docs: record Sense quota safety gate (#75)

Product-Requirements.-.md

@@ -186,7 +186,7 @@ YoVision 首个可交付目标是在民办寄宿学校以默认 16 路高风险
 <!-- sense-provisioning:start -->
 ## Sense 批量开通长期规则
 
-SEN-004 已在工单 #72 实现并合入 `dev`，当前状态为待用户验收。Sense 可独立导入 CSV/XLSX 摄像头清单，服务端预校验地址、重复项和剩余配额，再按条目执行接入。默认配额为 16 路，可通过 `SENSE_PROVISIONING_QUOTA` 调整；16 不是数据库、循环、分页或单机容量硬上限。
+SEN-004 已在工单 #72 实现、合入 `dev` 并通过用户验收。Sense 可独立导入 CSV/XLSX 摄像头清单，服务端预校验地址、重复项和剩余配额，再按条目执行接入。批次保留创建时的配额与占用快照，但新的批次与设备写入必须读取 SEN-011 的统一配额事实源；16 不是数据库、循环、分页或单机容量硬上限。
 
 导入清单禁止账号和密码字段。ONVIF/RTSP 凭据只在受控表单与单次执行请求中短暂存在，随后进入既有加密 Vault；批次、条目、响应、日志和结果导出都不得包含凭据。批次允许部分成功，成功设备不因其他条目失败而回滚；批量重试与单项重试只领取失败条目，并通过批次幂等键、持久化设备引用和条件状态更新避免重复创建设备。
 <!-- sense-provisioning:end -->
@@ -208,3 +208,11 @@ SEN-009 由 Sense 独立提供设备、媒体和可选本地推理的运维概
 
 读取默认只读。受控重试仅对明确可重试的设备/媒体问题开放，必须通过 RBAC、对象版本和在途状态校验并写入脱敏审计。孤儿媒体资源只隔离和提示，不提供自动删除。
 <!-- sense-operations:end -->
+
+<!-- sense-quota:start -->
+## Sense 容量与配额长期规则
+
+SEN-011 将默认 16 路实现为可配置的 Sense 本地交付配额。统一配置保存在 PostgreSQL；新增设备、重新启用和批量开通在写事务内原子校验。配额不可读时拒绝这些写入，但已有设备、视频流和读取保持可用。降低配额不会自动停用现有设备。
+
+容量页面只展示 16/32/64/128 的当前配置和性能测试状态。除已经验证的 16 路学校试点基线外，其余档位在完成目标硬件压测前都不得解释为单机承载承诺。
+<!-- sense-quota:end -->