6,000万人が5秒で電気を失った——それでもAI業界は何も学ばなかった
ニュースが飛び込んできたとき、私はパートナー候補との通話中だった。2025年4月28日。会議の参加者の一人がチャットにリンクを貼った。スペインとポルトガルが完全に停電した、と。6,000万人が電気を失った。信号機は消えた。病院は非常用発電機に切り替わった。列車はトンネルの中で止まった。
最初に感じたのは——誇れることではないが——安堵だった。もちろん、それが起きたこと自体にではない。私たちが2年間警告し続けてきたことが、ついに無視できないものになったからだ。Veriprajnaで決定論的なAIシステムを構築してきたのは、確率的モデル——大半のAI企業が売っているあの種のもの——が、いずれ重要インフラで壊滅的に失敗すると信じていたからにほかならない。そして、それが現実のものとなった。5秒で15ギガワットの発電容量が消失。サイバー攻撃ではない。自然災害でもない。より優れたAIであれば防げたはずの、制御失敗の連鎖だった。
次に感じたのは怒りだった。数時間のうちに、言説はすでに固まっていたからだ。「再生可能エネルギーが停電を引き起こした」。その言説はどこにでもあった。そして、それは間違っていた。
4月28日、電力網を本当に止めたのは何だったのか？
何が起きたのかを正確に述べておきたい。見出しよりも細部のほうが重要だからだ。
あの朝、再生可能エネルギーはスペインの電力の78%を発電していた。太陽光と風力は見事に役割を果たしていた。しかし、電力網について大半の人が理解していないのはここだ。電気を作ることは問題の半分にすぎない。残りの半分は、無効電力——数千キロメートルに及ぶ送電線全体で電圧を安定に保つ、目に見えない力——を管理することだ。
配管系の水圧のようなものだと考えてほしい。水（有効電力）が十分にあっても、圧力（電圧）が間違った場所で下がったり跳ね上がったりすれば、配管は破裂する。無効電力とは、その圧力を調整するものだ。スペインの規制——具体的には運用手順7.4（Operating Procedure 7.4）と呼ばれるもの——は、電圧を安定に保つために、すべての発電所が無効電力を動的に吸収または注入することを義務づけている。各発電所は、最大出力の少なくとも30%を無効電力による支援として供給できなければならない。
4月28日、正午ごろから電力網は奇妙な振動を示し始めた——0.21 Hzと0.63 Hzの次同期振動だ。送電系統運用者は、より多くの送電線をメッシュ状に接続し、HVDC連系を定電力モードに切り替えることで、これを減衰させようとした。妥当な判断だ。しかし、意図しない結果を招いた。電圧が上昇し始めたのだ。
そして、決定的な失敗が訪れた。複数の発電設備が、義務づけられていた無効電力の吸収を行わなかったのだ。反応が遅すぎたか、まったく反応しなかった。ある大規模設備にいたっては、実際に注入した——すでに過電圧状態にあった電力網に、無効電力を。物理法則が要求するものとは正反対だった。消火すべき火にガソリンを注ぐようなものだった。
12時33分（CEST）、連鎖は完了した。5秒で15ギガワットが消えた。イベリア半島全域が最大10時間にわたって全面停電した。複数の人が亡くなった。
誰も見ていなかった、見えないギャップ
事故後の調査報告のなかに、私を眠れなくさせた細部がある。
送電系統運用者は、その間ずっと画面を見つめていた。400キロボルトの階層——高電圧の基幹系統——では、すべてが正常に見えた。電圧は418 kVを示し、制限値に十分収まっていた。しかし、太陽光・風力発電所が実際に220 kVで系統に接続する集電レベルの変電所では、電圧はすでに242 kVに達していた——自動遮断を作動させる保護しきい値を超えていたのだ。
これらの電圧階層の間にある変圧器のタップ切換器は、十分な速さで調整できなかった。そのため、実際の電力網がすでに危機に陥っているのに、TSOの監視ダッシュボードは緑色を示していた。私はこれを可観測性ギャップと呼ぶようになった。運用者が見えているものと、電力網が実際に行っていることとの間の距離だ。
