Gerir uma frota de ATM de cripto: numerário, cassetes, conformidade

Um ATM de cripto é uma máquina de numerário que funciona nos dois sentidos: o cliente insere notas e recebe cripto, ou envia cripto e levanta notas. Gerir uma frota deles é um negócio de logística com interface de software. O ecrã cota e confirma, mas as partes difíceis são físicas — numerário em cassetes, máquinas em sítios onde você não está e uma troca em cada cabina que tem de reconciliar ao cêntimo. Quem pensa num ATM de cripto como uma app só olhou para a metade fácil.

Isto é, por isso, uma dissecação da metade operacional: os dois subsistemas dentro da cabina, a troca ao ecrã, as cassetes que ninguém põe numa demo, o problema de previsão em que uma frota se transforma e a disciplina de controlar e reconciliar máquinas que não se veem.

Duas máquinas numa só cabina

Um ATM de cripto são, na verdade, dois subsistemas acoplados: uma máquina de manuseamento de numerário — aceitador de notas, validador, um dispensador ou reciclador e as cassetes que guardam as notas — e um terminal de cripto — uma carteira, uma ligação de rede e um ecrã que cota e confirma. Uma compra vai de numerário para cripto: o cliente insere notas, o validador conta-as e empilha-as, e a máquina envia cripto para a carteira do cliente. Uma venda vai de cripto para numerário: o cliente envia cripto para o endereço da máquina e, assim que a transferência é confirmada, o dispensador conta as notas a partir de uma cassete. Tudo o que é difícil vive onde as duas metades se encontram, porque as notas são físicas e irreversíveis depois de empilhadas, enquanto a cripto é digital e irreversível depois de confirmada — e a máquina não pode comprometer um dos lados antes de o outro estar garantido.

A troca ao balcão do ecrã

Em cada máquina acontece uma troca, regida pela mesma disciplina de cotação bloqueada de um terminal de balcão: o ecrã apresenta uma taxa, mantém-na durante a sessão com uma contagem decrescente, e o cliente transaciona com essa cotação ou a sessão pede nova cotação. A ordem das operações é o modelo de segurança. Numa compra, a máquina só liberta cripto depois de as notas serem validadas e empilhadas — não apenas inseridas, porque uma nota ainda na garganta de depósito temporário ainda não é dinheiro. Numa venda, não dispensa uma única nota até a transferência recebida ter confirmações suficientes, porque uma nota dispensada não se recupera. A ação irreversível vem sempre em último lugar, só depois de o outro lado ser definitivo. Se errar esta ordem, construiu uma máquina que entrega cripto por notas que nunca ficou a ter, ou dinheiro por uma transferência que nunca chegou.

Cassetes: a metade física que ninguém demonstra

O dinheiro vive em cassetes — caixas amovíveis de notas, tipicamente uma por denominação, que encaixam na máquina. Um reciclador pode pagar as mesmas notas que recebeu; um dispensador mais simples só retira das cassetes que um operador carregou. Cada cassete tem dois números: a contagem que o software julga ter e a contagem fisicamente verdadeira. Todo o trabalho do operador, reduzido a uma frase, é manter esses dois valores iguais. Cada nota aceite incrementa a contagem esperada, cada nota dispensada decrementa-a, e uma visita de recolha de numerário repõe-na com base numa contagem física. Quando a contagem esperada e a contagem real divergem numa recolha, essa diferença é o número mais importante da operação de uma frota — é um erro de contagem, um encravamento, ou algo pior, e descobre-se contando, nunca esperando.

Níveis de numerário, e porque é que uma frota é um problema de previsão

Uma máquina é uma tarefa; uma frota é um problema de previsão. Um dispensador vazio manda os clientes embora, e um aceitador de notas com o stacker cheio deixa de aceitar dinheiro — ambos são indisponibilidades, e nenhum acende uma luz de erro que um transeunte note, porque a máquina simplesmente não consegue concluir a transação que o cliente queria. Por isso a consola acompanha o nível de numerário por cassete e por máquina e transforma esses níveis em rotas: que equipamentos precisam de reforço e quais precisam de ser esvaziados, antes que cheguem ao limite. Uma frota bem gerida é sobretudo um calendário de transporte de valores — quem vai a que máquina, com quanto dinheiro, em que dia — e o software existe para construir esse calendário a partir de níveis em tempo real, em vez de palpites e pânico à sexta-feira à tarde.

