Everythink Studio
グローバルシステムアーキテクチャ

6つのセクション、ひとつのシステム

製品ビジョンから実際の実装まで：Rustバックエンド、Next.jsフロントエンド、デプロイ、ロードマップ。

空間がルータである

すべての人は自分の個人組織を持ち、n個の組織を購読します。すべての組織——企業 · 政府 · 組合 · コミュニティ——はn個のネットワークを含み、各ネットワークはn個のコミュニティを含み、各コミュニティはn個のルームを含みます。すべてのノードは固有のマルチポリゴンを持ちます：包含は内側へ向かう（ネットワークのポリゴン内部の細分化されたコミュニティ）か、外側へ向かう（ポリゴン外部のコミュニティ）かのいずれかです。トポロジは数学的な意味でフラクタルです：各レベルは前のレベルの自己相似コピーであり——S = ⋃ fᵢ(S)、Hutchinson演算子のアトラクタ（バナッハの不動点定理）。ネットワーク同士は相互運用します（フェデレーション）：あるネットワークは公開情報のみを共有して別のネットワークに接続します。人が組織に参加すると、そのn個のコミュニティとn個のルームへのアクセスを得ます。組織で行う仕事は組織内で追跡され、個人組織へミラーされます：それは人ごとのレピュテーションを生み出し、解決済みの問題へと蒸留され、それらは本人の個人ネットワークにコピーされ、そこで追跡されます。蓄積された回答から、HAIはユーザーごとのコンテキストレイヤを構築します。

プラットフォームの4つのレイヤ

各上位レイヤは、型付きインターフェースを介して下位レイヤの保証を合成します。製品（v1モジュール）：HAI、マッチメイキング、チャット、カレンダー、マーケット、ソーシャル。4つのレイヤの上に、10のセクター実装。

アーキテクチャを支配する3つの原則

各原則は意図表明ではなく、検証可能な保証です。3つ合わせて、合成則（エンドツーエンド）、セクター倍増則（修正なしの継承）、正直則（実装かつ測定済み = 保証）を確立します。

HAIエンジン — 13の質問タイプ

2016年より本番稼働中。意図的に狭くした合成可能な前提：相互作用とは型付き質問のワークフローであり、あらゆる回答が明確に定義されたコンテキストに届くよう、プラットフォームは地理的位置付きのトポロジです。v2ではエンジンは2つの推論レイヤで動作します：学習済みネットワーク（決定論的、LLMなし）と、存在しないノードを埋めてネットワークを崩縮させるA2A推論。

カレンダー — サービスを販売し、カレンダーを管理

販売者が価格・カテゴリ・空き状況付きのサービス（type_event）を提供し、顧客が参加者・日付・場所付きで予約（event）します。ホワイトラベルモードでは、同じネットワーク内のすべての販売者が可視かつ注文可能です——「他者が私のネットワークで売る」。支払いはネットワーク内にマーチャントを作成し、product_keyで製品を検索します。

マーケット — 製品を販売し、他者に私のネットワークで販売させる

販売者がマーチャント・提供者・価格付きの製品（market_product）を出品し、オファー/クーポンを添付します。顧客はカート（market_item）を組み、ネットワークキーをjson_dataに刻印してチェックアウト（merchant_tx）します。両側に紛争と評価があります。マーチャントは merchant.network でネットワークに紐づきます——「他者が私のネットワークで売る」。

HAI + マッチメイキング + チャット — 各ユーザーの個人ネットワーク

HAIは、ユーザーが何を探しているかを理解することで各ユーザーの個人ネットワークを埋めます：ネットワークは事業/政府/コミュニティ/組合のウェブサイトまたはドキュメントから自動的に構築され、質問フローが生成され、異なるルーム（同じまたは異なるコミュニティ）のマッチング間のクロスリンクも生成されます。マッチメイキングはプロセスを自動化します：1つのユーザー意図 → コミュニティのディスパッチチャネルへの発注書、対象ルームにジオロケーション。socket + FCM上のリアルタイムチャット。フローは横断的（ルームをまたぐ）であり、2つの推論レイヤで動作します：学習済みネットワーク + 埋めて崩縮させるA2A。

ソーシャル — ネットワークのプロモーションとユーザー相互作用

ネットワークは自らの空間でプロモーションを実行し、ユーザーはソーシャルモジュールで相互作用します：いいねとコメント付きのニュース/ストーリー、カテゴリは管理者が設定します。ソーシャルフィードはトポロジの中に存在します——ネットワークが発行し、コミュニティが細分化し、ルームが受け取ります。

