שישים מיליון בני אדם נשארו ללא חשמל בחמש שניות — ותעשיית ה-AI לא למדה דבר
הייתי בשיחה עם שותף פוטנציאלי כשהידיעה פרצה. 28 באפריל 2025. מישהו בפגישה שלח קישור בצ'אט: ספרד ופורטוגל שקעו בחשכה מוחלטת. שישים מיליון בני אדם, בלי חשמל. רמזורים כבויים. בתי חולים על גנרטורים לגיבוי. רכבות שנעצרו בתוך מנהרות.
המחשבה הראשונה שלי — ואני לא גאה בזה — הייתה הקלה. לא על כך שזה קרה, כמובן. אלא על כך שהדבר שהזהרנו מפניו במשך שנתיים הפך סוף־סוף לבלתי אפשרי להתעלמות. בנינו ב-Veriprajna מערכות AI דטרמיניסטיות דווקא משום שהאמנו שמודלים הסתברותיים — מהסוג שרוב חברות ה-AI מוכרות — ייכשלו בסופו של דבר בצורה קטסטרופלית בתשתיות קריטיות. והנה זה קרה: 15 ג'יגה-וואט של כושר ייצור נעלמו בחמש שניות. לא מתקפת סייבר. לא אסון טבע. מפל של כשלי בקרה שבינה מלאכותית טובה יותר יכלה למנוע.
המחשבה השנייה שלי הייתה כעס. כי תוך שעות, הנרטיב כבר התקבע: "האנרגיות המתחדשות גרמו להפסקת החשמל". זה היה בכל מקום. וזה היה שגוי.
מה באמת הרג את הרשת ב-28 באפריל?
הרשו לי לדייק לגבי מה שקרה, כי הפרטים חשובים יותר מהכותרות.
באותו בוקר, אנרגיות מתחדשות ייצרו 78% מהחשמל של ספרד. השמש והרוח עשו את עבודתן להפליא. אבל הנה מה שרוב האנשים לא מבינים לגבי רשת חשמל: ייצור החשמל הוא רק חצי מהבעיה. החצי השני הוא ניהול הספק ריאקטיבי — הכוח הבלתי נראה ששומר על יציבות המתח לאורך אלפי קילומטרים של קווי הולכה.
חשבו על זה כמו לחץ מים במערכת צנרת. אפשר שיהיו לכם המון מים (הספק אקטיבי), אבל אם הלחץ (המתח) יורד או מזנק במקומות הלא נכונים, צינורות מתפוצצים. ההספק הריאקטיבי הוא מה שמווסת את הלחץ הזה. התקנות הספרדיות — ליתר דיוק משהו שנקרא נוהל תפעול 7.4 — מחייבות כל תחנת כוח לספוג או להזרים הספק ריאקטיבי באופן דינמי כדי לשמור על יציבות המתחים. כל תחנה חייבת להיות מסוגלת לספק לפחות 30% מההספק המרבי שלה כתמיכה ריאקטיבית.
ב-28 באפריל, הרשת החלה לחוות תנודות מוזרות סביב הצהריים — רעידות תת-סינכרוניות בתדרים של 0.21 הרץ ו-0.63 הרץ. מפעילי מערכת ההולכה ניסו לדכא אותן על ידי שזירת קווים נוספים יחד והעברת קישורי HVDC למצב הספק קבוע. מהלכים סבירים. אבל הייתה להם תוצאת לוואי בלתי מכוונת: המתחים החלו לטפס.
ואז הכשל הקריטי: מתקני ייצור רבים לא ספגו הספק ריאקטיבי כנדרש. הם הגיבו לאט מדי, או בכלל לא. מתקן מרכזי אחד למעשה ביצע הזרמה של הספק ריאקטיבי לתוך רשת שכבר סבלה ממתח יתר — ההפך הגמור ממה שהפיזיקה דרשה. זה היה כמו לשפוך דלק על שרפה שאתה אמור לכבות.
בשעה 12:33 CEST, המפל הושלם. חמישה־עשר ג'יגה-וואט נעלמו בחמש שניות. הפסקת חשמל מוחלטת ברחבי חצי האי האיברי למשך עד עשר שעות. מספר בני אדם מתו.