イベリア半島の大停電は、発電の失敗ではなかった。それはインテリジェンスの失敗だった——制御室が見えていたものと、電力網が実際に行っていたこととの間のギャップである。
この分析をチームに示したとき、エンジニアの一人——プリヤ——が、私の心に残る言葉を口にした。「血圧があなたを殺そうとしているのに、医者は心拍数を監視しているようなものです。見ているバイタルサインが違う」。まったくその通りだ。そして、これこそ、より優れたAIが防ぐべき種類の失敗である。
なぜAIはこれを防げなかったのか？
ここが、私が自分の業界に本気で苛立つところだ。
「スマートグリッド」ソリューションを売るAI企業は爆発的に増えた。その大半は、私たちがラッパーアプリケーションと呼ぶものだ——GPT-4やClaudeのような大規模言語モデルの上に構築された、薄いインターフェースにすぎない。電力網のデータを入力すると、モデルが処理し、分析が返ってくる。洗練されているように聞こえる。だが、この問題に対しては危険なほど不十分だ。
停電の1年ほど前、ある投資家から、電力網監視の仕事には「ファインチューニングした層を乗せたGPTを使えばいい」と言われたことがある。なぜそれではうまくいかないのかを説明しようとしたが、彼は私が面倒な人間であるかのような目で見た。「みんなLLMを使っている」と彼は言った。「なぜそんなに複雑にするんだ？」
理由はこうだ。確率的なAIモデルには、重要インフラに適用したときに致命的な弱点が3つある。
物理状態をハルシネーションする。LLMは、最ももっともらしく聞こえる出力を目指して最適化される。電力網の危機のさなかに、「電圧レベルは安定しつつある」と報告するかもしれない。学習データのなかでは、振動事象の際にたいていそうなるからだ。それを実際の物理に照らして検証する仕組みは存在しない。「ありそうなこと」と「正しいこと」が同じものとして扱われる。
遅すぎる。ラッパー型のAIは、データをクラウドAPI経由で送る。往復のレイテンシは500ミリ秒から数秒。イベリアの連鎖は5秒で完了した。クラウド上のモデルが推論を終えるころには、停電はすでに不可逆になっているだろう。Veriprajnaで構築しているエッジネイティブなシステムは、0.7ミリ秒未満で推論を完了する——連鎖が完了する前に介入できる速さだ。
検証できない。LLMがキルヒホッフの電圧則や動揺方程式に従うことを、形式的に証明することはできない。その推論を監査することもできない。過電圧事象の最中に無効電力の注入を提案しないと保証することもできない——それこそ、4月28日に人間の運用者が犯したまさにその誤りだ。これらの故障モードのより深い技術的分析については、決定論的なグリッド免疫に関する私たちの研究論文で詳しく論じている。
重要インフラにおいて、「おそらく正しい」と「証明可能に正しい」の差は、人命によって測られる。
「決定論的免疫」とは、実際には何を意味するのか？
停電の後、私のチームは公表されたあらゆる報告書——ENTSO-E、Red Eléctrica、独立研究者によるもの——を何週間もかけて解剖した。私たちは失敗の連鎖の全体を地図化した。そして、繰り返し一つの問いに立ち返った。どのようなAIアーキテクチャであれば、この連鎖を物理的に不可能にできたのか？
起こりにくい、ではない。ありそうもない、でもない。不可能だ。
これが、私たちの言う決定論的免疫の意味だ。そして、それを構築するには、一種類のAIがすべてをこなせるという発想を捨てる必要がある。
私たちが開発したアーキテクチャは複数の層から成り、それぞれが問題の異なる部分を解いている。ここでは数学に深入りはしない——完全な技術フレームワークについては、私たちのホワイトペーパーのインタラクティブ版を参照してほしい——だが、中心となる考え方は驚くほど直感的だ。
ニューラルネットワークに物理法則を守らせる
