技术报告方法许可与来源
生物医学数据集许可与来源的双轴记录模型：字段规范、判定规则与证据要求
Mdexa Research
技术报告，未经同行评审。
- 数据版本
first-release catalogue of 43 cards, frozen (public fingerprint ea894e8472bc, released as releases/first-release/ in the public repository; identical field by field to the internal archive, fingerprint 9ff1d63a933d, except that change logs are worded for the public); adjudication rules 2.6; license map 1.1; schema 1.0- 数据与代码
- 尚未提供链接
- 引用
- 引用格式
- Markdown
- 01-two-axis-license-card.md
摘要
生物医学数据集的许可与来源信息分散在许可证文件、托管页元数据、说明文档、论文和上游数据中，且各处可能不一致。本文给出一种信息卡规范，把许可状态（描述公开声明所述内容，五个取值）与托管处理（由许可状态、来源风险标记和人工签字推出的决定，四个取值）分开记录。每条许可声明须为逐字原文摘录，附存档快照编号与核实日期，并由脚本核对；判定遵循"限制从宽、许可从严"的口径，写成 26 条条文和 39 条机器可读规则（2.6 版），以 64 个判例测试，离线全部通过。在由项目团队借助模型整理的首发 43 张信息卡上，许可状态为宽松 12、受限 11、冲突 2、未声明 8、无法核实 10；共 69 条证据，其中 47 条带逐字摘录，45 条可与快照核对（45 条全部通过）。以 2.6 版规则重放这些卡片，与记录的状态和托管处理一致的为 43/43，但这些卡片参与过规则的调整，所以这不是准确率；规则没见过的留出集还没有人工判定，因而无法报告准确率。判定由同一团队、同一套借助模型的流程完成，尚无跨厂商独立复核。
关键词： 数据集文档；数据许可；数据来源；判定规则；生物医学数据集；元数据规范
1. 背景与问题
要把数据集用于模型训练或评测，许可问题很难从一处读清。实际上相关文字分布在多个地方：
- 代码仓库里的
LICENSE文件，可能只管代码； - 托管平台数据集卡片里的许可元数据；
- README 或数据说明，可能额外加限制（如"仅限研究"）；
- 论文；
- 数据所来源的上游数据集的条款；
- 第三方镜像，会转述或改动以上任何一项。
这些来源可能互相不一致。Data Provenance Initiative 对大量文本数据集的审计报告称，常用托管站点上的许可常被归类错误，且相当大比例的情形缺少许可信息 [4]。该审计针对通用文本数据，我们不主张医学数据集与之不同。
已有的文档框架（第 8 节）要求作者描述数据集，但据我们所能判断，并不要求每条许可声明都附带原文引用与日期，也没有把"许可证写了什么"与"下游用户或目录运营方可以怎么做"分开。下文的方法只针对这一小块空白。它不能代替法律意见，卡片上也明确这样写。
2. 信息卡设计
信息卡是一份 JSON 文档，按 JSON Schema（draft 2020-12）校验。字段说明见 schema/README.md，规范见 schema/dataset-card.schema.json。与许可相关的设计有六点。
两个状态轴。
| 轴 | 回答的问题 | 取值 | 性质 |
|---|---|---|---|
license_status | 公开声明对这份数据写了什么？ | permissive、restricted、conflict、unstated、unverifiable | 事实的描述 |
hosting | 运营方怎么处理它？ | hosted、eligible、link-only、pending | 由规则推出的决定 |
hosting 不是自由文本，而由状态、来源风险标记与签字推出：conflict、unstated、unverifiable 得 pending；restricted 或带任何风险标记得 link-only；permissive 且无标记得 eligible，只有留有人工签字才是 hosted。校验脚本拒绝 hosting 与此不符的卡片（校验规则 3）。在本报告的数据版本上，没有任何卡片是 hosted 或 eligible：12 张宽松卡片都至少带一个风险标记，因此都是 link-only。
证据是被引用的原文。每条许可声明是一个条目：位置（如 repo-license、readme、hf-card-metadata、paper、site-policy、upstream-terms）、逐字摘录 excerpt、网址、snapshot_id、核实日期、观察方式（page、search-snippet、secondary-source、not-opened）以及 secondhand 标记。二手证据（无网址、只来自搜索摘要或第三方镜像）不能单独支撑 permissive 或 restricted。