הפער הבלתי נראה שאיש לא צפה בו
הנה הפרט מתוך חקירת האירוע שהדיר שינה מעיניי.
מפעילי מערכת ההולכה צפו במסכים שלהם לאורך כל הזמן. ברמת 400 הקילו-וולט — עמוד השדרה של המתח הגבוה — הכול נראה תקין. המתחים הראו 418 קילו-וולט, הרבה בתוך הגבולות. אבל בתחנות המשנה ברמת האיסוף, שם חוות סולאריות וחוות רוח מתחברות בפועל לרשת ב-220 קילו-וולט, המתחים כבר הגיעו ל-242 קילו-וולט — מעבר לספי ההגנה שמפעילים כיבויים אוטומטיים.
מחליפי ההסתעפות בשנאים שבין רמות המתח הללו לא הצליחו להסתגל מהר מספיק. כך שלוח הבקרה של מפעיל ההולכה הראה ירוק בזמן שהרשת בפועל כבר הייתה במשבר. התחלתי לקרוא לזה פער הנצפוּת: המרחק בין מה שהמפעילים יכולים לראות לבין מה שהרשת באמת עושה.
הפסקת החשמל האיברית לא הייתה כשל של ייצור. היא הייתה כשל של אינטליגנציה — הפער בין מה שחדר הבקרה יכול היה לראות לבין מה שהרשת באמת עשתה.
כשהצגתי את הניתוח הזה לצוות שלנו, אחת המהנדסות שלנו — פְּרִיָה — אמרה משהו שנשאר איתי: "זה כמו רופא שמנטר את הדופק שלך בזמן שלחץ הדם הורג אותך. הם צופים בסימן החיוני הלא נכון". זה בדיוק נכון. וזה בדיוק סוג הכשל שבינה מלאכותית טובה יותר אמורה למנוע.
למה ה-AI לא מנע את זה?
כאן אני מתמלא תסכול אמיתי כלפי התעשייה שלי עצמה.
חלה התפוצצות של חברות AI שמוכרות פתרונות "רשת חכמה". רובן הן מה שאנחנו מכנים אפליקציות עוטפות — ממשקים דקים הבנויים מעל מודלי שפה גדולים כמו GPT-4 או Claude. אתם מזינים נתוני רשת, המודל מעבד אותם, ואתם מקבלים בחזרה ניתוח. זה נשמע מתוחכם. זה בלתי מספק באופן מסוכן עבור הבעיה הזו.
משקיע אמר לי, בערך שנה לפני הפסקת החשמל, שאנחנו צריכים "פשוט להשתמש ב-GPT עם שכבה מכווננת" לעבודת ניטור הרשת שלנו. ניסיתי להסביר למה זה לא יעבוד, והוא הסתכל עליי כאילו אני מקשה. "כולם משתמשים ב-LLMs", הוא אמר. "למה אתה מסבך את זה יותר מדי?"
הנה למה. למודלי AI הסתברותיים יש שלוש חולשות קטלניות כשהם מיושמים בתשתיות קריטיות:
הם הוזים מצבים פיזיים. מודל שפה גדול ממטב את עצמו לפלט שנשמע הסביר ביותר. במהלך משבר ברשת, הוא עלול לדווח ש"רמות המתח מתייצבות" כי זה מה שקורה בדרך כלל באירועי תנודות בנתוני האימון שלו. אין לו שום מנגנון לאמת זאת מול הפיזיקה בפועל. "סביר" ו"נכון" מטופלים אצלו כאותו דבר.
הם איטיים מדי. AI מבוסס־עטיפה מנתב נתונים דרך ממשקי API בענן. השהיית הלוך-ושוב: 500 מילישניות ועד כמה שניות. המפל האיברי הושלם בחמש שניות. עד שמודל מבוסס-ענן היה מסיים את ההסקה שלו, הפסקת החשמל כבר הייתה בלתי הפיכה. המערכות ילידות-הקצה שאנו בונים ב-Veriprajna משיגות הסקה בפחות מ-0.7 מילישניות — מהר מספיק כדי להתערב לפני שמפל מסתיים.
