFSv4 ACL，由于其提供了很多高级特性，可以实现项目的管理方式，让项目经理去管理目录的权限，将IT从权限管理的繁琐中解脱，同时，给项目经理足够大的自由度，让他们更快捷的实现自己的要求。

　　备份，是一个重要的话题，数据备份可能永远都是在做后备，但是一旦需要恢复，备份就显得格外重要。目前主要考虑采用D2D的备份+磁带归档的方式实现长期的数据备份需求。

　　由于我们的环境主要是NAS存储的NFS共享，满足以上要求的主要有netapp的存储及基于zfs的存储系统，如oracle ZS4

　　目前在国内做支持最好的依然是netapp存储，但是netapp的销售策略要小心，存在销售控制价格的行为特别严重，甚至可以做到价格差异30%-50%的情况。因为是区域控价，你如果选定了必须用它，几乎无任何的议价能力，被迫接受高价。在大厂商面前，用户很弱势。唯一的反击就是绝对不要选择某一家厂商的产品作为采购要求。

　　v3/v4及AFS GPFS文件系统的优缺点NFS v3是过去和当前依然在大量使用的协议，几乎所有的系统都能支持，使

　　用和配置也很简单。但是，nfsv3缺乏一些特性，如安全性不足，缺乏更严格的acl支持，缺乏并行支持等。所以，后来开发了nfs v4，提供了更加先进的一些功能。我们主要会使用到nfs v4的功能就是nfs v4 acl支持。目前很多测试环境下，nfs v3的性能依然比nfs v4更快。所以，除了需要设置acl的时候，否则其他地方应该挂载nfs v3为主。

　　AFS文件系统是另外一种主要的网络文件系统，其提供了很多优秀的功能，比如本地cache，acl，quota，分布式等。但是，国内很少用到，商业化支持也不足，所以不建议使用。

　　GPFS是IBM开发的商业产品，可以实现分布式，如果不考虑费用问题，可以考虑在某些关键的应用中采用。

　　另外可以提一下存储的空间利用率，往往存储的利用率超过85%(有说90%)，读写效率将大幅下降。实际生产环境中，磁带归档是否是一个效率(备份和恢复)很低的办法？----------------------------------------

　　回复如下：要想获得高的IOPS，机械硬盘已经无法应对了。以前的做法一般是raid卡带cache（write back）+ 15000RPM的硬盘。cache的好处是写入小文件加速，因为直接返回，但是读取依然会很慢。现在大量采用的10000转 2.5 SAS盘，已经算是不错的了，但是IOPS依然不高。唯一能解决IOPS的只有SSD，nvme的SSD会更快。存储超过85% 90%，读写效率大量下降的根本原因是写入算法的改变。以zfs文件系统举例，zfs文件系统在80%之前，是write anywhere，就是只要有空的地方就写。80%以后，马上改变算法，需要找一个比较合适的位置写，显然速度一下就下降了。netapp的WALF也有一样的问题。我写的是磁带归档，而不是主要用于备份。磁带的缺点很多，比如速度慢，无法online方式查询恢复。最大的问题是：你需要找回数据的时候，可能根本读不出来！所以，它只适合归档，因为一盘一盘磁带，拿出去放银行保险柜，依然是最方便的做法。当然，如果你可以做到磁盘方式归档，更好。目前建议的是D2D2T（即磁盘到磁盘备份，然后从备份磁盘归档到磁带）。因为全闪存太贵，建议大家设计系统的时候，以project的方式分流。将iops要求很高的项目才放入SSD，而普通项目，依然放入大容量的7200RPM或者10000RPM的磁盘系统。备份系统则毫无疑问，采用7200RPM 3.5寸的大容量磁盘。--------------------------

　　随时随地访问内部网络。所以，首先要评估是否可以做到足够的安全级别，让非法的用户无法通过窃取账号等方式登录你的网络。

　　VPN接入，需要至少做到双因素的认证。主流的做法包括RSA SecureID这种基于时间的双因素或者USB Key基于证书的双因素。当前，还需要考虑VPN支持移动客户端和MAC OSX系统。因为，这两方面的用户越来越多了，有更多的接入需求。