標準的なニューラルネットワークは、データからパターンを学ぶ。電力網の挙動の例を十分に見せれば、次に何が起きるかを予測できるようになる。しかし、それらは物事がなぜ起きるのかという概念を持たない。電圧と無効電力が基本的な電磁気の法則によって結びついていることを知らない。入力パターンAが現れると、たいてい出力パターンBが続く——それを知っているだけだ。
物理情報ニューラルネットワーク——PINN——は違う。私たちは、電力システムのダイナミクスを支配する実際の微分方程式を、学習プロセスに直接埋め込む。ニューラルネットワークは、単に過去のデータから学ぶのではない。それは出力が物理法則を満たさなければならないという制約のもとで学ぶのだ。
実際にはこれがどういう意味を持つのか。イベリアの事象では、0.63 Hzの次同期振動は警告のサインだったが、従来の制御装置はそれをノイズとして解釈した。PINNベースの制御装置であれば、これらの振動を安定性方程式に対する動的な違反として認識し、能動的な制振を行っていたはずだ——私たちのシミュレーションでは、応答時間は最大で87倍高速——従来の最適化手法と比べて、だ。ニューラルネットワークが数学の計算を速くこなすからではない。すでにその数学を知っているからだ。物理がそのアーキテクチャに焼き込まれているのだ。
シミュレーションで初めてこれが動いた日の午後を、今でも覚えている。私たちは何週間も学習の安定性に苦しんでいた——物理制約がデータ駆動の学習とぶつかり続けたのだ。純粋な深層学習の出身である私たちの機械学習リードは、制約が助けになるどころか害になるのではないかと懐疑的だった。そして、学習済みモデルにイベリアのシナリオを流し込んだ。PINNは12時00分に振動パターンを捉えた——実際の連鎖の33分前だ。彼は画面をじっと見つめて、こう言った。「わかった。今、理解できた」
愚かな判断を遮断するサンドイッチ
物理情報に基づく推論は第一の層だ。第二の層は、私たちがニューロシンボリック・サンドイッチと呼ぶものだ——そして、これこそが4月28日の最も度を越した失敗を直接的に防いだはずの構成要素である。
過電圧事象のさなかに無効電力を注入したあの発電所を覚えているだろうか。それが起きたのは、その発電所の制御システムが——自動であれ人間の指示によるものであれ——運用手順7.4に違反する指令を発したからだ。その指令は物理的に実行可能だった。だから実行された。電力網には、それを拒絶する免疫系がなかった。
私たちのアーキテクチャでは、シンボリック論理層が、憲法のようなガードレールとしてニューラルネットワークを取り囲む。私たちはP.O. 7.4規制の全体——および適用されるその他のあらゆるグリッドコード——を、形式的なドメイン固有言語へと符号化する。ニューラルネットワークは行動を提案する。シンボリック層は、提案されたすべての行動を、それが物理機器に届く前に、厳格なルールに照らして検査する。
電圧が最大しきい値を超えて上昇しているときに、ニューラル層が無効電力の注入を提案したとしよう——どんな理由であれ、その予測がどれほど確信に満ちていようと——シンボリック層はそれを遮断する。警告によってではない。確率スコアによってでもない。物理的に通過できないのだ。このシステムは、規制順守を、橋が重力を扱うのと同じように扱う。すなわち、指針としてではなく、違反しえない制約として扱う。
ニューロシンボリックなグリッド制御装置は、悪い判断について警告するのではない。悪い判断を、物理的に実行不可能にするのだ。
「無限の自由という誤謬」——より柔軟なAIは常により良いAIであるという思い込み——を乗り越えるべきだと私が言うとき、意味しているのはこれだ。重要インフラにおいて、必要なのはより少ない自由であって、より多くの自由ではない。必要なのは、厳格な境界の内側では見事に適応的でありながら、その境界においては絶対的に硬直したAIだ。
なぜインテリジェンスはエッジに置かれなければならないのか？