2つの推論レイヤ — 崩縮するニューラルネットワーク

すべてのモジュールはネットワークのルームに存在し、横断的です：プリセールスを行うゲストルームからのデータフロー（HAI）は、テクニカルサポートを持つ顧客からのデータフローに接続します。v1（静的グラフ）とは異なり、ここにはニューラルネットワークがあります：後続のノードが存在しなければ、A2Aが次のステップを決定して保存し、ネットワークは崩縮します。スコープは有限です——あるユーザーがネットワークで尋ねたものは全員のために保存されます——そしてA2A経由のLLM消費は時間とともに減少し、決して増えません。

検証可能なマルチテナント隔離

企業、政府、NGO、コミュニティは2016年から単一のAI基盤を共有し、非公開のものを証明可能なかたちで非公開のまま保っています。リファレンスモニターによる完全な媒介；許される唯一のチャネル = 公開スコープ。

フェデレーションされたネットワークと安定なマッチメイキング

ネットワークは公開射影の上でフェデレーションします。マッチメイキングは近接半径内の公開スコープのみで動作します；繰延受理 → 安定マッチング。

型付きエリシテーション — 少数の質問で学習

システムが尋ね、ユーザーが答え、答えがコンテキストになります。エリシテーションは型付き（エンジンは驚きなしで計算する）、忠実、かつ効率的です。レイヤ 1（学習済みネットワーク、決定論的）で動作し、ノードが存在しないときはレイヤ 2（A2A）がステップを決定して永続化し、ネットワークは崩縮します——少数の質問で学習し、新しい質問はすべて全員のために保存されます。

エージェント的ワークフロー — エンベロープ

一部のノードはオープンエンドな作業を必要とします：正しい型の答えを得るまで、ツール呼び出しと推論を交互に行う（ReActスタイル）LLMエージェントです。これは推論レイヤ 2（A2A）です：後続のノードが学習済みネットワークに存在しないとき、エージェントが次のステップを決定して永続化し、ネットワークは崩縮します——LLM消費は時間とともに減少し、決して増えません。エンベロープは3つの失敗モードを有界化します。

プロアクティブアシスタンス — 情報の価値

リアクティブなチャットボットの逆：待つのではなく、自ら開始します。難しいのは抑制です——行動することの期待純価値が沈黙の価値を超えるときだけ発言します。

有界な権限と来歴

行動できるエージェント——お金を使う、第三者に連絡する、データを動かす——は、ユーザーが同意した範囲によって有界化され、与えられた目的のためだけに情報を使い、説明と取り消しを可能にする痕跡を残さなければなりません。

人間のネットワークに奉仕する自律ネットワーク

有界なデリゲーション、コントラクトネット配分（announce → bid → award）、そして調整の正直な限界：活性は部分同期の下でのみ。

セキュリティとエビデンスプロトコル

10のセクター実装

各セクターデプロイはレイヤ1〜4を修正せずにインスタンス化し、その保証を継承します。

本番 / 設計 / 予測

17クレート、ヘキサゴナル、単一Postgres

合成ルート（api）→ ユースケース ×10 → アダプター（ledger、a2a、courier）→ ドメイン（core、ゼロI/O）。すべてを担う単一のPostgres（Timescale pg17 + pgvector）：台帳、イベント、エンベディング、ジョブ/whisperジオキャッシュ。SQLはコンパイル時に検証（.sqlx/オフラインキャッシュ、107クエリ）。

ポート & アダプター — 中心にドメイン

ドメイン（everythink-core）はI/Oを知りません。アダプターはDB、メール、A2Aのポートを実装します。ユースケースがオーケストレーションを行います。合成ルート（everythink-api）がすべてを配線します。

なぜこれほど多くのクレートか — クレートごとに1つの明示的な役割

各クレートには役割があります：合成ルート（api）、クライアント（sdk、cli）、ユースケース ×10、インフラアダプター（a2a、courier）、ポート + 永続化（ledger）、ドメイン（core）。

17クレートはcoreに流れ込む

everythink-apiがハブであり、すべてがcore（ゼロI/O）に依存します。SDKはcoreに結合しているため、ワークスペース内（backend/crates/everythink-sdk）に存在します。

認証から永続化まで — 1つの完全なリクエスト

クライアント → api（認証 + レート制限 + 検証）→ loom（実行）→ ledger（リポジトリtrait経由でプロファイル解決）→ sisters（ファンアウト）→ oracle（マージ → 正規化Ensemble）→ ledger（永続化）→ 200 OK。

6つのユースケース：オーケストレーション、認証、データ

loom — オーケストレーション：LoomStoreポート / LoomPersistenceアダプター経由で永続化。ingest — シグナルパイプライン：受信シグナルを処理。scry — センチメント：リファレンスポート SentimentReader / PgSentimentReader。eval — リグレッションハーネス：継続的評価。warden — 認証：JWTアクセス/リフレッシュ、Google OAuth、IPバインディング。whisper — HMAC署名付きウェブフック、ちょうど1回の配信。

