La nuit où 60 centres de données ont disparu du réseau — et ce que cela m'a appris sur les limites de l'IA

J'étais au téléphone avec un dirigeant d'une compagnie d'électricité quand il a dit quelque chose qui m'a glacé.

« Le réseau n'a pas perdu de courant cette nuit-là. Il a perdu de la demande. Et personne n'avait de plan d'action pour ça. »

Il parlait du 10 juillet 2024 — le soir où un unique coup de foudre à Fairfax, en Virginie, a déclenché la déconnexion simultanée de 60 centres de données, volatilisant 1 500 mégawatts de demande électrique en moins de deux minutes. C'est à peu près la consommation électrique totale de Boston, disparue le temps de se brosser les dents. La North American Electric Reliability Corporation — NERC, l'organisme fédéral qui maintient l'électricité pour 400 millions de personnes — a plus tard qualifié cela d'« incendie à cinq alarmes pour la fiabilité ».

Et je me souviens d'être resté assis là à penser : c'est l'événement contre lequel je mettais en garde. Pas une défaillance de production. Pas une cyberattaque. Une cascade de logiques de protection automatisées, chaque système faisant exactement ce qu'on lui avait dit, produisant collectivement un résultat que personne n'avait conçu. Le réseau n'a pas cédé parce que quelque chose a mal tourné. Il a cédé parce que tout a fonctionné correctement — au mauvais moment, dans le mauvais ordre, à une échelle que personne n'avait modélisée.

Voici l'histoire de ce qui s'est réellement passé cette nuit-là, des raisons pour lesquelles la vague actuelle de « solutions » d'IA aurait aggravé la situation, et de ce que mon équipe chez Veriprajna construit à la place.

Que se passe-t-il quand la foudre frappe la capitale mondiale d'Internet ?

La Virginie du Nord achemine 70 % du trafic Internet mondial. Ce n'est pas une métaphore de la qualifier de colonne vertébrale de l'économie numérique — elle l'est littéralement. Et ce soir de juillet, un parafoudre est tombé en panne sur la ligne de transmission Ox-Possum de 230 kilovolts de Dominion Energy, créant un défaut permanent.

C'est là que ça devient intéressant. Les systèmes de protection du réseau ont fait leur travail. Ils ont tenté de refermer automatiquement la ligne — une procédure standard, comme réenclencher un disjoncteur pour voir si le défaut disparaît. Le système a essayé six fois en 82 secondes, trois tentatives depuis chaque extrémité de la ligne. Chaque tentative a provoqué une brève chute de tension.

Aucune de ces chutes n'était dangereuse en soi. Chacune est restée dans la plage de ±10 % que les normes du réseau considèrent comme normale. Mais les systèmes d'alimentation sans interruption à l'intérieur de ces centres de données comptaient. Ils sont programmés avec une règle simple : si vous observez trois perturbations de tension en une minute, considérez que le réseau est défaillant et basculez sur les générateurs diesel de secours. Protégez les serveurs à tout prix.

Alors les systèmes UPS ont compté jusqu'à trois, et 60 installations ont dit simultanément : on se déconnecte.

Un défaut de routine sur une seule ligne de transmission a fait disparaître 1 500 MW de charge en moins de 82 secondes — cinquante fois plus vite qu'une défaillance classique de centrale électrique.

Les opérateurs de réseau de PJM Interconnection, qui gère l'électricité pour 65 millions de personnes dans 13 États, se sont soudain retrouvés avec un énorme surplus de production. La fréquence a grimpé à 60,047 Hz. Lors d'une panne normale, la fréquence baisse parce qu'on a perdu un générateur. Ici, elle a bondi parce que les générateurs tournaient toujours mais que la charge avait disparu. Les opérateurs ont dû se démener pour faire l'inverse de ce pour quoi ils sont formés — ils ont réduit manuellement 600 MW des centrales à gaz de Pennsylvanie et 300 MW d'un réacteur nucléaire de Virginie juste pour empêcher le système de surcharger les transformateurs.

Et les centres de données ? Ils sont restés sur le diesel pendant des heures. La transition vers le secours était automatique. Le retour au réseau ne l'était pas. Il a nécessité une intervention manuelle, installation par installation, brûlant des milliers de gallons de diesel pendant que les techniciens coordonnaient la reconnexion.