Bloqueio remoto e ação a partir da consola

As máquinas estão em sítios onde o operador não está — um átrio, uma loja, o átrio de uma estação — pelo que o controlo tem de ser remoto. A partir da consola, o operador pode bloquear uma única máquina ou toda a frota de imediato, e uma máquina bloqueada não conclui nada de novo. O bloqueio é a resposta a um encravamento, a uma suspeita de avaria, a uma divergência de numerário, ou a uma máquina que tem de ficar parada enquanto alguém se desloca até ela. As chaves e as cassetes ficam onde estão; a máquina apenas deixa de transacionar até um humano a libertar. A disciplina é que as ações perigosas se fazem a partir da consola, com um motivo associado e registadas num log — e não por alguém a tocar no ecrã da própria máquina, no terreno, sem registo, onde ninguém pode depois reconstituir o que foi feito ou porquê.

Uma frota de ATM de cripto não é um produto de software com algum hardware acoplado. É uma operação de logística de numerário com um ecrã à frente — e cada número nesse ecrã tem de reconciliar com uma nota que se pode segurar na mão.

Reconciliar uma máquina que não se vê

A reconciliação é a prova diária de que uma frota é íntegra. Cada sessão numa máquina deixa um registo — notas entradas e cripto saído, ou cripto entrado e notas saídas, com a taxa bloqueada, os endereços de carteira e as confirmações associadas. Somando as sessões de uma máquina desde a última recolha, obtém-se o numerário que deveria ter; contando as cassetes na visita, obtém-se o numerário que tem; os dois têm de coincidir. O lado cripto reconcilia-se da mesma forma, face ao saldo da carteira da máquina. Uma frota que reconcilia por máquina e por dia apanha um equipamento problemático logo no primeiro dia — um encravamento, uma fraude, um erro de contagem — em vez de o descobrir como um buraco de fim de trimestre que ninguém consegue explicar. O objetivo do livro-razão por máquina é precisamente sobreviver a uma auditoria porque nunca se deixou que se desviasse.

A conformidade é responsabilidade do operador; o software aplica e regista

O operador de uma frota de ATM de cripto carrega com as obrigações. As autorizações que tem de possuir, as verificações de identidade que tem de executar e os limites de transação que tem de respeitar variam consoante o local de cada máquina, e pertencem ao operador — não à máquina, nem ao fornecedor da máquina. O que o software faz é deliberadamente mecânico: aplica os limites por cliente e por dia que o operador configurar, solicita o passo de identificação que o operador exigir no limiar que o operador definir, e regista cada nota, cada transferência e cada decisão sobre limites, para que o operador possa responder pela frota mais tarde. A máquina não decide políticas; aplica a política do operador da mesma forma em todos os equipamentos e regista o que aconteceu. Acertar na política é a disciplina do operador. O contributo do software é torná-la uniforme e auditável numa frota que nenhuma pessoa consegue vigiar de uma só vez.

O limite, com franqueza

Uma única máquina num só local mal precisa de uma consola de frota — uma folha de cálculo e uma contagem semanal chegavam. Esta maquinaria compensa à escala de uma frota, onde os números deixam de caber numa só cabeça: níveis de numerário em muitos equipamentos, contagens de cassetes que têm de reconciliar por local, bloqueio remoto para máquinas a horas de distância e um livro-razão por máquina que resiste a uma auditoria. Com um equipamento, isto é sobrecarga; com vinte, o calendário, a reconciliação e os controlos remotos são a diferença entre um negócio e um monte de máquinas a desequilibrar-se lentamente. A consola de frota está em /products/atm, e os termos — cassete, reciclador, reconciliação, liquidação — estão no /glossary.