ミドルウェアチェーン — trace → timeout → CORS → ルーティング

受信リクエスト → Trace + request_id → Timeout 60秒 → 408 → CORS + 圧縮 → 5分岐のルートサブツリー。

1つのルーターに3つの認証レジームが共存

パブリック（プローブ/登録/ログイン/リフレッシュ）· Eye-Key（HMAC、60秒スライディングのレート制限）· ユーザーJWT（warden、Console）· Atlas WS（自己認証、ユーザーごとの上限）。

継承なしのRBAC — 1つの関数、明示的なマトリクス

can(role, action) をconst fnとして：Owner → true；Profile Read/Write Self → true；(role, action) の明示的マッチ；残り → Ownerのみ。ハンドラー内でAUTHORIZE → 拒否時に403。

すべてを担う1つのデータストア

timescale/timescaledb-ha:pg17 + pgvector（vector(1024) + HNSW）。1つのプール。6つのデータドメイン：Ledger、Simulations、Users、Embeddings、geo_signals、Jobs。ヘルスチェック：docker-compose内の pg_isready（service_healthy）。

ポート経由の永続化、決して具象経由ではない

リポジトリTRAIT · Pg*Repository（すべてのSQLはここにある）· MockRepository（DBなしのテスト）· AppState: Arc<dyn Repository> · ユースケースはTRAITを呼び出します。

コンパイル時検証SQL、可逆マイグレーション

.up.sql + .down.sql（ペア）を編集 → just sqlx-prepare → .sqlx/*.json（107クエリ）をコミット → SQLX_OFFLINE=true で稼働DBなしにビルド/CI。

ヘルスチェック + SQLXオフライン — 正確なデプロイ

docker-compose：postgres（pg_isready、10s/5s/10）→ dragonfly（redis-cli ping、10s/3s/10）→ api（service_healthy）。app/admin：ヘルスチェック無効（distroless/static）。CI：SQLX_OFFLINE=true、.sqlx/キャッシュをコミット済み。

SSE（Tide）+ WebSocket（GeoHub）— タイルごとのファンアウト

TideBroker：複合トピックのSSE、broadcast 256、キープアライブ 15秒、Last-Event-IDによる再接続。GeoHub：WS、DashMap[Tile → broadcast 64]、ビューポートステアリング、gzipオプトイン。

6つのオーケストレーション/データユースケース

everythink-warden — ユーザー認証

everythink-whisper — 署名付きウェブフックと永続的配信

A2A（プロトコル）と Courier（メール）

everythink-cli と everythink-sdk

決して破られない6つの不変条件

4アプリ、13パッケージ、単一アイデンティティ

web (:3000) · app (:3001) · admin (:3002) · mobile (Expo)。パッケージ：types、sdk-core + ファサード、domain、ui、auth、api-client、telemetry、config。

4つのサーフェス、1つのバックエンド、3つのアクター

アクター：エンドユーザー（ゲスト → 認証済み）· 開発者（Eye-Key）· 管理者/運用者（スタッフ）。サーフェス：web/app/admin/mobile。バックエンドAPI（/api/v1配下の REST + SSE）。

コンテナ — モノレポ全体

4アプリ + SDKレイヤ（6ファサード）+ サービス（4）+ デザインシステム + ツーリング + types（リーフ）。ズームで探索してください。

web、app、admin、mobile — オーディエンスごとに1つ

6つのファサード、1つのコア、コアのエンドポイントはゼロ

sdk-core（HttpClient、consumeSSE、TokenProvider）· sdk-guest · sdk-auth · sdk-atlas · sdk-eye · sdk-admin。

アプリケーションサービス、UI、ビルドタイム

domain（マッパー）· telemetry（アウトボックス）· api-client（レガシー）· auth（NextAuth v5 + RBAC）· ui（キット + トークン）· config（eslintプリセット）· types（Zod、リーフ）。

sdk-core はHOWを知り、決してWHATを知らない

エンドポイントはファサードにのみ存在します。sdk-coreは @everythink/types に対してZodですべてのレスポンスを検証し、ドリフト時にはContractViolationを持つSdkErrorツリーを投げます。

Feature-Sliced Design + MVVM — インポートは下向きに流れる

スクリーン（View）→ ビューモデルフック → feature.repository.ts（SDKへの唯一の扉）。ESLintの境界 no-restricted-imports（INV-1）。FSDレイヤ：shared → entities → features → widgets → app。

1つのログイン、1つのオリジン、4つのサーフェス

apps/web の /auth（単一オリジン）→ httpOnlyクッキー 'everythink_at' → メモリ内トークン + localStorageシード → EverythinkAuthGuard + resolveMe（GET /api/v1/auth/me）→ ロールベースのゲート。

can(role, action) — 明示的マトリクス、継承なし

3レイヤ：(1) アプリごとの auth.ts allowedRoles → (2) ミドルウェア → (3) UI + サーバーアクション内の can()。バックエンドの everythink_core::rbac のミラーです。