Je reviens sans cesse à l'absurdité de la chose. L'infrastructure informatique la plus sophistiquée de la planète, hébergeant les modèles censés transformer chaque secteur, a été mise hors ligne par un algorithme de comptage incapable de distinguer « six chutes dues à un seul défaut » de « six urgences distinctes ».

Pourquoi je savais que les adeptes du « il suffit d'utiliser GPT » se trompaient

Environ une semaine après que l'incident a été relayé par la presse spécialisée, j'ai reçu un e-mail d'un investisseur qui suivait notre travail. Sa suggestion, paraphrasée : « Ne pourriez-vous pas simplement affiner un LLM sur des données de réseau et lui faire prédire ces cascades ? »

J'ai rédigé trois réponses différentes avant d'opter pour la version polie. Mais voici ce que je voulais dire :

Non. Et le fait que vous posiez la question me montre exactement à quel point le malentendu est profond.

Les grands modèles de langage sont des moteurs probabilistes. Ils prédisent le prochain token probable dans une séquence. Ils optimisent la plausibilité — ce qui semble juste — non la véracité — ce qui est juste. Cette distinction est purement théorique quand on rédige des textes marketing. Elle est catastrophique quand on gère un système où la fréquence doit rester à moins de 0,036 Hz de sa cible, sinon les transformateurs commencent à surchauffer.

Mon équipe et moi avons passé des semaines après l'incident de Virginie à étudier la chaîne de défaillances, et nous parvenions sans cesse à la même conclusion : l'approche dominante de l'IA dans les infrastructures critiques — ce que j'appelle l'architecture « wrapper », où l'on drape une fine couche logicielle sur GPT-4 ou Claude et où l'on appelle cela une solution — aurait été inutile ici. Peut-être pire qu'inutile.

Pensez à ce qu'un système standard de génération augmentée par récupération ferait avec des données de réseau. Il traite tout comme des segments de texte. Il pourrait récupérer un document sur la ligne Ox-Possum et un autre sur les normes de tenue des UPS, mais il n'a aucune notion du fait qu'une chute de tension à la sous-station A se propage électromagnétiquement à la sous-station B en quelques millisecondes. Il ne peut pas raisonner sur les lois de Kirchhoff. Il ne sait pas ce qu'est une équation de balancement. Il générerait une réponse assurée et bien formatée qui pourrait être physiquement impossible.

Nous avons vu ce schéma se dérouler dans un autre domaine. En 2023, Sports Illustrated a déployé une architecture wrapper qui générait des personas de journalistes et des articles entiers — plausibles, soignés et entièrement fabriqués. Le cours de l'action a chuté de 27 %. Pour une entreprise de médias, c'est un scandale. Pour un opérateur de réseau, l'« hallucination » équivalente dans un algorithme d'équilibrage de charge ne fait pas s'effondrer un cours de Bourse. Elle fait s'effondrer un réseau.

J'ai longuement écrit sur ce mode de défaillance dans notre analyse interactive de la perturbation de Virginie, où nous cartographions toute la cascade, du coup de foudre aux générateurs diesel.

La dispute qui a changé notre façon de construire

Il y a eu un moment — c'était fin août 2024, je crois, peut-être trois semaines après le début de notre analyse approfondie — où deux de mes ingénieurs se sont vraiment disputés au sujet de l'architecture. L'un voulait construire une approche purement neuronale : entraîner un modèle massif sur des télémétries historiques du réseau et le laisser apprendre la physique implicitement. L'autre soutenait que l'apprentissage implicite ne suffisait pas, qu'il fallait encoder la physique directement dans la fonction de perte du modèle.

Je les ai laissés se disputer pendant presque une heure. Non pas parce que je n'avais pas d'opinion, mais parce que la dispute elle-même cristallisait quelque chose autour duquel je tournais depuis des mois.

Le partisan du tout-neuronal a présenté les résultats d'un modèle standard d'apprentissage profond appliqué au flux de puissance optimal en courant alternatif — le problème d'optimisation central qui détermine comment l'énergie circule dans un réseau. Le modèle était rapide : 52,6 millisecondes pour l'inférence. Mais lorsque nous l'avons soumis à des tests de résistance face à des scénarios ressemblant à l'événement de Virginie — des chutes de charge soudaines et massives — il a produit des états qui violaient les équations de base du flux de puissance. Il « hallucinait » des états du réseau qui ne pouvaient physiquement pas exister. Une tension à un nœud qui exigerait que le courant circule dans une direction interdite par la topologie du réseau.

