Arquitectura del sistema — Clúster · GitOps · Monitorización
La infraestructura compartida por los servicios, explicada en un solo diagrama
Lurus adopta una arquitectura de nube híbrida, construyendo un sistema unificado de despliegue y gobernanza de servicios basado en Kubernetes + GitOps. Los 12 productos comparten una misma base de cuentas, facturación, memoria, gateway de LLM y observabilidad: no es un ensamblaje de servicios independientes, sino un único diagrama que se puede explicar de una vez.
Panorama de la arquitectura
Vista por capas Desde los productos de cara al consumidor hasta la base operativa, cinco capas de arriba abajo; la capa inferior provee capacidades a la superior, y la superior no percibe la implementación de la inferior.
graph TB
subgraph C[Capa de productos para consumidores]
Lucrum[Lucrum cuantitativo]
Switch[Switch escritorio]
Creator[Creator contenido]
Lutu[Lutu móvil]
end
subgraph B[Capa de productos para empresas]
API[Lurus API gateway LLM]
Forge[Forge workbench]
Lumen[Lumen herramientas de desarrollo]
end
subgraph E[Capa de motores núcleo]
Kova[Kova ejecución persistente Rust]
MemX[MemX memoria inteligente Python]
end
subgraph I[Capa de infraestructura]
Platform[Platform cuentas y facturación]
Auth[Auth OIDC]
Notify[Notification notificación multicanal]
end
subgraph O[Capa de operaciones]
Ops[K8s Traefik ArgoCD Prometheus Grafana Jaeger Loki]
end
C --> B
B --> E
E --> I
I --> OVersión en texto del diagrama por capas (accesibilidad / para copiar)
┌─────────────────────────────────────────────────────────────────┐
│ C 端产品层 │
│ Lucrum (量化) · Switch (桌面) · Creator (内容) · Lutu (移动) │
├─────────────────────────────────────────────────────────────────┤
│ B 端产品层 │
│ Lurus API (LLM 网关) · Forge (工作台) · Lumen (开发者工具) │
├─────────────────────────────────────────────────────────────────┤
│ 核心引擎层 │
│ Kova (持久执行, Rust) · MemX (智能记忆, Python) │
├─────────────────────────────────────────────────────────────────┤
│ 基础设施层 │
│ Platform (账号/计费) · Auth (OIDC) · Notification (多渠道通知) │
├─────────────────────────────────────────────────────────────────┤
│ 运维层 │
│ K8s · Traefik · ArgoCD · Prometheus · Grafana · Jaeger · Loki │
└─────────────────────────────────────────────────────────────────┘Principios de diseño
Cinco principios Entrada unificada, modelo unificado, despliegue automatizado, observabilidad integrada y autorrecuperación ante fallos.
Diseño núcleo
Gateway unificado
Entrada Traefik, terminación TLS, gestión automática de certificados comodín
Gateway de IA multimodelo
Acceso unificado a más de 50 canales LLM (OpenAI / Claude / Gemini / Deepseek / Qwen / Moonshot, etc.), protección por cortacircuitos por canal
Despliegue GitOps
GitHub Actions → imágenes de contenedor GHCR → sincronización automática ArgoCD
Observabilidad de pila completa
Métricas Prometheus + paneles Grafana + logs Loki + trazas distribuidas Jaeger
Diseño de alta disponibilidad
Conmutación automática ante fallo de canal, enrutamiento por prioridad + peso, protección con PodDisruptionBudget
Flujo de procesamiento de solicitudes
Flujo de datos Una solicitud LLM, desde la entrada hasta el upstream, atraviesa cinco controles: autenticación, limitación de tasa, cortacircuitos, facturación y registro.
graph LR
Client[Client] --> Traefik[Traefik TLS]
Traefik --> GW[API Gateway]
GW --> Route[Enrutamiento inteligente]
Route --> Up[IA upstream 50+ proveedores]
Up --> Resp[Respuesta]
GW -.-> Mid[Autenticación / Limitación de tasa / Cortacircuitos / Facturación / Registro]El API Gateway empareja automáticamente los canales disponibles según el nombre del modelo, con soporte para ordenamiento por prioridad y asignación aleatoria ponderada. Cuando un canal de alta prioridad falla, el cortacircuitos por canal aísla automáticamente el canal averiado y el tráfico se conmuta a un canal alternativo.
Visión general de la pila tecnológica
Elección tecnológica Pila híbrida multilenguaje, eligiendo el runtime más adecuado según el negocio.
| Capa | Elección tecnológica |
|---|---|
| Servicios backend | Go (Gin), Rust, Python (FastAPI) |
| Frontend | React / Next.js / Vue 3 / Flutter |
| Aplicaciones de escritorio | Wails (Go + Web), un solo exe sin dependencias |
| Base de datos | PostgreSQL (CNPG), aislamiento por schema según servicio |
| Caché | Redis, aislamiento por DB según servicio |
| Mensajería | NATS JetStream (difusión de eventos) |
| Flujos de trabajo | Temporal (renovación de suscripciones / tareas programadas) |
| Autenticación de identidad | Casdoor (OIDC) |
| Contenedores | Imágenes mínimas scratch/alpine, construcción multietapa |
| Seguridad | Motor de políticas Kyverno + NetworkPolicy + escaneo de contenedores Trivy |
Despliegue en nube híbrida
Forma de despliegue Doble entrada de red pública + orquestación de despliegue mixto: equilibra la accesibilidad nacional y el coste operativo.
Doble entrada de red pública con Sanfengyun + Alibaba Cloud, despliegue mixto K3s + Docker-Compose, infraestructura aislada según el negocio.
Automatización completa GitHub Actions → GHCR → ArgoCD, con tag de imagen fijado en main-<sha7>.
Panel unificado Grafana + Prometheus + Jaeger + Loki, integrando métricas / logs / trazas.
Diseño de seguridad
Defensa en profundidad Desde el transporte hasta el runtime de contenedores, siete capas de defensa en profundidad.
| Capa | Medidas |
|---|---|
| Transporte | HTTPS en todo el sitio (TLS 1.3), renovación automática de certificados comodín |
| Red | Red VPN, aislamiento de namespaces con NetworkPolicy |
| Autenticación | Autenticación de identidad unificada: modo dual OIDC JWT + API Key, Passkey WebAuthn, federación SSO empresarial |
| Autorización | Control de permisos por roles RBAC, aislamiento automático multitenant con GORM |
| Cifrado | ChaCha20-Poly1305 + SM4-GCM nacional (cumplimiento Xinchuang) |
| Auditoría | Logs JSON estructurados + trazas distribuidas OpenTelemetry |
| Contenedores | readOnlyRootFilesystem, drop ALL capabilities, runAsUser:65534 |
Soberanía de los datos
Cifrado de extremo a extremo con SM4-GCM nacional, despliegue privado y datos que no salen del perímetro de la empresa. Un único conjunto de SSO / Passkey / MFA permite integrar el IdP existente de la empresa, compatible con el SDK de OpenAI, con coste de salida cero al exportar.
Documentación detallada de la arquitectura
Fuente única de verdad
Los diagramas detallados de arquitectura se encuentran en el repositorio de gobernanza: lurus.yaml + doc/architecture.md. Este sitio ya no incrusta el diagrama completo, para evitar mantener una doble fuente de verdad.