לא ניתן לאמת אותם. אינך יכול להוכיח פורמלית שמודל שפה גדול יציית לחוק המתחים של קירכהוף או למשוואת ההינף. אינך יכול לבקר את ההיגיון שלו. אינך יכול להבטיח שהוא לא יציע להזרים הספק ריאקטיבי במהלך אירוע מתח יתר — בדיוק השגיאה שמפעיל אנושי עשה ב-28 באפריל. לניתוח טכני מעמיק יותר של מצבי הכשל הללו, כתבתי על כך בהרחבה כאן: מאמר המחקר שלנו על חסינות רשת דטרמיניסטית.
בתשתיות קריטיות, ההבדל בין "כנראה נכון" לבין "נכון בהוכחה" נמדד בחיי אדם.
מה בעצם המשמעות של "חסינות דטרמיניסטית"?
אחרי הפסקת החשמל, הצוות שלי בילה שבועות בפירוק כל דוח שפורסם — מ-ENTSO-E, מ-Red Eléctrica, מחוקרים עצמאיים. מיפינו את שרשרת הכשל כולה. וחזרנו שוב ושוב לשאלה אחת: איזו ארכיטקטורת AI הייתה הופכת את המפל הזה לאירוע בלתי אפשרי מבחינה פיזית?
לא בלתי סביר. לא בלתי מסתבר. בלתי אפשרי.
זו הכוונה שלנו כשאנחנו אומרים חסינות דטרמיניסטית. ובנייתה מחייבת לזנוח את הרעיון שסוג אחד של AI יכול לעשות הכול.
לארכיטקטורה שפיתחנו יש כמה שכבות, שכל אחת מהן פותרת חלק אחר של הבעיה. לא אכנס כאן לעומק המתמטיקה — תוכלו לחקור את הגרסה האינטראקטיבית של נייר העמדה שלנו למסגרת הטכנית המלאה — אבל רעיונות הליבה אינטואיטיביים באופן מפתיע.
ללמד רשתות נוירונים לציית לפיזיקה
רשתות נוירונים סטנדרטיות לומדות דפוסים מתוך נתונים. הראו להן מספיק דוגמאות של התנהגות רשת, והן ילמדו לחזות מה בא אחר כך. אבל אין להן שום מושג למה דברים קורים. הן לא יודעות שמתח והספק ריאקטיבי קשורים זה לזה על ידי חוקים אלקטרומגנטיים יסודיים. הן פשוט יודעות שכשמופיע דפוס קלט A, בדרך כלל נובע ממנו דפוס פלט B.
רשתות נוירונים מונחות-פיזיקה — PINNs — הן שונות. אנחנו מטמיעים את המשוואות הדיפרנציאליות עצמן השולטות בדינמיקה של מערכות הספק ישירות בתוך תהליך האימון. רשת הנוירונים לא רק לומדת מנתונים היסטוריים; היא לומדת בכפוף לאילוץ שהפלטים שלה חייבים לקיים את חוקי הפיזיקה.
הנה מה שזה אומר בפועל. במהלך האירוע האיברי, תנודות תת-סינכרוניות ב-0.63 הרץ היו סימן אזהרה שבקרים קונבנציונליים פירשו כרעש. בקר מבוסס-PINN היה מזהה את התנודות הללו כהפרה דינמית של משוואות היציבות ומספק דיכוי אקטיבי — הסימולציות שלנו מראות זמני תגובה מהירים עד פי 87 ממתודות אופטימיזציה קונבנציונליות. לא משום שרשת הנוירונים מהירה יותר במתמטיקה, אלא משום שהיא כבר יודעת את המתמטיקה. הפיזיקה אפויה בתוך הארכיטקטורה שלה.
אני זוכר את אחר הצהריים שבו הפעלנו את זה לראשונה בסימולציה. נאבקנו במשך שבועות ביציבות האימון — אילוצי הפיזיקה נלחמו כל הזמן בלמידה מונחית-הנתונים. ראש צוות ה-ML שלנו, שהגיע מרקע של למידה עמוקה טהורה, היה סקפטי לגבי כך שהאילוצים יעזרו ולא יזיקו. ואז הרצנו את התרחיש האיברי דרך המודל המאומן. ה-PINN זיהה את דפוס התנודה ב-12:00 — שלושים ושלוש דקות לפני המפל בפועל. הוא פשוט בהה במסך ואמר: "אוקיי. עכשיו אני מבין".
