Die Nacht, in der 60 Rechenzentren aus dem Netz verschwanden — und was sie mich über die Grenzen der KI lehrte

Ich war in einem Gespräch mit einer Führungskraft eines Energieversorgers, als er etwas sagte, das mich schlagartig innehalten ließ.

„Das Netz verlor in jener Nacht nicht den Strom. Es verlor die Nachfrage. Und niemand hatte dafür einen Notfallplan.“

Er sprach über den 10. Juli 2024 — den Abend, an dem ein einziger Blitzeinschlag in Fairfax, Virginia, die gleichzeitige Abschaltung von 60 Rechenzentren auslöste und in weniger als zwei Minuten 1.500 Megawatt Stromnachfrage verpuffen ließ. Das entspricht ungefähr dem gesamten Stromverbrauch Bostons — verschwunden in der Zeit, die man zum Zähneputzen braucht. Die North American Electric Reliability Corporation — NERC, die Bundesbehörde, die dafür sorgt, dass für 400 Millionen Menschen das Licht anbleibt — bezeichnete es später als „Großalarm für die Zuverlässigkeit“.

Und ich erinnere mich, wie ich dasaß und dachte: Das ist genau das Ereignis, vor dem ich immer gewarnt habe. Kein Erzeugungsausfall. Kein Cyberangriff. Eine Kaskade automatisierter Schutzlogik, bei der jedes System genau das tat, was ihm aufgetragen wurde, und die gemeinsam ein Ergebnis hervorbrachte, das niemand so entworfen hatte. Das Netz brach nicht zusammen, weil etwas schiefging. Es brach zusammen, weil alles richtig lief — zur falschen Zeit, in der falschen Reihenfolge, in einem Ausmaß, das niemand modelliert hatte.

Dies ist die Geschichte dessen, was in jener Nacht wirklich geschah, warum die aktuelle Welle von KI-„Lösungen“ es schlimmer gemacht hätte und was mein Team bei Veriprajna stattdessen entwickelt hat.

Was passiert, wenn ein Blitz die Internet-Hauptstadt der Welt trifft?

Nord-Virginia leitet 70 % des weltweiten Internetverkehrs. Es ist keine Metapher, es das Rückgrat der digitalen Wirtschaft zu nennen — es ist buchstäblich so. Und an jenem Juli-Abend versagte ein Überspannungsableiter auf der 230-Kilovolt-Übertragungsleitung Ox-Possum von Dominion Energy und verursachte einen dauerhaften Fehler.

Und jetzt wird es interessant. Die Schutzsysteme des Netzes taten ihre Arbeit. Sie versuchten, die Leitung automatisch wieder zuzuschalten — ein Standardverfahren, so wie man einen Schutzschalter wieder einschaltet, um zu sehen, ob der Fehler behoben ist. Das System versuchte es sechsmal innerhalb von 82 Sekunden, drei Versuche von jedem Ende der Leitung. Jeder Versuch verursachte einen kurzen Spannungseinbruch.

Keiner dieser Einbrüche war für sich genommen gefährlich. Jeder blieb innerhalb des Bereichs von ±10 %, den die Netzstandards als normal ansehen. Doch die unterbrechungsfreien Stromversorgungssysteme in diesen Rechenzentren zählten mit. Sie sind mit einer einfachen Regel programmiert: Wenn du drei Spannungsstörungen innerhalb einer Minute siehst, gehe davon aus, dass das Netz ausfällt, und schalte auf Diesel-Notstromgeneratoren um. Schütze die Server um jeden Preis.

Also zählten die USV-Systeme bis drei, und 60 Anlagen sagten gleichzeitig: Wir sind raus.

Ein Routinefehler auf einer einzigen Übertragungsleitung ließ 1.500 MW Last in weniger als 82 Sekunden verschwinden — fünfzigmal schneller als ein typischer Kraftwerksausfall.