この仕事を発表するたびに、必ず出てくる実務的な問いがある。計算はどこで行われるのか、というものだ。
イベリアの電力網を破滅させた可観測性ギャップが存在したのは、インテリジェンスが中央に集約されていたからだ。TSOの制御室は400 kVの基幹系統を監視していた。実際に危機が進行していた220 kVの集電レベルの変電所は、事実上、計器なしで飛んでいるようなものだった。それらの変電所のデータは集約され、平均化され、5秒の連鎖を捉えるにはあまりに遅い周期で報告されていた。
私たちのニューラル・グリッド・コントローラーは、集電側の変圧器そのものに設置されるエッジコンピューティング機器だ。高分解能の同期波形計測を行い、100ミリ秒ごとに連続的な最適化ループを回し、局所的な電圧安定性を±0.02パーユニット以内に保つためにインバーター指令を実行する。制御室が問題に気づくのを待ったりはしない。クラウドAPIにデータを送って応答を待つこともしない。物理が要求する速度で、その場で動作する。
エッジ用ハードウェアの試験中に、こんな瞬間があった——木曜の夜遅く、午後2時に始まって深夜0時に終わるたぐいのセッションだ——私たちの試作機が、シミュレートされた電圧異常を、監視システムがそれを表示することすらできないうちに検出していることに気づいたのだ。異常は、ダッシュボードが更新される前に是正されていた。ハードウェアエンジニアの一人が笑ってこう言った。「僕らは今、制御室を時代遅れにしたね」。冗談だった。おおむね。
それでも電力網が落ちたときには、何が起きるのか？
予防があっても、復旧は必要だ。イベリアの電力網は完全復旧までに最大24時間を要した——発電ユニットを再起動し、負荷の島を慎重に再接続し、地域間で周波数を同期させるという、痛々しいほど手作業に頼るプロセスだった。
私たちは、電力網の自動復旧にマルチエージェント強化学習を用いている。それぞれが局所的な電力の島を管理するAIエージェントのチームがあり、同期を統括する上位のエージェントがそれらを協調させる——そう考えてほしい。2025年の復旧では、モロッコが900 MW、フランスが2 GWの支援電力を提供した。しかし、二次的な崩壊を引き起こすことなく、その電力を正しい場所へ、正しい順序で送り届けるには、極度のプレッシャーの下で人間の運用者が何百もの逐次的な判断を下す必要があった。
私たちのシミュレーションが示唆するのは、同じ決定論的フレームワークの内側で動作する自律エージェント——物理情報に基づき、シンボリックに制約された——であれば、24時間の復旧をおよそ4時間まで短縮できるということだ。人間の運用者より賢いからではない。より速く、より協調が取れており、危機のさなかに積み重なるパニック由来の誤りを犯しえないからだ。
これは規制当局の精査に耐えられるのか？
これは絶えず訊かれることであり、もっともな問いだ。EU AI Actは電力網の制御を重要インフラに分類しており、つまりこの領域で稼働するAIシステムは、厳格な透明性と説明可能性の要件に直面する。ここでこそ、ラッパー型のLLMは最も根本的な問題にぶつかる。特定の予測をなぜ行ったのかを、文字どおり説明できないのだ。数学がそういう仕組みになっていない。
私たちのニューロシンボリック・アーキテクチャは、あらゆる介入について完全な監査証跡を生成する。事後的な合理化ではない——実際の意思決定トレースだ。
ニューラル層が0.63 Hzの次同期振動を検出。シンボリック層がP.O. 7.4違反を特定：動的電圧限界435 kVを超過。シンボリック層が最大容量の30%での無効電力吸収を強制的に実施。電圧は418 kVで安定。集電側の保護トリップを回避。
この連鎖のあらゆる環は、検査可能で、監査可能で、法的に弁明可能だ。これは「あれば望ましい」というたぐいのものではない。イベリアの大停電の後、欧州各国の規制当局はグリッドコードを書き換えつつある。今後10年の規制強化を生き延びるシステムは、自社のAIがルールに従うことを——主張するだけでなく——証明できるシステムになるだろう。