הסנדוויץ' שחוסם החלטות טיפשיות
הסקה מונחית-פיזיקה היא השכבה הראשונה. השנייה היא מה שאנחנו מכנים הסנדוויץ' הנוירו-סימבולי — וזה החלק שהיה מונע ישירות את הכשל החמור ביותר של 28 באפריל.
זוכרים את תחנת הכוח שביצעה הזרמה של הספק ריאקטיבי במהלך אירוע מתח יתר? זה קרה משום שמערכת הבקרה של התחנה — בין אם אוטומטית ובין אם מונחית-אדם — הוציאה פקודה שהפרה את נוהל תפעול 7.4. הפקודה הייתה אפשרית לביצוע מבחינה פיזית, ולכן היא בוצעה. לרשת לא הייתה מערכת חיסון שתדחה אותה.
בארכיטקטורה שלנו, שכבת היגיון סימבולי יושבת סביב רשת הנוירונים כמו מעקה בטיחות חוקתי. אנחנו מקודדים את תקנת P.O. 7.4 כולה — וכל קוד רשת רלוונטי אחר — לשפה פורמלית ייעודית לתחום. רשת הנוירונים מציעה פעולות. השכבה הסימבולית בודקת כל פעולה מוצעת מול הכללים הנוקשים לפני שהיא מגיעה לציוד הפיזי.
אם המתח גבוה מהסף המרבי ועולה, ושכבת הנוירונים מציעה להזרים הספק ריאקטיבי — מכל סיבה שהיא, ולא משנה עד כמה החיזוי שלה בטוח — השכבה הסימבולית חוסמת אותה. לא באזהרה. לא בציון הסתברות. היא פשוט אינה יכולה לעבור פיזית. המערכת מתייחסת לציות רגולטורי כפי שגשר מתייחס לכוח הכבידה: לא כהנחיה, אלא כאילוץ שלא ניתן להפר.
בקר רשת נוירו-סימבולי לא מזהיר אתכם מפני החלטות גרועות. הוא הופך החלטות גרועות לבלתי אפשריות לביצוע מבחינה פיזית.
זו הכוונה שלי כשאני מדבר על היחלצות מ"כשל החופש האינסופי" — ההנחה ש-AI גמיש יותר הוא תמיד AI טוב יותר. בתשתיות קריטיות, אתם רוצים פחות חופש, לא יותר. אתם רוצים AI שהוא אדפטיבי בצורה מבריקה בתוך גבולות נוקשים, ונוקשה לחלוטין בגבולות הללו.
למה האינטליגנציה צריכה לחיות בקצה?
יש שאלה מעשית שעולה בכל פעם שאני מציג את העבודה הזו: היכן מתרחש החישוב?
פער הנצפוּת שגזר את דינה של הרשת האיברית התקיים משום שהאינטליגנציה הייתה מרוכזת. חדר הבקרה של מפעיל ההולכה ניטר את עמוד השדרה של 400 הקילו-וולט. תחנות המשנה ברמת האיסוף של 220 הקילו-וולט — שם המשבר האמיתי התפתח — היו למעשה עיוורות. נתונים מתחנות המשנה הללו נאספו, מוצעו ודווחו במחזורים איטיים מכדי לתפוס מפל בן חמש שניות.
בקרי הרשת הנוירוניים שלנו הם התקני מחשוב קצה היושבים על השנאי בצד האיסוף עצמו. הם מבצעים מדידות סינכרו-גל ברזולוציה גבוהה, מריצים לולאות אופטימיזציה רציפות כל 100 מילישניות, ומבצעים פקודות מהפך כדי לשמור על יציבות מתח מקומית בטווח של ±0.02 ליחידה. הם לא מחכים שחדר הבקרה יבחין בבעיה. הם לא שולחים נתונים ל-API בענן וממתינים לתשובה. הם פועלים מקומית, במהירות שהפיזיקה דורשת.
היה רגע במהלך בדיקות חומרת הקצה שלנו — מאוחר ביום חמישי, מהסוג של מפגש שמתחיל ב-14:00 ומסתיים בחצות — שבו הבנו שהאב-טיפוס שלנו מזהה חריגות מתח מדומות מהר יותר מכפי שמערכת הניטור מסוגלת אפילו להציג אותן. החריגה תוקנה עוד לפני שלוח המחוונים התעדכן. אחד ממהנדסי החומרה שלנו צחק ואמר: "בדיוק הפכנו את חדר הבקרה למיותר". הוא התלוצץ. בעיקר.