Die Netzbetreiber bei PJM Interconnection, das den Strom für 65 Millionen Menschen in 13 Bundesstaaten verwaltet, hatten plötzlich einen massiven Überschuss an Erzeugung. Die Frequenz schoss auf 60,047 Hz hoch. Bei einem normalen Ausfall sinkt die Frequenz, weil man einen Generator verloren hat. Hier stieg sie an, weil sich die Generatoren noch drehten, die Last aber verschwunden war. Die Betreiber mussten hektisch das Gegenteil dessen tun, wofür sie ausgebildet sind — sie drosselten manuell 600 MW aus Gaskraftwerken in Pennsylvania und 300 MW aus einem Kernkraftwerksblock in Virginia herunter, nur um zu verhindern, dass das System die Transformatoren überlastet.

Und die Rechenzentren? Sie liefen stundenlang mit Diesel. Der Wechsel auf das Backup erfolgte automatisch. Die Rückkehr ins Netz nicht. Sie erforderte manuelle Eingriffe, Anlage für Anlage, wobei Tausende Gallonen Diesel verbrannt wurden, während Techniker die Wiederzuschaltung koordinierten.

Ich komme immer wieder auf die Absurdität davon zurück. Die ausgefeilteste Computing-Infrastruktur der Welt, in der die Modelle untergebracht sind, die angeblich jede Branche verändern werden, wurde durch einen Zählalgorithmus lahmgelegt, der nicht zwischen „sechs Einbrüchen durch einen Fehler“ und „sechs separaten Notfällen“ unterscheiden konnte.

Warum ich wusste, dass die „Nimm doch einfach GPT“-Fraktion das falsch machen würde

Etwa eine Woche, nachdem der Vorfall in die Fachpresse gelangt war, bekam ich eine E-Mail von einem Investor, der unsere Arbeit verfolgt hatte. Sein Vorschlag, sinngemäß: „Könnten Sie nicht einfach ein LLM auf Netzdaten feinabstimmen und es diese Kaskaden vorhersagen lassen?“

Ich entwarf drei verschiedene Antworten, bevor ich mich für die höfliche Version entschied. Aber Folgendes wollte ich sagen:

Nein. Und die Tatsache, dass Sie überhaupt fragen, sagt mir genau, wie tief das Missverständnis reicht.

Große Sprachmodelle sind probabilistische Maschinen. Sie sagen das nächste wahrscheinliche Token in einer Sequenz voraus. Sie optimieren auf Plausibilität — das, was richtig klingt — nicht auf Wahrhaftigkeit — das, was richtig ist. Diese Unterscheidung ist akademisch, wenn man Marketingtexte erzeugt. Sie ist katastrophal, wenn man ein System steuert, in dem die Frequenz innerhalb von 0,036 Hz um ihren Zielwert bleiben muss oder die Transformatoren zu überhitzen beginnen.

Mein Team und ich verbrachten nach dem Vorfall in Virginia Wochen damit, die Fehlerkette zu untersuchen, und wir kamen immer wieder zum selben Schluss: Der vorherrschende Ansatz für KI in kritischer Infrastruktur — was ich die „Wrapper“-Architektur nenne, bei der man eine dünne Softwareschicht über GPT-4 oder Claude legt und es eine Lösung nennt — wäre hier nutzlos gewesen. Möglicherweise schlimmer als nutzlos.

Denken Sie darüber nach, was ein Standard-Retrieval-Augmented-Generation-System mit Netzdaten anfangen würde. Es behandelt alles als Textsegmente. Es könnte ein Dokument über die Ox-Possum-Leitung und ein weiteres über USV-Ride-Through-Standards abrufen, aber es hat keine Vorstellung davon, dass sich ein Spannungseinbruch am Umspannwerk A elektromagnetisch in Millisekunden auf Umspannwerk B ausbreitet. Es kann nicht über die Kirchhoffschen Gesetze schlussfolgern. Es weiß nicht, was eine Schwinggleichung ist. Es würde eine selbstbewusste, gut formatierte Antwort erzeugen, die physikalisch unmöglich sein könnte.

Wir haben dieses Muster in einem anderen Bereich ablaufen sehen. 2023 setzte Sports Illustrated eine Wrapper-Architektur ein, die ganze Journalisten-Personas und Artikel erzeugte — plausibel, ausgefeilt und vollständig erfunden. Die Aktie fiel um 27 %. Für ein Medienunternehmen ist das ein Skandal. Für einen Netzbetreiber lässt die entsprechende „Halluzination“ in einem Lastausgleichsalgorithmus keinen Aktienkurs abstürzen. Sie lässt ein Netz abstürzen.