1つのスタイルシート、セマンティックトークン、Tailwind v4

デザインの唯一の真実のソース：:root のCSSトークン、@theme（Tailwind v4）によるセマンティックマッピング、ミラーされたトークンによるモバイルのNativeWind。アプリはセマンティックコンポーネント（bg-accent、text-foreground、font-display/mono）を消費し、生のhexは決して使いません。Cosmic-purpleパレット：--gold: #d9ab5c、--violet: #9d7df5、--emerald: #10B981。

ネットワーク境界でのZod — 単一コントラクト

ワイヤ型は @everythink/types にZodで一度だけ定義されます。SDKはすべてのバックエンドレスポンスを検証し（z.parse(response)）、不正なペイロードはクラッシュではなく ApiError を投げます。コンポーネントは生のJSONを見ません：*.repository.ts がパースし、@everythink/domain がDTO → モデルをマップし、ビューモデルが型付き状態をViewに公開します。

apps/mobile — Expo、expo-router、NativeWind

React Native + expo-router（ファイルベースルーティング）+ NativeWind（RN用Tailwind）。テーマシステムはウェブのデザインシステムトークンをミラーします（tailwind.config.js + src/theme/index.ts）。sdk-guest、sdk-auth、sdk-atlas、domain、telemetry を消費します。ウェブCIから除外：--filter=!@everythink/mobile。

機械的に強制される4つのルール

慣習ではなくESLint + TypeScriptで検証可能なルール：(1) INV-1：*.repository.ts のみがSDKをインポート（no-restricted-imports）；(2) FSDレイヤ：インポートは下向きに流れる（shared → entities → features → widgets → app）、機能横断はパブリックバレル経由のみ；(3) 共有サインイン：web + app が localStorage('everythink:auth') + resolveMe() を共有；(4) 3レイヤRBAC：auth.ts allowedRoles → ミドルウェア → UI + サーバーアクション内の can(role, action)。

docker-compose.prod.yml — フルスタック

ALB（TLS）→ nginx :80 → api（:18081、起動時マイグレーション）· web（Next standalone）· app/admin（静的distroless）· postgres（timescale/timescaledb-ha:pg17 + pgvector）· dragonfly（Redis互換）。7サービス：postgres · dragonfly · api · web · app · admin · nginx。

単一の入口としてのnginx

nginx :80 が唯一の内部入口です。/api/v1/* → api:18081、/ → web:3000、/app/* → 静的、/admin/* → 静的、とルーティングします。webは EVERYTHINK_API_INTERNAL_URL（http://api:18081）経由でapiと通信します。apiは postgres と dragonfly に condition: service_healthy で依存します。

backend/.env — シークレットの唯一の場所

docker-compose.prod.yml は backend/.env を env_file 経由で api と web サービスにマウントします。apiがすべてのシークレットを保持します（JWT_SECRET、EYE_KEY_HMAC_SECRET、GOOGLE_CLIENT_ID、BREVO_API_KEY）。webは NEXT_PUBLIC_* 変数のみを受け取り——BREVO_API_KEY は決して保持しません。app/adminは静的distrolessで、ビルドにシークレットが含まれません。

preprod直接 vs CI/CDゲート

2つのデプロイ経路：preprodは作業ツリーから直接（mainを経由せず）デプロイし、本番はmainへのマージと整合性ゲートを要求します。このルールは決定的です：deployワークフローをpreprodに使わないでください。mainの :latest をプルして直接デプロイを上書きしてしまうためです。

PRではaffected、mainではintegrity

2段パイプライン：PR段は影響のあるものだけを実行（バックエンド：ci-affected-crates.sh；フロントエンド：turbo --affected）、main段は完全な整合性を実行（バックエンド + フロントエンド/モバイル全体 + E2E + セキュリティ）。mainはグリーンでデプロイ可能なまま保たれます。

フェデレーションされたセルフホストノード · BYOK · ネットワークごとのDAO

v2に向けたロードマップの方向性。以下のいずれも既存の能力ではありません。フロー：運用者がローカルのEd25519鍵ペアを生成 → コントローラーに行くのはフィンガープリントのみ（BYOK）→ セルフホストノード → 台帳アンカリング → 公開射影のみでのフェデレーション → ネットワークDAO。

v2に向けた5つのフェーズ

候補チェーンのリファレンスアーキテクチャ

Postgres台帳ハッシュコミットメントを公証するためのアーキテクチャリファレンス：Solana v0.8.13（Yakovenko）—— 暗号学的時計としてのPoH、ボンド/スラッシング付きのPoSコンセンサス、ストレージ用のPoRep。チェーン選択は明示的な運用者の決定であり、これは実装ではなくリファレンスです。