Квоты и расходы — пределы использования и трат

Движок квоты покрывает три рода: квоту токенов и квоту хранилища (Phase 207) плюс квоту расхода (Phase 216, hold-and-settle над математикой настоящих денег). Квоты — инструмент оператора для потолков использования в многопользовательских установках; они связывают каждого пользователя с настроенной квотой — администраторов включительно — а незаданная квота = без ограничений (fail-open: ноль изменения поведения для существующих установок).

Функция Community (инструмент оператора). Источники: docs/QUOTAS.md (Phase 207 + 216), docs/MODEL_COSTS.md, docs/API.md (секция Costs, quotas, and per-user model policy). Строоки происхождения: FACT-CENSUS.md F-QUOTA-1.

Ядро-инварианты

• Никакого второго счётчика. Правда о потреблении (токены/расход) остаётся в существующем ledger WorkspaceTokenUsage (packages/server/src/services/quotaService.ts). QuotaBalance / QuotaHold / QuotaReset = производное и заякоренное состояние, никогда таблица счёта.
• Reset = якорь ledger. Сброс пишет снова QuotaReset(kind, at), ограничивающий катящееся окно — история использования/расхода никогда не стирается и не обнуляется.
• Барьер на уровне службы, pre-turn — НЕ middleware авторизации (контролю нужны данные домена, не форма запроса). Барьеры стартуют до первого LLM-вызова в оркестраторе и до ingest на путях загрузки.
• Fail-open при незаданных квотах. Цепочка разрешения заканчивается на «без ограничений», когда ничего не настроено (D-08).
• Математика денег = Decimal→cents. ВСЯ арифметика расхода проходит через Prisma.Decimal и приземляется целыми центами — никогда float (costQuotaService.ts, доктрина COST-01).

Цепочка разрешения (D-08)

Ключи конфигурации (SystemConfig, редактируемые через Settings)

Доктрина SC-4: модель без цены никогда не обходит квоту расхода — резервные тарифы применяются с warn-once (warnFallbackOnce): безценная модель никогда не может считаться бесплатной.

Квоты токенов (quotaService.ts)

• resolveTokenQuota(userId) → { limit, source } — limit: null = без ограничений; source говорит, какой уровень D-08 решил.
• Катящееся окно стартует от последнего якоря QuotaReset для (userId, kind: "token") (или от эпохи, если никогда не сбрасывалось); использование в окне суммируется из ledger WorkspaceTokenUsage.
• Превышение квоты выбрасывает QuotaError (status + payload) — поле quota в payload = контракт, который читают frontend, widget и handler коннекторов. Нет middleware, чтобы обойти: барьер работает ВНУТРИ пути сервиса.

Квоты расхода (costQuotaService.ts, Phase 216) — hold-and-settle

Двухфазное резервирование:

1. Reserve (до вызова LLM) — reserveCostQuota(principal, estimateCents) едет ОДНОЙ интерактивной транзакцией: условный updateMany, чей предикат (spentCents + estimate <= limitCents) Postgres оценивает с row-lock, так что N конкурирующих барьеров SERIALIZАЦИя вместо всех, проскочивших на старом контроле (SC-2) + insert QuotaHold в той же транзакции.
2. Settle (на сегменте использования) — settleCostHold закрывает hold и возмещает estimate − actual. Превышение в полёте (actual > estimate) = принятое окно — никакого kill текущего стрима.
3. В покое действует инвариант: settledSpent + Σ(открытые lead) ≤ предел.
4. Источник цены на строку: FROZEN-снимок Phase 203, где есть; иначе резервные тарифы SC-4 (warn-once); строки в валюте вне доминантной всё равно оцениваются (никогда молча бесплатно, никогда исключено).
5. Сброс — resetCostQuota пишет якорь Quota(kind "cost") и ПЕРЕСОБИРАЕТ баланс из ledger-суммы + открытых hold (D-02).

Квоты хранилища

checkStorageQuota / resolveStorageQuota обеспечивают переопределение на пользователя storageQuotaGb, пресет QUOTA_STORAGE_GB_DEFAULT или безлимит. Барьеры стартуют на путях загрузки до dispatch к collector.

Principal для виджетов

Анонимные посетители виджета — не пользователи — resolveWidgetQuotaPrincipal привязывает widget-трафик к principal организации виджета: потребление виджета весит на цепочке квоты организации, не на per-visitator-идентичностях.

Где стартуют барьеры (места потребления)

Поток оператора

1. Установка по умолчанию — UI Settings → ключи QUOTA_* (или PUT /api/system/settings).
2. Переопределение на пользователя — PUT /api/quota/:userId (admin) или UI квоты.
3. Цены на пользователя — семейство COSTS (Phase 209: /api/users/:userId/pricing, ключи own-provider под /api/me/provider-keys) питает тот же движок.
4. Ручной сброс в любой момент: POST /api/quota/:userId/reset; часовой свип держит стационарное состояние.

Цены моделей (MODEL_COSTS)

Настройка: Settings → Providers → выбрать провайдера → действие модели pricing → расход за 1M-токен input/output (напр. 1.50 и 6.00) + валюта → Save. Формула: cost = tokens × rate, вычисляется server-side при каждой записи использования, со снимком, замороженным во время исполнения (поздняя смена тарифа никогда не переписывает историю). Валюты: USD, EUR, GBP, JPY, CNY, INR — итоги по валюте, без конверсии в v1. N/A = цена не настроена (облачные модели unset; UI показывает "N/A" — администратор должен настроить); $0.00 = явно бесплатно (локальные/Ollama-модели заполнены нулём при миграции; переопределение возможно). Пределы v1: без конверсии между валютами; расход только главной итерации (под-конвейеры tool/MCP/synthesis исключены); расход доступен на событии done (не в середине стрима).

Справочник endpoints

Полная таблица живёт в API reference → Costs, quotas, and per-user model policy.

Смотри также

• Scaling — поведение квот при многопоточном развёртывании

Это руководство описывает операционную поверхность квот и расходов; техническая глубина живёт в статье-близнеце:

• Техническая глубина

Provenance

---

Справочник оператора — Simmetric Chat v0.28.1 (документы обновлены 2026-10-02, SHA переписи `aca5b8ff`).