Ausführlich habe ich über diesen Fehlermodus in unserer interaktiven Analyse der Störung in Virginia geschrieben, in der wir die vollständige Kaskade vom Blitzeinschlag bis zu den Dieselgeneratoren nachzeichnen.

Der Streit, der veränderte, wie wir bauen

Es gab einen Moment — ich glaube, es war Ende August 2024, vielleicht drei Wochen nachdem wir mit unserer tiefgehenden Analyse begonnen hatten —, als zwei meiner Ingenieure in einen echten Streit über Architektur gerieten. Der eine wollte einen rein neuronalen Ansatz verfolgen: ein riesiges Modell mit historischer Netztelemetrie trainieren und es die Physik implizit lernen lassen. Der andere beharrte darauf, dass implizites Lernen nicht ausreiche, dass man die Physik direkt in die Verlustfunktion des Modells kodieren müsse.

Ich ließ sie fast eine Stunde lang streiten. Nicht, weil ich keine Meinung gehabt hätte, sondern weil der Streit selbst etwas kristallisierte, um das ich seit Monaten kreiste.

Der Verfechter des rein neuronalen Ansatzes rief Ergebnisse eines Standard-Deep-Learning-Modells auf, das auf den AC Optimal Power Flow angewendet wurde — das zentrale Optimierungsproblem, das bestimmt, wie sich Strom durch ein Netz bewegt. Das Modell war schnell: 52,6 Millisekunden für die Inferenz. Aber als wir es Stresstests mit Szenarien unterzogen, die dem Ereignis in Virginia ähnelten — plötzliche, massive Lastabfälle —, erzeugte es Zustände, die grundlegende Lastflussgleichungen verletzten. Es „halluzinierte“ Netzzustände, die physikalisch nicht existieren konnten. Eine Spannung an einem Knoten, die einen Stromfluss in einer Richtung erfordern würde, die von der Netztopologie verboten ist.

Der Verfechter des Physics-First-Ansatzes zeigte dann, was passiert, wenn man die Residuen der maßgeblichen partiellen Differentialgleichungen direkt in die Verlustfunktion des neuronalen Netzes einbettet. Das nennt man ein Physics-Informed Neural Network, kurz PINN. Das Modell lernt nicht einfach nur Muster aus Daten; es lernt Muster, die durch die Gesetze des Elektromagnetismus eingeschränkt sind. Jede Vorhersage, die es trifft, muss mit den Kirchhoffschen Gesetzen und der Schwinggleichung für die Frequenzstabilität übereinstimmen.

Die Ergebnisse waren eindrucksvoll: 0,64 MW Abweichung von der Grundwahrheit gegenüber 0,73 MW beim uneingeschränkten Modell, bei Inferenzzeiten unter 50 Millisekunden. Noch wichtiger: Das physikalisch eingeschränkte Modell bewahrte auch unter extremen Szenarien seine physikalische Zulässigkeit. Es konnte keine unmöglichen Netzzustände halluzinieren, weil die Physik es nicht zuließ.

Wenn die Verlustfunktion Ihrer KI die Gesetze der Physik einschließt, ist Halluzination nicht nur unwahrscheinlich — sie wird mathematisch bestraft.

Dieser Streit endete damit, dass beide Ingenieure auf derselben Seite standen. Und er wurde zum Fundament dessen, was wir heute bei Veriprajna bauen.

Wie baut man eine KI, die nicht über Physik lügen kann?

Die von uns entwickelte Architektur hat eine Struktur, die ich manchmal als „Sandwich“ beschreibe — obwohl das ihrer Präzision nicht gerecht wird.

Die oberste Schicht ist neuronal. Sie übernimmt die Wahrnehmung: das Lesen unstrukturierter Daten, das Extrahieren von Absichten, das Erkennen von Entitäten. Wenn ein großer Antrag auf Anschluss einer Großlast als 200-seitige PDF-Einreichung eingeht, zerlegt diese Schicht ihn in strukturierte Parameter. Darin ist sie gut. LLMs sind bei Wahrnehmungsaufgaben wirklich hervorragend.