来源风险标记。与许可无关，卡片还可带 exam-derived、scraped、real-patient-text、model-generated、derived、unknown-provenance。内容来源本身存疑时，宽松许可不等于放心；标记让这一点保持可见，并把宽松的数据集从 eligible 移到 link-only。
仓库许可证与数据许可证。卡片另设 repo_license 对象。只有仓库只存放数据（data_only，并有快照佐证），或说明文档写明该许可适用于数据时，仓库许可证才算数据许可证；否则卡片只记录仓库许可证，数据状态为 unstated。README 里的徽章若指向快照中找不到的 LICENSE 文件，记为 badge-only、verified: false。
分部分许可、许可条件与自定义许可。发布方对不同部分声明不同许可时，卡片在 license_parts 逐部分记录；可清楚分离的受限部分用 has_restricted_parts 标明，并要求对外结论句提到它。许可条件是受控取值（attribution、share-alike、no-derivatives、notice-required、territory-dependent、registration-required）。以模型许可证或其他自定义许可标注的数据集，标记 custom_license 并使用 LicenseRef- 标识。
标识。标识遵循 SPDX 许可证列表 [5]；状态为 conflict、unstated、unverifiable 时标识写 NOASSERTION。一张含 84 个标识的对照表（schema/license-map.json）把每个标识归入五类之一（宽松、宽松带条件、受限、需人工判断、视为未声明）；表外标识一律交人工判断。
3. 判定口径
总原则是限制从宽认定，许可从严认定。判为宽松，需要明确针对数据的声明；发布方官方说明里的限制性语句，即使措辞针对整个项目，也对数据有效。项目规则给出的理由是两种误判代价不对称：把受限的判成宽松最不能犯。明确只针对模型权重或代码的语句不延伸到数据，但原文照录在已知问题里。conflict 只用于发布方就同一对象自相矛盾；不同部分适用不同许可不算冲突。
口径写成 26 条条文（卡片规范的判定口径一节），实现为 39 条机器可读规则（2.6 版），按固定顺序执行：取证类、声明筛选、标识对照、分部分与条件、冲突与汇总、托管。表 1 逐条给出条文、设计理由，以及有判例时对应的公开原文或对构造判例的描述。引文取自 2026-11-12 保存的页面快照，由 scripts/casebook.mjs 核对；它们只反映当时页面所写，不是我们对该资源的评价。本文不复述规则的实现细节。
| 条 | 规则 | 理由 | 判例（公开原文） | |
|---|---|---|---|---|
| 1 | 只有部分声明算数据许可声明：托管页许可字段、针对数据的 README 语句、只存数据的仓库的 LICENSE、官方全站政策（第 7 条） | 许可必须针对数据才能授予什么 | ||
| 2–3 | 代码仓库的许可证本身不是数据许可证；只有它时，状态 unstated、托管 pending | 仓库许可证通常管软件 | 判例 A20：CBLUE 的仓库有 Apache-2.0 的 LICENSE 文件；卡片记 repo_license: Apache-2.0，数据状态 unstated | |
| 4 | README 徽章而找不到 LICENSE 文件：badge-only，未核实 | 徽章只是对某个文件的说法 | ||
| 5 | 二手证据不能单独支撑 permissive 或 restricted；第三方镜像页算二手 | 镜像不是发布方 | 判例 A21：Hugging Face 上一张镜像卡写 unknown 并有一句版权归属语句；状态 unverifiable | |
| 6 | 不同部分不同许可：逐部分记录；可分离的受限部分取主体部分状态并加 has_restricted_parts；不可分离取最严 | 分部分不是矛盾，但对外结论句不能掩盖它 | 判例 A02：openFDA 写明 "public domain and made available with a Creative Commons CC0 1.0 Universal dedication"，对 GMDN 内容的某些用途须 "must first obtain an appropriate license from The GMDN Agency" | |