Le partisan de la physique d'abord a ensuite montré ce qui se passe lorsqu'on intègre les résidus des équations aux dérivées partielles directrices directement dans la fonction de perte du réseau neuronal. C'est ce qu'on appelle un réseau neuronal informé par la physique, ou PINN. Le modèle n'apprend pas seulement des schémas à partir des données ; il apprend des schémas contraints par les lois de l'électromagnétisme. Chaque prédiction qu'il fait doit être cohérente avec les lois de Kirchhoff et l'équation de balancement pour la stabilité de la fréquence.

Les résultats étaient frappants : 0,64 MW d'écart par rapport à la vérité terrain contre 0,73 MW pour le modèle non contraint, avec des temps d'inférence inférieurs à 50 millisecondes. Plus important encore, le modèle physiquement contraint maintenait la faisabilité dans des scénarios extrêmes. Il ne pouvait pas halluciner des états de réseau impossibles parce que la physique ne le lui permettait pas.

Quand la fonction de perte de votre IA inclut les lois de la physique, l'hallucination n'est pas seulement improbable — elle est mathématiquement pénalisée.

Cette dispute s'est terminée avec les deux ingénieurs dans le même camp. Et elle est devenue le fondement de ce que nous construisons aujourd'hui chez Veriprajna.

Comment concevoir une IA incapable de mentir sur la physique ?

L'architecture que nous avons développée a une structure que je décris parfois comme un « sandwich » — bien que cela en sous-estime la précision.

La couche supérieure est neuronale. Elle gère la perception : lire des données non structurées, extraire l'intention, reconnaître les entités. Si une demande d'interconnexion de grande charge arrive sous la forme d'un dossier PDF de 200 pages, cette couche l'analyse en paramètres structurés. Elle est douée pour cela. Les LLM sont réellement excellents dans les tâches de perception.

La couche intermédiaire est symbolique. C'est là que se déroule le raisonnement proprement dit, et il est entièrement déterministe. Les graphes de connaissances stockent les relations entre les sous-stations, les lignes de transmission, les contrats des centres de données et les normes de conformité NERC. Des règles métier codées en dur — ce que nous appelons Policy-as-Code — valident chaque paramètre extrait au regard de la physique du réseau et des exigences réglementaires. Aucun prompt engineering ne peut contourner cette couche. Si une montée en charge proposée viole la contrainte de contingence N-1 définie dans NERC TPL-001, le système la signale. Point final. Il n'y a pas de réglage de « température » qui la rende plus créative en matière de sécurité.

La couche inférieure est de nouveau neuronale. Elle prend la décision validée par la couche symbolique et la traduit en langage naturel ou en signaux de commande machine. C'est un communicateur, pas un penseur.

C'est ce que j'entends par une approche « boîte de verre ». Chaque décision possède une chaîne de citations. Au lieu d'une boîte noire qui dit « faites-moi confiance, je suis une IA », notre système dit : « J'ai signalé cela parce que la vitesse de montée en charge proposée dépasse le seuil défini à la Section 4.2 de l'accord d'interconnexion, que nous recoupons avec la télémétrie en temps réel des données PMU à la sous-station 7. »

Les gens objectent toujours à cela. « La couche symbolique, ce ne sont pas juste des règles ? Ne construisez-vous pas simplement un système expert avec des étapes en plus ? » Non. Les couches neuronales gèrent les parties dont les règles sont incapables — perception de données non structurées, reconnaissance de motifs sur des milliers de variables, détection d'anomalies en temps réel dans des flux de capteurs bruités. La couche symbolique gère les parties dont les réseaux neuronaux sont incapables — conformité garantie, faisabilité physique, auditabilité. Aucune ne suffit à elle seule. Ensemble, elles couvrent leurs angles morts respectifs.

De quoi le réseau a-t-il réellement besoin en ce moment ?

La réponse de NERC à l'incident de Virginie a été rapide et, à leur honneur, substantielle. Ils ont créé la Large Loads Task Force en août 2024 et publié une alerte de recommandation sectorielle de niveau 2 en septembre, exhortant les compagnies d'électricité à revoir en profondeur la manière dont elles modélisent, surveillent et communiquent avec les grandes charges.