Die mittlere Schicht ist symbolisch. Hier findet das eigentliche Schlussfolgern statt, und es ist vollständig deterministisch. Wissensgraphen speichern die Beziehungen zwischen Umspannwerken, Übertragungsleitungen, Rechenzentrumsverträgen und NERC-Compliance-Standards. Fest kodierte Geschäftsregeln — die wir Policy-as-Code nennen — validieren jeden extrahierten Parameter gegen die Netzphysik und regulatorische Anforderungen. Kein noch so ausgefeiltes Prompt-Engineering kann diese Schicht umgehen. Wenn eine vorgeschlagene Lastrampe die N-1-Ausfallnebenbedingung verletzt, die in NERC TPL-001 definiert ist, markiert das System sie. Punkt. Es gibt keine „Temperatur“-Einstellung, die sie kreativer im Umgang mit Sicherheit macht.

Die unterste Schicht ist wieder neuronal. Sie nimmt die validierte Entscheidung aus der symbolischen Schicht und übersetzt sie in natürliche Sprache oder maschinelle Steuersignale. Sie ist ein Kommunikator, kein Denker.

Das meine ich mit einem „Glass Box“-Ansatz. Jede Entscheidung hat eine Belegkette. Statt einer Blackbox, die sagt „Vertrau mir, ich bin KI“, sagt unser System: „Ich habe dies markiert, weil die vorgeschlagene Rampenrate den in Abschnitt 4.2 der Anschlussvereinbarung definierten Schwellenwert überschreitet, abgeglichen mit Echtzeit-Telemetrie aus PMU-Daten an Umspannwerk 7.“

Die Leute widersprechen dem immer. „Ist die symbolische Schicht nicht einfach nur Regelwerk? Baut ihr nicht bloß ein Expertensystem mit zusätzlichen Schritten?“ Nein. Die neuronalen Schichten übernehmen die Teile, die Regeln nicht können — die Wahrnehmung unstrukturierter Daten, die Mustererkennung über Tausende von Variablen, die Echtzeit-Anomalieerkennung in verrauschten Sensordaten. Die symbolische Schicht übernimmt die Teile, die neuronale Netze nicht können — garantierte Compliance, physikalische Machbarkeit, Prüfbarkeit. Keine von beiden allein ist ausreichend. Zusammen decken sie die blinden Flecken der jeweils anderen ab.

Was braucht das Netz gerade wirklich?

Die Reaktion von NERC auf den Vorfall in Virginia war schnell und, das muss man ihnen zugutehalten, substanziell. Sie richteten im August 2024 die Large Loads Task Force ein und gaben im September einen Level-2-Industry-Recommendation-Alert heraus, der die Versorger drängte, grundlegend zu überarbeiten, wie sie Großlasten modellieren, überwachen und mit ihnen kommunizieren.

Das Kernproblem, das NERC identifizierte, ist das, was ich Unsichtbarkeit nennen würde. Die Netzbetreiber konnten nicht in diese 60 Rechenzentren hineinsehen. Sie hatten keine Echtzeit-Telemetrie zur Zähllogik der USV, keine Sichtbarkeit darüber, wann sich Anlagen ihren Abschaltschwellen näherten. Die Rechenzentren waren Blackboxes, die Gigawatt aus einem System bezogen, das sie wie überdimensionierte Häuser behandelte.

Eine technische Entwicklung, die mir echte Hoffnung macht, ist das PERC1-Modell — Power Electronic Ceasing and Reconnecting. Traditionelle Lastmodelle wurden für Motoren und Heizgeräte entworfen, Geräte, die sich während eines Fehlers allmählich verlangsamen. Rechenzentren verlangsamen sich nicht. Sie stellen den Verbrauch vollständig ein, in Millisekunden, durch leistungselektronisches Schalten. PERC1 ist das erste Modell, das speziell dafür entworfen wurde, dieses Verhalten abzubilden, und es ist entscheidend für jede Simulation, die vorhersagen will, was während Ereignissen wie dem 10. Juli tatsächlich passiert.

Aber Modelle allein reichen nicht. Rechenzentren müssen zu aktiven Teilnehmern an der Netzstabilität werden, nicht zu passiven Verbrauchern, die sich abschalten, wenn es unangenehm wird.