| 7 | 政府或公共机构在自己网站上发布，且全站政策写明公有领域：permissive；未写 CC0 则用 LicenseRef-PublicDomain，并注明公有领域地位以该国法律为准 | 如实保留机构的说法，不夸大 | 判例 A05：FDA 网站写明，除另有说明外其内容 "are not copyrighted. They are in the public domain" | |
| 8 | 学术免费、商业另行授权：restricted，commercial_use: conditional | 按已发布内容，商用未获允许 | 判例 A28（输入待取证，不计入卡片回测） | |
| 9 | 记录许可条件；相同方式共享仍为 permissive，但结论句须写明；禁止演绎为 restricted。写成句子的引用或署名请求，以及不限制使用的条件（保留声明、保留许可链接、须注册、不得暗示背书），按条件记录，不算限制，也不必人工复核（规则 R33） | 义务不应消失在"宽松"二字里，而请求引用不是限制 | 判例 A44（构造）：README 请读者引用论文的 Apache-2.0 数据集仍为 permissive | |
| 10 | 许可或费用取决于国家、地区或成员资格：restricted，territory-dependent | 能否使用取决于使用者是谁 | 判例 A07：SNOMED International "does not charge for use of SNOMED CT in SNOMED International Member countries or territories"，非成员地区须 "on an annual basis" 申请许可 | |
| 11 | 只认对照表里的标识；other、unknown、未指明版本的 cc 视为未声明 | 平台允许什么都不声明的取值 | ||
| 12 | 使用限制（"仅限""不得""non-commercial"等限定性措辞）与免责声明或设计用途语句（记入 usage_notes，不影响状态）；拿不准交人工。不含任何关于使用、许可或权利内容的句子（小标题、单纯的版权行、无关文字）不是声明，不进人工清单（规则 R34） | 设计用途的话不是限制，非声明也不值得占用人工 | 判例 A08：ATC/DDD 写明 "Copying and distribution for commercial purposes is not allowed. Changing or manipulating the material is not allowed."；判例 A46（构造）：只有小标题和单纯版权行的页面得不出任何声明 | |
| 13 | 只有条款链接：抓取条款页按内容判定；打不开则 unstated | 条款就是声明 | ||
| 14 | 访问被拒或脚本渲染：unverifiable，不绕过；允许人工取证并标明 | 尊重访问限制 | 判例 A10：DrugBank 页面的两个快照都返回 HTTP 403，没有保存正文 | |
| 15 | 只有"All Rights Reserved"而无任何许可：restricted；针对数据的具体许可优先于通用页脚 | 保留权利不授予任何许可；"开放获取"说的是访问而不是许可 | 判例 A14：DDInter 的页脚写 "All Rights Reserved"，页面称其为 "open-access database" | |
| 16 | 允许商用但限制演绎或用途：restricted，逐项如实填写 | 带条件的授权不是无限制 | 判例 A04：LOINC "is free for use in both commercial and non-commercial systems"，但其文档 "may not be modified, nor may derivative works be created" | |
| 17 | 自标许可比上游宽：按所有上游中最严的状态（受限 > 冲突 > 未声明 = 无法核实 > 宽松） | 声明不能授予上游没有给的东西 | 判例 A27：一个派生的指令数据集自标 Apache-2.0，却包含声明为 "available for non-commercial research" 的上游（卡片证据，属第 6 节所说两条无快照的摘录之一） | |
| 18 | 自定义许可：LicenseRef-<发布方>-<简称>、custom_license、restricted、人工复核；摘录须覆盖商用、改编、再分发，否则相应项为 unverified | 模型许可证默认不等于数据许可证 | 判例 A24（模式） | |
| 19 | 带"only"的句子按所限定的对象区分。限定信息性质（"for informational purposes only"）且处于免责语境，是免责声明；限定使用者或用途类别（研究、非商业、内部使用）是使用限制；"educational purposes only"等拿不准的进人工清单。同一页面另有明确许可时，状态以许可为准，本条只决定这句话记在哪里 | "only"既可能是限制，也可能只是免责 | 判例 A36（构造）："internal use only"是限制；判例 A35（构造）：关于信息用途的免责语句是使用说明 | |