　　IC设计中，一般都在服务器完成，但是也需要用户从终端登录服务器。如果用户可以将服务器的文本copy到本地终端，那么就存在带走的可能性。我对于数据安全的主要观点是：数据需要位于服务器上，用户无法物理接触的数据才是安全的。数据分级，防止一个用户拥有所有数据的权限，可以防止被某人获得全部数据。带出数据需要审核及归档，这样做到有据可查。

　　目前的登陆软件，很多可以禁止用户剪切板的数据copy到用户端。同时，采用防火墙，防止用户直接从内部服务器主动连接客户端获取数据。

　　目前小公司普遍采用的登录软件有Xmanager/Exceed/VNC/FreeNX，而大公司普遍采用的有Xenapp/NX/EoD/Go-Global等。对于以上软件，我都有一定程度的接触，所以在此做一个简单评价。

　　Xmanger和Exceed，属于利用X协议，在windows平台实现的X Server，优点是使用方便，使用的人很多，性能在局域网也不错。缺点就是，一旦用户端跟服务器之间的网络意外终端，或者客户端关机，所有正在服务器上运行的job丢失。

　　VNC免费版使用非常广泛，其实现了网络断开也不会丢失正在运行的工作。但是免费版限制很多，比如需要用户设置专用的vnc登陆密码，无法禁止用户Copy&Paste服务器数据到本地。另外，VNC协议实现对网络带宽消耗很大，不适合于WAN网络连接。

　　FreeNX是基于No-Machine免费开源的library实现的免费远程登陆软件。目前有另外一个如日中天的类似软件，叫做X2Go。FreeNX基于SSH协议，实现了压缩传输等功能，效率比VNC提高很多。但是其基于SSH协议实现，给系统安全留下了隐患。

　　VNC Enterprise，实现了更高级的功能，包括验证集成了系统验证，不需要额外设置vnc登陆密码，也可以禁用剪切板等高级功能，还可以通过policy设置。对于小型设计环节，目前是一个非常值得考虑的选择。

　　Nomachine公司发布的NX商业版本可以支持更多功能，国内有几个公司在使用，具体功能不了解，比如如何实现及时采用SSH协议，也不担心被设置转发隧道，从而解决安全问题的。

　　EoD的全称是Exceed On Demand。软件费用昂贵，国内使用的人很少，目前我知道的是IBM基于EoD实现登陆。EoD软件可以禁用Copy&Paste，同时gateway模式可以让用户无法直接在EoD服务器上工作，让EoD服务器实现gateway转发即可。EoD可实现share桌面，对于远程会议共享桌面和需要远程协助debug的时候非常有用。推荐不差钱的大公司选择EoD，是我见过最佳的登陆软件了。

　　Go-Global是另外一个登陆软件，分为for windows和for unix版本。实现上比VNC要快，国内也有商业支持，也比较成熟和稳定。不过其客户端目前只支持windows系统，这点需要注意。如果是中小型公司，可以考虑采用。

　　陆服务器就那么两台，一旦使用GNOME和KDE，整个系统负载是非常高的。而我们的设计工程师，根本不需要那么复杂的桌面环境，最简单的才是最高效的。在我的工作中，我推荐过使用fvwm，自定义过一个非常简洁的桌面环境，但是由于定制要求很高，用户使用起来感觉不是很好。不过fvwm可定制性很高，可实现非常棒的一些效果。

　　后来我选择使用过XFCE，另外一个比较其GNOME和KDE较轻量级的桌面。在2008年-2013年，我都认为这是一个不错的桌面环境，在很多地方推荐使用过。但是，xfce的安装包很多，最好通过yum自动安装。我们也逐渐在考虑一个更加合适的窗口管理器。