Hier wird OpenADR 3.0 — der modernisierte Standard für automatisierte Demand Response — unverzichtbar. Die ältere Version verwendete umständliches XML-Messaging mit Reaktionszeiten von unter einer Minute. Version 3.0 nutzt RESTful-APIs und JSON mit Latenzen im Subsekundenbereich. Das ist der Unterschied zwischen „Bitte reduzieren Sie die Last irgendwann in den nächsten 60 Sekunden“ und „Verlagern Sie jetzt sofort 50 MW Batch-Verarbeitung in Ihre Anlage in Oregon“.

Würden Rechenzentren während der Spitzenzeiten nur 0,5 % ihres jährlichen Stromverbrauchs drosseln, könnten 100 GW neue Kapazität ans Netz gehen, ohne ein einziges neues Gaskraftwerk zu bauen.

Die DCFlex-Initiative von EPRI rekrutiert bereits Rechenzentren für freiwillige Demand-Response-Programme, die auf dieser Prämisse aufbauen. Die Rechnung ist überzeugend, aber die Umsetzung erfordert eine KI, die Rechenlasten dynamisch zwischen geografischen Regionen verschieben kann und dabei sowohl Netzbeschränkungen als auch Service-Level-Agreements berücksichtigt. Genau diese Orchestrierungsschicht — schnell genug für Reaktionen im Subsekundenbereich, klug genug, um die Physik zu respektieren, prüfbar genug für Regulierungsbehörden — soll unsere PINN-basierte Architektur bereitstellen.

Die vollständige technische Aufschlüsselung, wie wir PINNs mit dem neurosymbolischen Stack integrieren, finden Sie in unserem Forschungspapier über die Störung in Virginia.

Warum Virginias Problem das Problem aller ist

Ich muss über die menschlichen Kosten sprechen, weil die technische Community dazu neigt, Netzstabilität abstrakt zu diskutieren.

Die Rechenzentrumskapazität von Dominion Energy soll von heute 4 GW auf fast 40 GW an vertraglich zugesicherter Kapazität wachsen. Virginia hat den Betreibern von Rechenzentren im vergangenen Jahrzehnt 2,7 Milliarden Dollar an Subventionen gewährt. Der Bundesstaat benötigt 28,3 Milliarden Dollar für neue Übertragungsinfrastruktur und 40 % mehr Übertragungskapazität, um die prognostizierte Last zu bewältigen — eine Ausbaugeschwindigkeit, die die Joint Legislative Audit and Review Commission des Bundesstaates selbst als „sehr schwer zu erreichen“ bezeichnet.

Unterdessen sind die regionalen Kapazitätspreise um 833 % in die Höhe geschnellt. Für private Stromrechnungen wird prognostiziert, dass sie bis 2045 380 Dollar pro Monat erreichen. Die Rechenzentren in Nord-Virginia verbrauchten 2023 fast 2 Milliarden Gallonen Wasser zur Kühlung — genug, um 50.000 Menschen zu versorgen — und verlassen sich auf fast 9.000 Diesel-Notstromgeneratoren, die, wie der 10. Juli bewies, nicht nur Backups sind, sondern ein Kernbestandteil der Betriebsstrategie.

Das US-Energieministerium prognostiziert, dass ohne bedeutende Eingriffe die Ausfälle von heute 2,4 Stunden pro Jahr auf über 430 Stunden bis 2030 ansteigen könnten.

Ich bin nicht gegen Rechenzentren. Mein Unternehmen existiert wegen der Recheninfrastruktur, die diese Anlagen bereitstellen. Aber ich lehne die Vorstellung zutiefst ab, dass wir die KI-Rechenleistung immer weiter hochskalieren können, während wir das Netz wie eine unendliche Ressource behandeln und die KI selbst wie eine magische Textbox, die es irgendwie schon lösen wird.

Die Erkenntnis um 2 Uhr nachts

Es gab eine Nacht — ich glaube, es war Anfang September, mitten in unserer Analyse —, als ich die PJM-Frequenzdaten vom Ereignis des 10. Juli durchsah. Ich hatte wohl zum hundertsten Mal auf die Spitze von 60,047 Hz gestarrt. Und da machte etwas klick, das ich zuvor nie in Worte gefasst hatte.