| 20 | 各子集许可各自不同：来源列出子集及其许可，按第 6 条逐部分记录；没有列出，整体为 unstated，加标记，托管 pending，并注明许可按子集规定。不猜测，也不取最严 | 指向"各数据集自己的许可"并不是许可 | 判例 A41（试点模式）：README 写 "License: per-dataset" 而没有列表 | |
| 21 | 上游条款可以用另一张卡的快照作证据（location: upstream-terms，注明上游卡）；引文门禁到该快照里核对摘录，上游卡或快照缺失则门禁不通过 | 上游声明需要与其他声明同样的证据 | 判例 A42（构造）：上游卡存在，采用其条款；A43（构造）：上游卡不存在，状态仍为受限并进人工清单 | |
| 22 | 含第三方专有内容、会员资格或费用条件的术语库与数据库：默认 restricted，按页面所述带 territory-dependent、registration-required；明确划出可自由使用的子集时记为一个部分（第 6 条） | 专有内容不能由托管方自己的声明放行 | 判例 A52（试点模式）：完整发布含专有内容的术语库；A53（构造）：同上但划出了自由子集 | |
| 23 | "免费用于商业与非商业用途"之类的句子算许可陈述，作为证据收录；同一对象在别处另有禁止性条款时，整体仍为 restricted，两句都记录 | 同一对象上的授权与禁止都要看得见 | 判例 A54（构造）：只有授权句；A55（试点模式）：授权句加禁止制定另一套标准 | |
| 24 | 中文用途措辞："仅适用于 / 仅限 / 仅供 / 只可用于"是使用限制；"适用于 / 可用于 / 旨在 / 面向"而没有限定字样，是设计用途说明，记入 usage_notes | 中文里"仅"字决定读法 | 判例 A56（试点模式）："仅适用于预训练用途"是限制；A57（构造）："适用于预训练用途"是说明 | |
| 25 | 没有任何证据条目的卡不得自动转正；最低条件是至少一条一手证据，或状态为 unverifiable 并有取证失败的记录；否则退回草稿，标"优先人工取证" | 没有任何依据的结论不能发布 | 判例 A59（构造）：无证据，不转正；A58、A60（构造）：可转正 | |
| 26 | 证据只有条款链接、没有抓到条款正文的卡，不得自动转正；"未声明"只有在读过数据页与条款正文之后才能自动得出 | 只有读过条款，"没找到许可"才有意义 | 判例 A63（试点模式）：只有条款链接，条款正文未抓到；A64（构造）：条款正文已抓到，对数据没有说明 |
表 1 条文、理由与判例。"理由"是规则集的设计逻辑；末列给出公开原文或对构造判例的描述。
另有两个判例显示声明不一致时限制规则如何起作用。判例 A18：某数据集托管页元数据写 license: apache-2.0（快照 s01），其 README 写"本项目相关资源仅供学术研究之用，严禁用于商业用途。"（快照 s03）；规则给出 conflict、spdx NOASSERTION、托管 pending。判例 A19：另一数据集元数据写 license: cc-by-4.0，卡片正文写可按 "Creative Commons NonCommercial (CC BY-NC 4.0)" 获取；状态 conflict。第三个判例（A16，构造）表明 apache-2.0 字段旁若有 "For research use only"，应为 conflict 而非宽松；而关于设计用途或"不构成医疗建议"的语句（A15）只是使用说明，不改变状态。
3.1 规则集的版本记录
| 版本 | 条文 | 规则 | 判例 | 新增 |
|---|---|---|---|---|
| 2.2 | 18 | 29 | 34 | 第 1–18 条：哪些声明算数、分部分、官方全站声明、许可条件、标识对照、免责与限制、取证、版权保留、上游、自定义许可 |
| 2.3 | 21 | 32 | 43 | 2.4 修订过程中在文件里观察到的工作状态，没有单独记录，不再展开 |
| 2.4 | 21 | 34 | 51 | 第 19–21 条（规则 R30–R32："only"句子、各子集许可、引用他卡快照的上游证据）；规则 R33、R34 实现第 9、12 条的一部分 |
| 2.5 | 25 | 38 | 62 | 第 22–25 条（R35–R38）：含专有内容的术语库、带禁止的许可句、中文用途措辞、自动转正的最低证据 |
| 2.6 | 26 | 39 | 64 | 第 26 条（R39）：只有条款链接的卡不自动转正（已记入裁决记录第 17 条） |