Le problème central identifié par NERC est ce que j'appellerais l'invisibilité. Les opérateurs de réseau ne pouvaient pas voir à l'intérieur de ces 60 centres de données. Ils n'avaient aucune télémétrie en temps réel sur la logique de comptage des UPS, aucune visibilité sur le moment où les installations approchaient de leurs seuils de déconnexion. Les centres de données étaient des boîtes noires soutirant des gigawatts à un système qui les traitait comme des maisons surdimensionnées.

Un développement technique qui me donne un véritable espoir est le modèle PERC1 — Power Electronic Ceasing and Reconnecting. Les modèles de charge traditionnels ont été conçus pour des moteurs et des radiateurs, des appareils qui ralentissent progressivement pendant un défaut. Les centres de données ne ralentissent pas. Ils cessent entièrement leur consommation, en quelques millisecondes, par commutation électronique de puissance. PERC1 est le premier modèle spécifiquement conçu pour représenter ce comportement, et il est essentiel pour toute simulation cherchant à prédire ce qui se passe réellement lors d'événements comme celui du 10 juillet.

Mais les modèles seuls ne suffisent pas. Les centres de données doivent devenir des participants actifs à la stabilité du réseau, et non des consommateurs passifs qui se déconnectent quand la situation devient inconfortable.

C'est là qu'OpenADR 3.0 — la norme modernisée de réponse automatisée à la demande — devient essentielle. L'ancienne version utilisait une messagerie XML lourde avec des temps de réponse inférieurs à la minute. La version 3.0 utilise des API RESTful et du JSON avec une latence inférieure à la seconde. C'est la différence entre « veuillez réduire la charge à un moment donné dans les 60 prochaines secondes » et « déplacez 50 MW de traitement par lots vers votre installation de l'Oregon dès maintenant ».

Si les centres de données réduisaient ne serait-ce que 0,5 % de leur consommation électrique annuelle pendant les périodes de pointe, 100 GW de nouvelle capacité pourraient se raccorder au réseau sans construire une seule nouvelle centrale à gaz.

L'initiative DCFlex d'EPRI recrute déjà des centres de données dans des programmes volontaires de réponse à la demande fondés sur ce principe. Le calcul est convaincant, mais l'exécution requiert une IA capable de déplacer dynamiquement les charges de calcul entre régions géographiques tout en respectant à la fois les contraintes du réseau et les accords de niveau de service. Cette couche d'orchestration — assez rapide pour une réponse inférieure à la seconde, assez intelligente pour respecter la physique, assez auditable pour les régulateurs — est exactement ce que notre architecture fondée sur les PINN est conçue pour fournir.

Pour l'analyse technique complète de la façon dont nous intégrons les PINN à la pile neuro-symbolique, voir notre article de recherche sur la perturbation de Virginie.

Pourquoi le problème de la Virginie est le problème de tous

Je dois parler du coût humain, car la communauté technique a tendance à discuter de la stabilité du réseau de manière abstraite.

La capacité en centres de données de Dominion Energy devrait passer de 4 GW aujourd'hui à près de 40 GW de capacité sous contrat. La Virginie a accordé 2,7 milliards de dollars de subventions aux exploitants de centres de données au cours de la dernière décennie. L'État a besoin de 28,3 milliards de dollars de nouvelles infrastructures de transmission et de 40 % de capacité de transmission supplémentaire pour absorber la charge projetée — un rythme de déploiement que la Joint Legislative Audit and Review Commission de l'État elle-même qualifie de « très difficile à atteindre ».

Pendant ce temps, les prix régionaux de la capacité ont bondi de 833 %. Les factures d'électricité résidentielles devraient atteindre 380 dollars par mois d'ici 2045. Les centres de données de la Virginie du Nord ont consommé près de 2 milliards de gallons d'eau pour le refroidissement en 2023 — de quoi alimenter 50 000 personnes — et dépendent de près de 9 000 générateurs diesel de secours qui, comme l'a prouvé le 10 juillet, ne sont pas de simples secours mais une composante essentielle de la stratégie opérationnelle.