מה קורה כשהרשת נכבית בכל זאת?
גם עם מניעה, צריך התאוששות. שיקום מלא של הרשת האיברית ארך עד 24 שעות — תהליך ידני וכואב של הפעלה מחדש של יחידות ייצור, חיבור זהיר של איי עומס, וסנכרון תדר בין אזורים.
אנחנו משתמשים בלמידת חיזוק רב-סוכנית לשיקום רשת אוטומטי. חשבו על זה כצוות של סוכני AI, שכל אחד מנהל אי חשמל מקומי, המתואמים על ידי סוכנים ברמה גבוהה יותר המפקחים על הסנכרון. במהלך ההתאוששות של 2025, מרוקו סיפקה 900 מגה-וואט וצרפת תרמה 2 ג'יגה-וואט של הספק תמיכה. אבל ניתוב ההספק הזה למקומות הנכונים, ברצף הנכון, בלי לגרום לקריסות משניות, דרש ממפעילים אנושיים לקבל מאות החלטות עוקבות תחת לחץ קיצוני.
הסימולציות שלנו מרמזות שסוכנים אוטונומיים הפועלים בתוך אותה מסגרת דטרמיניסטית — מונחית-פיזיקה, מוגבלת סימבולית — יכולים לקצר שיקום בן 24 שעות לכארבע שעות. לא בזכות היותם חכמים יותר ממפעילים אנושיים, אלא בזכות היותם מהירים יותר, מתואמים יותר, ובלתי מסוגלים לשגיאות מונעות-פאניקה שמצטברות במהלך משבר.
איך זה שורד ביקורת רגולטורית?
אנשים שואלים אותי את זה כל הזמן, וזו שאלה הוגנת. חוק ה-AI האירופי מסווג בקרת רשת כתשתית קריטית, מה שאומר שכל מערכת AI הפועלת במרחב הזה ניצבת בפני דרישות מחמירות של שקיפות והסברתיות. כאן מודלי שפה גדולים מבוססי-עטיפה ניצבים בפני הבעיה היסודית ביותר שלהם: הם פשוט לא מסוגלים להסביר למה הם עשו חיזוי מסוים. המתמטיקה לא עובדת ככה.
הארכיטקטורה הנוירו-סימבולית שלנו מייצרת מסלול ביקורת מלא עבור כל התערבות. לא רציונליזציה בדיעבד — עקבות החלטה ממשיים:
שכבת הנוירונים זיהתה תנודה תת-סינכרונית של 0.63 הרץ. השכבה הסימבולית זיהתה הפרה של נוהל P.O. 7.4: חריגה מגבול המתח הדינמי של 435 קילו-וולט. השכבה הסימבולית אכפה ספיגת הספק ריאקטיבי חובה בשיעור 30% מהקיבולת המרבית. המתח התייצב על 418 קילו-וולט. ניתוק מגן בצד האיסוף נמנע.
כל חוליה בשרשרת ניתנת לבדיקה, לביקורת ולהגנה משפטית. זה לא בגדר נחמד-שיהיה. אחרי הפסקת החשמל האיברית, רגולטורים ברחבי אירופה משכתבים את קודי הרשת. המערכות שישרדו את העשור הבא של הידוק רגולטורי יהיו אלה שיוכלו להוכיח — לא רק לטעון — שה-AI שלהן מציית לכללים.
השאלה שאיש לא רוצה לשאול
הנה מה שהכי מטריד אותי בתגובת התעשייה להפסקת החשמל האיברית.
תוך שבועות, השיחה עברה הלאה. חברות AI חזרו למכור מוצרים עוטפים. מפעילי רשתות טלאו את הפגיעויות הברורות ביותר שלהם. הוויכוח בין מתחדשות לדלקי מאובנים בלע את כל החמצן. והבעיה הארכיטקטונית היסודית — שאנחנו מנהלים מערכות אנרגיה של המאה ה-21 עם פרדיגמות בקרה שלא מסוגלות לראות, לחשוב או לפעול מהר מספיק — נותרה ללא מענה.