　　2015年，一个新的同事推荐了icewm。我认为目前这个是最合适IC设计公司工程师的窗口管理器了。

　　乎所有大的IC设计公司都采用的是LSF的软件来做负载均衡。不过，这个软件是商业软件，授权费比较贵，大约要1-2万一台服务器(以core计费）。下图为lsload命令所显示的结果，大家可以看到各台服务器的负载，CPU利用率，剩余内存等信息。

　　LSF会自动去调度，找出最佳的后台服务器，尽量做到负载均衡。所有的后台服务器，用户都不能直接登录去run，这是由系统和网络结构限制的。但是，对于用户，要让所有的操作做到最简单，用户不需要去了解复杂的后台设计。

　　目前SGE是免费且开源的，国内也有不少公司在使用。但是使用起来，感觉差异很大，可能是习惯问题，我始终无法适应SGE。我也不推荐使用sge。

　　前面介绍了LSF是商业软件，授权费比较昂贵。这里推荐一个兼容LSF命令的软件，Openlava，其基于LSF 4.2发布的开源版本，目前最新的是3.3，由Teraproc公司主要开发和支持。推荐国内的大公司采用，只需要少量的支持费即可。目前主要基于x86的linux环境，如果你有其他异构系统，需要联系厂家获取是否可以支持。如果大家对于采用openlava感兴趣，可以联系我，我可以协助测试。前面LSF的示例完全可以通过openlava实现。

　　乎所有大的IC设计公司都采用的是LSF的软件来做负载均衡。不过，这个软件是商业软件，授权费比较贵，大约要1-2万一台服务器(以core计费）。下图为lsload命令所显示的结果，大家可以看到各台服务器的负载，CPU利用率，剩余内存等信息。

　　LSF会自动去调度，找出最佳的后台服务器，尽量做到负载均衡。所有的后台服务器，用户都不能直接登录去run，这是由系统和网络结构限制的。但是，对于用户，要让所有的操作做到最简单，用户不需要去了解复杂的后台设计。

　　目前SGE是免费且开源的，国内也有不少公司在使用。但是使用起来，感觉差异很大，可能是习惯问题，我始终无法适应SGE。我也不推荐使用sge。

　　前面介绍了LSF是商业软件，授权费比较昂贵。这里推荐一个兼容LSF命令的软件，Openlava，其基于LSF 4.2发布的开源版本，目前最新的是3.3，由Teraproc公司主要开发和支持。推荐国内的大公司采用，只需要少量的支持费即可。目前主要基于x86的linux环境，如果你有其他异构系统，需要联系厂家获取是否可以支持。如果大家对于采用openlava感兴趣，可以联系我，我可以协助测试。前面LSF的示例完全可以通过openlava实现。

　　上传呢？这是一个大问题。我们设计了一个数据中转站，允许公司内的用户登录，将数据放入home目录下，然后每隔一个小时，内网服务器通过rsync去获取数据，并sync到内网。

　　对于下载数据，我们要求进行人工任何。分多个层级，每一步需要审核人写审核意见，批准还是拒绝。任何一步拒绝，都将无法完成。

　　主要实现是：用户准备数据，发邮件给ithelp，然后ithelp会根据情况，分配审核数据的人员，其审核完成后，将数据放在第一级审核的目录dirA，然后由第二级审核人进行二次审核，完毕后将数据放入预备下载目录dirB，最后程序自动先备份数据，然后sync到数据中转站，并删除本地数据。DirA和dirB通过ACL设置了用户的访问权限，只有审核人员可以进入。

　　使用audit实现任何人访问源代码都将被记录，通过程序每天统计一次用户的访问记录，排序统计后自动发送邮件给相关的人员。

　　目前测试环境实现了5万个源代码的控制，但是只能在本地文件系统实现。否则会带来性能的问题。这样可以实现某个人一直查看的记录追踪，以及一段时间内比如离职前一周或者某一天将所有允许查看的文件都copy到其他目录的行为，可以当天晚上发送邮件给其安全部门的人员。