表 1b 条文、规则、判例数为各版本记录的数字；2.3 是被观察到的过渡状态。本报告描述 2.6 版；各图表已对照 2.6 版的规则、判例与对照表文件核对，这些文件的校验值记录在随报告脚本的 figures/VERSION.json 中。
4. 取证与机器门禁
证据由取证脚本采集，把页面文字保存成带编号的快照，并记录哈希、时间和 HTTP 状态。失败或被拒绝的抓取照实记录，不绕过访问限制。流水线的结构是：模型从快照中抽取声明，确定性规则裁决状态，脚本核对。模型不给结论。
发布前有三道脚本门禁。（一）校验脚本（一个校验脚本）执行规范与 schema/README.md 的跨字段规则：托管由状态推出，仅有仓库许可证的不得为 permissive，相同方式共享与禁止演绎必须出现在条件里，等等。（二）引文门禁检查每条 excerpt 经轻度规范化（Unicode NFKC、大小写折叠、统一引号与连字符、合并空白）后是否出现在其网址对应的快照中；找不到的摘录会被丢弃或送审，不会保留。（三）数字门禁检查结构化规模数值能否从规模原文读出。门禁结果记录在 Mdexa 每次构建保存的报告中。
由于引文门禁做了规范化，这里的"逐字"有确切含义：摘录等于快照的某个子串，允许上述规范化。第 5 节两种口径都给出。
5. 首发数据的情况（43 张卡片，统计日期 2026-11-13）
来源：scripts/stats.mjs，在公开指纹为 ea894e8472bc 的卡片集上运行（首发目录的 43 张卡片，冻结为只读版本；目录此后已扩大，后加的卡片不在其内。这些卡片的修改记录于 2026-11-13 拆为对外与内部两层，判定字段未变）。公开版与内部存档逐字段相同，仅修改记录改为对外表述；内部存档指纹为 9ff1d63a933d。这 43 张卡片覆盖中文医学与传统医学数据集，由项目团队借助模型整理（由早期的人工整理记录转换，再补充并核对），不是任何总体的随机样本。
| 许可状态 | 卡片数 | 托管处理 | 卡片数 | |
|---|---|---|---|---|
| permissive | 12 | hosted | 0 | |
| restricted | 11 | eligible | 0 | |
| conflict | 2 | link-only | 23 | |
| unstated | 8 | pending | 20 | |
| unverifiable | 10 |
表 2 43 张卡片的状态与托管处理。
核实等级：verified 23、verified-no-license-statement（页面已读、其中没有许可声明）10、partially-verified 5、unverified 5。所有卡片的最后核实日期均为 2026-11-12。43 张卡中 33 张至少带一个风险标记（scraped 11、exam-derived 9、real-patient-text 9、derived 6、model-generated 6、unknown-provenance 4）。
| 证据指标 | 数量 | 占比 |
|---|---|---|
| 条目 | 69 | |
| 带逐字摘录 | 47 | 占条目 68.1% |
| 带摘录与快照编号 | 45 | 占条目 65.2% |
| 摘录是其快照的逐字节子串 | 32 | 占这 45 条的 71.1% |
| 经规范化后在快照中找到 | 45 | 占这 45 条的 100% |
| 二手条目 | 14 | 占条目 20.3% |
| 人工取证条目 | 0 |
表 3 证据统计。没有快照编号的两条摘录是上游条款条目，未经机器核对。
证据条目来自 11 种位置类型，最多的是 Hugging Face 元数据（16）、仓库许可证文件（12）、README 文本（12）和仓库侧栏（7）。
仓库许可证与数据许可证：13 张卡片记录了仓库许可证，其中 9 张的数据状态不是 permissive，4 张是 unstated。第 2–3 条正是为这种情形写的。规范里的结构性字段在这一数据版本上用得还少：没有卡片使用 license_parts 或 license_conditions（12 张宽松卡片尚未回填署名之类的条件），2 张为 custom_license，1 张为 declared_broader_than_upstream。
规则体系有 26 条条文、39 条规则（2.6 版）和 64 个判例：24 个取自一批试点候选数据集，29 个为构造，11 个取自现有卡片。判例离线运行报告 64 个全部通过。其中两个（A03 与 A28）的输入标为待取证，不计入卡片回测，但仍在判例运行之内。以 2.6 版规则重放首发 43 张卡，与记录的状态和托管处理一致的为 43/43，方向性错误（规则比卡片更宽松）0 条。这些卡片参与过规则的多轮调整，所以这一致不是准确率估计。规则没见过的人工判定留出集需要 50 条，目前为 0 条，所以无法报告准确率。以上数字都由 scripts/stats.mjs 从构建的验收输出（判例运行、回测文件、质量文件）读取。