שישים מיליון בני אדם נשארו ללא חשמל. מספר בני אדם מתו. הנזק הכלכלי הסתכם במיליארדים. והסיבה השורשית לא הייתה אירוע חריג. היא הייתה תוצאה צפויה של חולשות ארכיטקטוניות ידועות. התנודות התת-סינכרוניות נצפו בעבר. פערי הציות בהספק ריאקטיבי תועדו. פער הנצפוּת בין ניטור ההולכה לניטור ברמת האיסוף היה מובן היטב בספרות האקדמית.
הפסקת החשמל האיברית לא הייתה ברבור שחור. היא הייתה קרנף אפור — איום בעל הסתברות גבוהה והשפעה גבוהה שכולם ראו מגיע ואיש לא עצר.
ידענו. התעשייה ידעה. ובכל זאת בנינו מערכות שלא היו מסוגלות להתמודד עם זה.
זו לא בעיה של אנרגיות מתחדשות
אני רוצה להיות ברור לחלוטין בעניין הזה, כי המידע המוטעה עדיין מסתובב.
אנרגיה מתחדשת לא גרמה להפסקת החשמל האיברית. חדירת המתחדשות בשיעור 78% ב-28 באפריל הפחיתה את האינרציה של המערכת, מה שהפך את הרשת לרגישה יותר להפרעות — זה נכון. אבל רגישות אינה סיבתיות. הסיבה הייתה הכישלון של מתקני הייצור לספק את תמיכת ההספק הריאקטיבי שהם היו מחויבים לספק על פי חוק. הסיבה הייתה מערכות בקרה איטיות מדי וטיפשות מדי מכדי לנהל דינמיקת מתח בזמן אמת. הסיבה הייתה ארכיטקטורת נצפוּת שהותירה את המפעילים עיוורים למשבר שהתפתח ברמת האיסוף.
להאשים את האנרגיות המתחדשות בהפסקת החשמל הזו זה כמו להאשים חומרי בנייה קלים בקריסה ברעידת אדמה כשהבעיה האמיתית הייתה שאיש לא הקפיד על תקן הבנייה. החומרים מחייבים הנדסה שונה. ההנדסה לא נעשתה. זה כשל אנושי ומוסדי, לא כשל של הפיזיקה.
וזה בדיוק סוג הכשל ש-AI דטרמיניסטי נועד לחסל — לא על ידי החלפת שיקול הדעת האנושי, אלא על ידי הבטחה שכאשר שיקול הדעת האנושי נכשל, או כאשר בקרים מדור קודם נכשלים, או כאשר מפעיל תחנת כוח מקבל את ההחלטה השגויה ברגע השגוי, המערכת עצמה אוכפת את החוקים ששומרים על האור דולק.
האורות יישארו דולקים כי הנדסנו אותם כך
הקמתי את Veriprajna כי האמנתי שמערכות ה-AI החשובות ביותר בעולם לא יהיו צ'טבוטים או מחוללי תמונות או מנועי המלצות. הן יהיו המערכות הבלתי נראות המנהלות את התשתית שהציוויליזציה תלויה בה — רשתות חשמל, טיהור מים, רשתות תחבורה, מערכות סליקה פיננסיות. מקומות שבהם "כנראה נכון" הוא גזר דין מוות.
הפסקת החשמל האיברית הוכיחה שהאמונה הזו נכונה באופן הגרוע ביותר האפשרי. חמישה־עשר ג'יגה-וואט בחמש שניות. חצי אי שלם בחשכה. ותגובת תעשיית ה-AI הייתה להמשיך למכור עטיפות הסתברותיות לבעיות שדורשות ודאות דטרמיניסטית.
רשת החשמל של העתיד לא תישאר יציבה כי אנחנו מקווים שכך יהיה. היא לא תישאר יציבה כי מודל שפה גדול חושב שכנראה כך צריך להיות. היא תישאר יציבה כי הטמענו את חוקי הפיזיקה בתוך ארכיטקטורת הנוירונים, קידדנו את התקנות להיגיון סימבולי, דחפנו את האינטליגנציה אל הקצה שבו המילישניות קובעות, ובנינו מערכת שהיא בלתי מסוגלת פיזית לקבל את ההחלטות שהפילו את הרשת האיברית. זו לא אופטימיות. זו הנדסה.