誰も問いたがらない問い
イベリアの大停電に対する業界の反応で、私が最も気になっているのはこの点だ。
数週間のうちに、議論は次の話題へ移っていった。AI企業はラッパー製品を売る仕事に戻った。系統運用者は最も明白な脆弱性にパッチを当てた。再生可能エネルギー対化石燃料の論争が酸素をすべて消費した。そして、根本的なアーキテクチャの問題——21世紀のエネルギーシステムを、十分な速さで見ることも、考えることも、動くこともできない制御パラダイムで運用しているという問題——は、手つかずのまま残された。
6,000万人が電力を失った。複数の人が亡くなった。経済的損害は数十億規模に達した。そして根本原因は、突発的な異常事象ではなかった。それは、予測可能な帰結だった——既知のアーキテクチャ上の弱点がもたらしたものだ。次同期振動は以前にも観測されていた。無効電力の順守ギャップは文書化されていた。送電レベルと集電レベルの監視の間にある可観測性ギャップは、学術文献で十分に理解されていた。
イベリアの大停電はブラックスワンではなかった。それはグレーリノ——誰もが来ることを見ていながら、誰も止めなかった、発生確率が高く影響も大きい脅威——だった。
私たちは知っていた。業界も知っていた。それでも私たちは、それに対処できないシステムを作ったのだ。
これは再生可能エネルギーの問題ではない
この点は絶対に明確にしておきたい。誤情報がいまだに流通しているからだ。
再生可能エネルギーがイベリアの大停電を引き起こしたのではない。4月28日の78%という再生可能エネルギー比率は系統の慣性を低下させ、それによって電力網は擾乱に対してより敏感になった——それは事実だ。しかし、敏感さは因果ではない。原因は、発電設備が、法的に提供を義務づけられていた無効電力による支援を提供しなかったことにある。原因は、電圧のダイナミクスをリアルタイムで管理するにはあまりに遅く、あまりに愚かな制御システムにあった。原因は、集電レベルで進行していた危機に対して運用者を盲目にした可観測性のアーキテクチャにあった。
この停電を再生可能エネルギーのせいにするのは、本当の問題は誰も建築基準を守らなかったことなのに、地震による倒壊を軽量建材のせいにするようなものだ。その材料は異なるエンジニアリングを必要とする。そのエンジニアリングが行われなかった。これは人間と制度の失敗であって、物理の失敗ではない。
そして、これこそ決定論的AIが排除するために設計されている種類の失敗だ——人間の判断を置き換えることによってではなく、人間の判断が誤ったとき、レガシーの制御装置が失敗したとき、あるいは発電所の運用者が誤ったタイミングで誤った判断を下したときに、システムそのものが、灯りを消さないための法則を強制することによって。
灯りが消えないのは、私たちがそう設計したからだ
私がVeriprajnaを立ち上げたのは、世界で最も重要なAIシステムは、チャットボットでも画像生成器でも推薦エンジンでもないと信じていたからだ。それは、文明が依存するインフラを統べる、目に見えないシステムになる——電力網、水処理、輸送ネットワーク、金融決済システム。「おそらく正しい」が死刑宣告となる場所だ。
イベリアの大停電は、その信念が正しかったことを、考えうる最悪の形で証明した。5秒で15ギガワット。半島全体が闇に沈んだ。そしてAI業界の反応は、決定論的な確実性を要求する問題に対して、確率的なラッパーを売り続けることだった。
未来の電力網が安定を保つのは、私たちがそう願うからではない。LLMがおそらくそうなるはずだと考えるからでもない。安定を保つのは、私たちが物理法則をニューラルアーキテクチャに埋め込み、規制をシンボリック論理へ符号化し、ミリ秒が決定的な意味を持つエッジへインテリジェンスを押し出し、そして、イベリアの電力網を倒したあの判断を下すことが物理的に不可能なシステムを構築したからだ。それは楽観ではない。エンジニアリングだ。