6. 局限
- 样本小，由项目团队整理。一个语言区域内的 43 张卡片。表 2 的比例描述的是这一批，不能推广。
- 同一团队、同一套流程判定。规则由项目团队编写；判定由同一套借助模型的流程产生，并由同一团队核对。项目文件中没有记录外部法律审阅。判定报告的是来源所述，不构成法律意见。
- 回测不是准确率。2.6 版规则与首发 43 张卡记录的状态和托管处理全部一致，但这些卡片参与过规则的多轮调整（第一版规则与其中 37 张一致，即 86.0%，之后针对不一致补了规则），所以 100% 不是独立数字。回测输入由卡片证据转换而来，只检验规则层，不检验抽取。无法报告留出集上的准确率：所需的 50 条留出集条目尚无一条经人工判定。
- 没有跨厂商独立复核。第二轮抽取用的是同一模型换一套提示词，我们不称之为"双模型独立复核"。复核方式如实写为"单模型加规则加抽检"；随机人工抽检目前还没有完成的样本。
- 小规模自查。在一批试点中，起草流程自己的抽查对照保存的快照检查了九张起草的卡片（约 90 个字段），发现 8 处问题，字段准确率约 91%。这不是独立的人工复核。事实性字段基本可靠；风险标记与上游关系最容易错，因此不自动通过。这只是一个很小的样本。
- 并非每条摘录都经机器核对。47 条有摘录，但只有 45 条有快照编号，另两条不在门禁覆盖内。规范化匹配比逐字节相等宽松（表 3）。
- 快照是页面文字，不是实时页面，许可也会变。43 张卡片都只在同一天核实。复核脚本能标出许可文字的变化，但其最近一次报告只覆盖一张卡片。
- 规则由我们见过的失败塑造。试点暴露了九处缺口（如分部分、官方全站政策、相同方式共享、按地区许可、自定义标识），每处补成一条条文。很可能还有缺口：对照表未收知识共享许可的地区移植版，九个用于数据的著佐权软件许可仍需人工判断。
- 语言。部分摘录与声明为中文；本文给出译文，卡片保留原文。
7. 讨论
主要的设计选择是：状态轴只描述来源，决定只放在第二个轴上。这样读者可以质疑一个托管决定而不必质疑事实，政策变化（例如开始有签字流程）也不需要改写事实。第二个选择是每条声明都附带原文、快照和日期，使"查许可证"变成脚本能部分验证、读者几分钟能核对的事。代价是每个数据集的人力，以及来源沉默或无法访问时 unverifiable、unstated 占比较高；我们认为如实写"没找到"比猜测更有用。后续工作：独立的留出集评测、来自另一厂商的第二复核者、对拒绝脚本访问的页面做人工取证，以及扩大覆盖。
8. 与已有工作的关系
- Datasheets for Datasets [1] 提出以问题为主线的数据集说明文档，涵盖动机、构成、收集、用途与维护。我们的信息卡更窄、可机读，专注许可与来源声明；二者互补，数据说明书中"法律与伦理考量"一节正可引用这样的卡片。
- Data Cards [2] 是面向全生命周期各方的结构化数据集事实摘要，覆盖面广；我们的规范专注于可核对的许可证据。
- Croissant [3] 是面向机器学习数据集的元数据格式。其规范在数据集上有
license属性，并建议使用已知许可证的网址（如 SPDX 列表中的）。在我们读到的规范页面里，没有找到记录许可原文证据或核实日期的字段。我们的license_status、证据和托管字段可与这样的记录并行携带；我们还没有做 Croissant 导出。 - Hugging Face 数据集卡片 [6] 在 YAML 元数据里有
license字段，并允许other加license_name与LICENSE文件。我们把这些字段当作证据，视为页面作者的声明；在我们读到的文档里没有找到关于该值如何核实的说明。我们的规则把other、unknown视为未声明。 - SPDX [5] 提供我们使用的许可标识及用于自定义与公有领域声明的
LicenseRef-约定。 - Data Provenance Initiative 审计 [4] 在 1,800 多个文本数据集上大规模度量许可信息。我们做的是逐数据集的记录方法，不是总体审计；该审计关于许可归类错误的发现，正是记录原文本身的动机。
9. 可复现性
生成本报告表与图的脚本随报告提供。它们读取信息卡文件和快照文件，只向本报告的 figures/ 目录写入。
node scripts/stats.mjs重新生成figures/stats.json、tables.md、fig1-status.svg、fig2-evidence.svg，并在核对内部存档的指纹（9ff1d63a933d）与其清单一致之后读取冻结的首发卡片；若指纹不同，说明冻结版本被改动，脚本报错停止。读者可用公开仓库releases/first-release/中的校验脚本复算公开版的指纹（ea894e8472bc）。公开版与内部存档逐字段相同，仅修改记录改为对外表述；内部存档指纹为 9ff1d63a933d。node scripts/figures-zh.mjs依据已提交的figures/stats.json画出两张图的中文版（fig1-status.zh.svg、fig2-evidence.zh.svg），不重新计算任何数字。- 规则相关数字冻结在 2.6 版：