　　可，项目经理可以自我控制任何公司的人员是否具有访问权限。但是，数据的分级，需要数据拥有人员去判断，IT只是提供一种手段，并不具有分级的能力。

　　这里的projectmanager是由管理员设置的某个项目经理的账号，username是你期望设置的用户名

　　CVS作为unix系统下非常经典的版本管理系统，适合于代码的简单管理。对权限控制很差，基本上只能按照group的方式来控制谁可以check out,check in.CVS没有二进制管理能力，无法对各种非文本的文档，比如word进行管理，只能用于代码。

　　CVS是一个C/S模式的版本控制系统，用于在软件开发过程中记录文件版本，协调开发人员保证文件同步，从而保证项目正确的进行并行开发，并支持版本回滚、bug 跟踪和补丁生成。使用CVS可以有效地对软件开发的源代码和开发文档进行统一的管理和组织。

　　对于图片，Word文档等非纯文本的项目，需要使用cvs add –kb 按二进制文件方式导入(k表示扩展选项，b表示binary)，否则有可能出现文件被破坏的情况

　　其实CVS还有一种pserver的方式，可以使用客户端来进行管理。这样，即时/data/cvsroot没有被nfs 共享出来在其他服务器上也可以通过cvs进行版本控制。

　　于RCS上建立，可以实现多用户协同工作的系统，可以记录文件的修改信息。这对于开发人员是非常有用的。

　　然而，CVS经过这么多年，也逐渐显示出一些不足，这个时候出现了一些商业的版本控制软件，比如Rational的ClearCase就是一个功能强大的商业软件，但是其价格也是非常昂贵的。

　　1．不同的修订版本号。CVS将每个修改文件都赋予一个版本号，因此在CVS中，所有的文件版本号是不同的。

　　2．Subversion将目录版本化了。Subversion也开始跟踪目录的结构，任何对目录的svn操作都将会被记录，但是任何操作都必须提交后才生效。

　　3．离线工作更加方便。Subversion的工作原始副本在本地也有保留，任何对本地文件的修改，不需要连接到服务器去，就可以对比知道自己做了哪些修改。并且，提交修改的时候Subversion只将差异部分提交给服务器。

　　4．二进制文件和文本文件。CVS对二进制文件的版本化做的非常差，对于每次修改的二进制文件，CVS都会将更新的副本储存下来，大量占用了空间。而Subversion就不管是二进制文件还是文本文件，它都采用差异比较算法来表示更新的部分。CVS提交二进制文件需要带-kb标记，subversion不需要任何标记就可以识别二进制文件。

　　目前有一家公司，有两个不同的Group在进行开发，也就是说，两个项目组的成员是不允许获得另外一个项目组的开发代码的。当时，为了某些模块的协同工作，两个项目组的Project Manager又不得不互相取得对方的代码。

　　由于我们的权限方面控制比较复杂，而适合权限复杂控制以及更好授权选择的方式，我认为以Apache+mod_dav_svn比采用独立的svnserve更加方便。

　　在配置文件中，需要告诉Apache在什么地方保存的Subversion版本库，Location就是告诉Apache在特定的URL以及子URL下需要的特殊处理。

　　注意，任何Apache的web目录下不能存在svn这样的目录，否则会导致Apache不知道怎么解析。

　　前面的配置会让所有能访问你web的人都可以获得你的文件，并且可以提交他的修改。所以，为了安全，也为了一个很好的秩序，我们必须添加认证。

　　其中的svn-auth-file是做用户名和密码认证的，这个文件采用htpasswd来生成和修改。

　　我们已经建立了库，所以该我们导入我们的源文件到库里边的时候了。我们首先来准备一下两个项目组的文件，然后导入到库里。

　　很好的一个分布式版本管理软件，在开源软件开发行业使用非常广泛。不过目前在IC设计行业所见不多，也许我们IC行业太落后了，没互联网和开源界对新技术的接受能力强。我们习惯用我们熟悉的东西。