前者决定你能不能合法交付，后者决定你能不能站上核查现场。
不对外交付介质、不对外提供服务给第三方，通常不触发源码提供义务。
把改过的系统连介质交给医院/申办方，属于分发，须提供完整对应源码。
GPL-3.0 无网络条款，纯在线服务不构成分发；仍建议公开修改以建立信誉。
通过 REST/DB 视图通信的独立进程，与主程序静态混编越少，衍生作品争议越小。
| # | 交付物 | 内容要求 | 对应 GPL-3.0 条款 |
|---|---|---|---|
| 1 | 公开源码仓库 | 与交付二进制一致的完整源码，含构建脚本 | §6 对应源码 |
| 2 | SOURCE-OFFER.txt | 源码获取地址 / 介质说明 / 有效期 | §6(d) 书面提供 |
| 3 | CHANGELOG-cn.md | 改了什么、何时、由谁，逐版本记录 | §5(a) 显著修改说明 |
| 4 | 版权与许可保留 | 不删除原版权头、LICENSE、作者声明 | §5(b)(c) |
| 5 | 许可证全文 | 随包附 GPL-3.0 副本 | §4/§6 |
| 6 | 第三方组件清单 | Apache/MIT/BSD 等组件与原声明 | 许可证兼容性 |
按"计划—需求—测试—运行—应急—变更"六段组织，每份文档都有批准人与版本号。
| 阶段 | 文档 | 关键内容 | 批准方 |
|---|---|---|---|
| 计划 | Validation Plan | 范围、角色、交付物、验收标准、偏差处理 | 机构 QA |
| 计划 | 供应商评估 | 资质、支持能力、变更通知机制 | 机构 QA |
| 需求 | URS | 功能与非功能需求，逐条编号，可追溯 | 机构 + 研究团队 |
| 需求 | FS / DS | 需求如何实现：模块、字段、规则、接口 | 供应方 |
| 需求 | 风险分析 | GxP 影响、数据完整性风险、控制措施 | 双方 |
| 测试 | IQ 方案与记录 | 安装环境、版本、配置基线、依赖项 | 机构批准 |
| 测试 | OQ 方案与记录 | 功能测试：权限、规则、稽查轨迹、导出 | 机构批准 |
| 测试 | PQ 方案与记录 | 真实研究场景端到端演练 | 机构批准 |
| 运行 | 权限矩阵 | 角色 × 功能 × 站点的最小权限表 | 机构 |
| 运行 | 账户与密码策略 | 开通/变更/离职、锁定、2FA、时区与 NTP | 机构 |
| 运行 | 稽查轨迹审核 SOP | 审核频率、抽样方法、异常处理 | 机构 |
| 运行 | 数据更正 SOP | 谁可改、原因必填、原值留痕 | 机构 |
| 应急 | 备份与恢复 SOP | 频率、异地、演练记录、RTO/RPO | 机构 |
| 应急 | 核证副本 SOP | 生成、声明、签章、归档 | 机构 |
| 变更 | 变更控制与发布记录 | 版本台账、再验证触发条件 | 双方 |
| 退役 | 归档与退役方案 | 数据移交格式、保存期限、销毁记录 | 机构 |
买开源不等于买齐功能。下表是我们对 LibreClinica 的能力判断，写出来是为了让预期一致。
eCRF 与访视结构 · Edit Check 规则 · 质疑（Discrepancy）管理 · 字段级稽查轨迹 · 用户/角色/站点权限 · CRF 版本管理 · ODM/CSV/SAS/SPSS 导出 · 私有化部署
国密与等保适配 · CA 级电子签名 · HIS/LIS/PACS 集成 · ePRO 与随访 · 中文稽查与监查报表 · 核证副本自动化 · 盲态与非盲分离 SOP · 信创栈适配