figures/VERSION.json记录了它们所对照的规则、判例与对照表文件的校验值。这些文件任一改动，scripts/stats.mjs的校验模式会报告不一致，且不改写任何内容。 node scripts/casebook.mjs对照保存的页面快照，复核表 1 与第 3 节使用的 16 处引文和 1 条取证失败记录。- 公开的输入：信息卡（
cards/）、规范（schema/dataset-card.schema.json）、规则（schema/adjudication-rules.json）、许可标识对照表（schema/license-map.json）、带快照哈希的证据索引（evidence-index/）和校验脚本（tools/validate-cards.mjs）都在公开的数据库仓库中。 - 快照的页面文字、判例以及流水线与质量报告由 Mdexa 保存，可应要求提供。本报告只给汇总统计和少量示例，不复制逐卡数据。
参考文献
- Gebru T, Morgenstern J, Vecchione B, Vaughan JW, Wallach H, Daumé III H, Crawford K. Datasheets for Datasets. arXiv:1803.09010. https://arxiv.org/abs/1803.09010
- Pushkarna M, Zaldivar A, Kjartansson O. Data Cards: Purposeful and Transparent Dataset Documentation for Responsible AI. arXiv:2204.01075. https://arxiv.org/abs/2204.01075
- Akhtar M, Benjelloun O, et al. Croissant: A Metadata Format for ML-Ready Datasets. arXiv:2403.19546. https://arxiv.org/abs/2403.19546 ；规范：https://docs.mlcommons.org/croissant/docs/croissant-spec.html
- Longpre S, Mahari R, Chen A, et al. The Data Provenance Initiative: A Large-Scale Audit of Dataset Licensing and Attribution in AI. arXiv:2310.16787. https://arxiv.org/abs/2310.16787
- SPDX License List. https://spdx.org/licenses/
- Hugging Face Hub 文档：Dataset Cards。https://huggingface.co/docs/hub/en/datasets-cards ；Licenses。https://huggingface.co/docs/hub/en/repositories-licenses
技术报告，未经同行评审。Mdexa Research，2026-11-13。数据版本：首发目录的 43 张卡片，已冻结，公开指纹 ea894e8472bc，统计日期 2026-11-13，规则 2.6，对照表 1.1。Mdexa 由 UNILINK AI PTE. LTD. 运营。
引用格式
Mdexa Research. A Two-Axis Record of License and Provenance for Biomedical Datasets: Schema, Adjudication Rules, and Evidence Requirements. Technical report, not peer reviewed. 2026-11-13. Data version: first-release catalogue of 43 cards, frozen (public fingerprint ea894e8472bc, released as releases/first-release/ in the public repository; identical field by field to the internal archive, fingerprint 9ff1d63a933d, except that change logs are worded for the public); adjudication rules 2.6; license map 1.1; schema 1.0.