Cotas e limites

Camada funcional

A organização define quanto pode ser consumido — no total, por pessoa e por agente. Quando o limite é atingido, a ação é barrada com uma mensagem clara em vez de uma falha genérica.

Três níveis, e o que cada um significa

Qualquer um dos três pode ficar sem limite — e a tela diz isso com essas palavras, em vez de mostrar um número enorme que parece um teto de verdade.

Os três são combinados para chegar ao limite que de fato vale numa execução, e há duas coisas limitadas separadamente: quanto o agente pensa e quanto tempo de máquina ele usa.

Decidir e consumir são o mesmo passo

Verificar a cota e registrar o consumo acontecem juntos, e não em dois momentos. Parece detalhe e não é: com duas execuções disparadas ao mesmo tempo, verificar antes e registrar depois deixaria as duas passarem pelo mesmo último crédito — e a organização estouraria o teto que ela mesma definiu.

Na dúvida, deixa rodar

Se a checagem de cota não consegue ser feita — por indisponibilidade momentânea, por exemplo —, a ação é permitida e o problema é registrado. É uma decisão de produto, escrita e deliberada:

A imposição de cota nunca pode derrubar o produto. Só uma decisão genuína de bloqueio barra uma execução.

A consequência importa e vale dizer com todas as letras: cota é um limite de orçamento, não um mecanismo de segurança. Quem precisa de barreira que nunca cede — impedir uma ação perigosa, por exemplo — precisa de outro recurso: aprovação, ou guarda de ferramenta, que falham fechando.

Limite atingido é mensagem, não erro

Quando o limite barra de fato, o produto mostra um aviso explicando o que aconteceu. Não é texto de erro improvisado: é parte da tela, com a mesma atenção do resto.

O que dá para fazer, e onde