Die USV-Systeme der Rechenzentren taten genau das, wofür sie ausgelegt waren. Die automatische Wiedereinschaltung des Netzes tat genau das, wofür sie ausgelegt war. Die Betreiber von PJM taten genau das, wofür sie ausgebildet waren. Jeder einzelne Akteur verhielt sich korrekt. Die Katastrophe entstand aus der Interaktion — aus der Lücke zwischen Systemen, die nie dafür ausgelegt waren, miteinander zu sprechen.

Das ist derselbe Fehlermodus, den ich überall bei KI-Implementierungen in Unternehmen sehe. Das LLM tut, wofür es ausgelegt ist — plausiblen Text erzeugen. Das Retrieval-System tut, wofür es ausgelegt ist — relevante Dokumente finden. Die Benutzeroberfläche tut, wofür sie ausgelegt ist — Ergebnisse sauber darstellen. Und das Ganze produziert eine selbstbewusste, gut belegte Antwort, die physikalisch unmöglich, rechtlich falsch oder finanziell ruinös ist, weil keine Schicht für die Grundwahrheit verantwortlich ist.

Das ist das Problem, das wir lösen. Keinen besseren Chatbot bauen. Keinen cleveren Prompt um GPT wickeln. Architekturen bauen, in denen Wahrheit strukturell verankert ist — in denen die Physik nicht durch Wahrscheinlichkeit außer Kraft gesetzt werden kann, in denen die Logik nicht halluziniert werden kann, in denen jede Ausgabe eine Belegkette hat, der eine Regulierungsbehörde, ein Ingenieur oder ein Richter von der Schlussfolgerung zurück zum Beweis folgen kann.

Der Blackout in Virginia wurde nicht dadurch verursacht, dass ein System versagte. Er wurde dadurch verursacht, dass Systeme unabhängig voneinander auf eine Weise erfolgreich waren, die eine kollektive Katastrophe hervorbrachte. Das ist derselbe Fehlermodus, der heute in jedem KI-Wrapper lauert, der in kritischer Infrastruktur eingesetzt wird.

Wie es von hier aus weitergeht

Ich will direkt sagen, was meiner Meinung nach kommt.

Die Ära des LLM-Wrappers ist für alles, was zählt, vorbei. Zum Erzeugen von Blogbeiträgen und Zusammenfassen von Meetings — in Ordnung, Wrapper werden bestehen bleiben und besser werden. Aber bei Systemen, in denen falsche Antworten physische Konsequenzen haben — Stromnetze, Finanz-Compliance, Medizingeräte, Tragwerksplanung —, wird sich die Branche spalten. Ein Weg führt zu immer aufwendigeren Prompt-Ketten, die um probabilistische Modelle gewickelt sind, mit „Leitplanken“, die selbst probabilistisch sind. Der andere führt zu hybriden Architekturen, in denen neuronale Wahrnehmung deterministisches Schlussfolgern speist, eingeschränkt durch die tatsächlichen Gesetze, die die jeweilige Domäne bestimmen.

Ich weiß, auf welchen Weg ich baue. Das Netz in Virginia brauchte keine eloquentere KI. Es brauchte eine KI, die auf der Ebene von Differentialgleichungen verstand, was passiert, wenn 1.500 MW Last in 82 Sekunden verschwinden. Es brauchte eine KI, die in diesen USV-Systemen die Zähllogik erkennen konnte, wie sie auf die Abschaltung zutickte, und eingreifen konnte — nicht mit einem Vorschlag, sondern mit einem physikalisch verifizierten Steuersignal, das in weniger als einer Millisekunde abgesetzt wird.

Die Stromzuverlässigkeit ist heute eine Variable auf Vorstandsebene. Wenn das Netz in Nord-Virginia das nächste Mal flackert — und das wird es, weil die Last zehnmal schneller wächst als die Übertragungskapazität —, wird die Frage nicht sein, ob KI im Spiel war. Sie wird sein, ob die KI die Physik verstanden hat oder nur das nächste Token vorhergesagt hat.