Le Department of Energy prévoit que, sans intervention significative, les pannes pourraient passer de 2,4 heures par an aujourd'hui à plus de 430 heures d'ici 2030.

Je ne suis pas anti-centres de données. Mon entreprise existe grâce à l'infrastructure de calcul que ces installations fournissent. Mais je suis profondément opposé à l'idée que nous puissions continuer à faire monter en puissance le calcul de l'IA tout en traitant le réseau comme une ressource infinie et l'IA elle-même comme une boîte de texte magique qui, d'une manière ou d'une autre, réglera le problème.

La prise de conscience de 2 heures du matin

Il y a eu une nuit — début septembre, je crois, en pleine analyse — où j'examinais les données de fréquence de PJM issues de l'événement du 10 juillet. Je fixais le pic de 60,047 Hz pour probablement la centième fois. Et quelque chose a fait tilt que je n'avais pas formulé auparavant.

Les systèmes UPS des centres de données ont fait exactement ce pour quoi ils avaient été conçus. Le réenclenchement automatique du réseau a fait exactement ce pour quoi il avait été conçu. Les opérateurs de PJM ont fait exactement ce pour quoi ils avaient été formés. Chaque acteur individuel s'est comporté correctement. La catastrophe a émergé de l'interaction — de l'écart entre des systèmes qui n'ont jamais été conçus pour communiquer entre eux.

C'est le même mode de défaillance que je vois partout dans les déploiements d'IA en entreprise. Le LLM fait ce pour quoi il est conçu — générer un texte plausible. Le système de récupération fait ce pour quoi il est conçu — trouver des documents pertinents. L'interface utilisateur fait ce pour quoi elle est conçue — présenter les résultats proprement. Et l'ensemble produit une réponse assurée et bien sourcée qui est physiquement impossible, juridiquement fausse ou financièrement ruineuse, parce qu'aucune couche n'est responsable de la vérité terrain.

C'est le problème que nous résolvons. Pas construire un meilleur chatbot. Pas envelopper un prompt plus intelligent autour de GPT. Construire des architectures où la vérité est structurelle — où la physique ne peut pas être supplantée par la probabilité, où la logique ne peut pas être hallucinée, où chaque sortie possède une chaîne de citations qu'un régulateur, un ingénieur ou un juge peut suivre de la conclusion jusqu'à la preuve.

Le blackout de Virginie n'a pas été causé par la défaillance d'un système. Il a été causé par des systèmes qui réussissaient indépendamment de manières qui ont produit une catastrophe collective. C'est le même mode de défaillance qui se cache dans chaque wrapper d'IA déployé aujourd'hui sur des infrastructures critiques.

Où tout cela nous mène

Je vais être direct sur ce qui, selon moi, s'annonce.

L'ère du wrapper de LLM est révolue pour tout ce qui compte. Pour générer des articles de blog et résumer des réunions, très bien — les wrappers persisteront et s'amélioreront. Mais pour les systèmes où les mauvaises réponses ont des conséquences physiques — réseaux électriques, conformité financière, dispositifs médicaux, génie structurel — l'industrie va se scinder. Une voie mène à des chaînes de prompts de plus en plus élaborées enveloppant des modèles probabilistes, avec des « guardrails » qui sont eux-mêmes probabilistes. L'autre mène à des architectures hybrides où la perception neuronale alimente un raisonnement déterministe, contraint par les lois réelles qui régissent le domaine.

Je sais sur quelle voie je bâtis. Le réseau de Virginie n'avait pas besoin d'une IA plus éloquente. Il avait besoin d'une IA qui comprenait, au niveau des équations différentielles, ce qui se passe quand 1 500 MW de charge disparaissent en 82 secondes. Il avait besoin d'une IA capable de voir la logique de comptage de ces systèmes UPS avançant vers la déconnexion et d'intervenir — non pas avec une suggestion, mais avec un signal de commande vérifié par la physique, envoyé en moins d'une milliseconde.

La fiabilité de l'alimentation est désormais une variable au niveau du conseil d'administration. La prochaine fois que le réseau vacillera en Virginie du Nord — et cela arrivera, car la charge croît dix fois plus vite que la capacité de transmission — la question ne sera pas de savoir si l'IA était impliquée. Ce sera de savoir si l'IA comprenait la physique, ou si elle se contentait de prédire le prochain token.