60のデータセンターが系統から消えた夜——それが私に教えた、AIの限界
私が電力会社のある幹部と電話で話していたとき、彼が思わず私を凍りつかせるひと言を口にした。
「あの夜、系統が失ったのは電力ではなかった。失ったのは需要だった。そして、それに備えた対応手順を誰ひとり用意していなかった。」
彼が話していたのは2024年7月10日のことだ。バージニア州フェアファックスでのたった一度の落雷が、60のデータセンターを同時に系統から切り離し、2分足らずで1,500メガワットの電力需要を蒸発させた、あの夜のことである。これはおよそボストン全体の電力消費量に相当し、歯を磨くほどの短い時間のうちに消え去ったのだ。北米電力信頼度協議会 — 4億人のために電気を供給し続ける連邦機関、NERC — は後にこれを「信頼性にとっての五段階警報級の大火災」と呼んだ。
そして私は、そこに座りながらこう考えていたのを覚えている。これこそ、私がずっと警鐘を鳴らし続けてきた出来事だ。発電の失敗ではない。サイバー攻撃でもない。自動化された保護ロジックの連鎖であり、各システムが指示どおりに正確に動作しながら、全体としては誰も設計していなかった結末を生み出したのだ。系統が壊れたのは、何かがうまくいかなかったからではない。壊れたのは、すべてがうまくいったからだ — 間違ったタイミングで、間違った順序で、誰もモデル化しなかった規模で。
本稿は、あの夜に実際に何が起きたのか、なぜ現在のAI「ソリューション」の潮流ではかえって事態を悪化させていたのか、そしてVeriprajnaの私のチームが代わりに何を築いてきたのかを綴った物語である。
落雷が世界のインターネット首都を直撃したら何が起きるのか？
北バージニアは、世界のインターネットトラフィックの70%を経由させている。デジタル経済のバックボーンと呼ぶのは比喩ではなく、文字どおりそのとおりなのだ。そしてあの7月の夕方、ドミニオン・エナジーのOx-Possum 230キロボルト送電線で避雷器が故障し、恒久的な地絡事故が生じた。
ここからが興味深いところだ。系統の保護システムは自らの役割を果たした。回線の自動再閉路を試みたのだ — 事故が解消したかを確かめるためにブレーカーを入れ直すような、標準的な手順である。システムは82秒間に6回、回線の両端からそれぞれ3回ずつ試行した。試行のたびに、一瞬の電圧低下（電圧ディップ）が生じた。
これらの電圧低下は、単独ではどれ一つとして危険なものではなかった。それぞれが、系統規格で正常とみなされる±10%の範囲内に収まっていた。しかし、それらのデータセンター内部の無停電電源装置（UPS）は、数を数えていた。それらは単純なルールでプログラムされている。1分以内に3回の電圧擾乱を検知したら、系統が故障しつつあると判断し、ディーゼルのバックアップ発電機へ切り替えよ。何としてもサーバーを守れ、と。
こうしてUPSシステムは3まで数え、60の施設が一斉にこう宣言した。「もう抜ける」。
たった1本の送電線での日常的な事故が、82秒足らずのうちに1,500MWの負荷を消失させた — 典型的な発電所の故障よりも50倍速いスピードで。
13州にまたがる6,500万人分の電力を管理するPJMインターコネクションの系統運用者たちは、突如として膨大な余剰の発電を抱え込むことになった。周波数は60.047Hzまで急上昇した。通常の停電では、発電機を失うために周波数は低下する。しかしこの時は、発電機が依然として回り続けているのに負荷が消えてしまったため、周波数はむしろ急上昇したのだ。運用者たちは、訓練で叩き込まれたのとは正反対の対応に追われた — 変圧器の過負荷を防ぐためだけに、ペンシルベニア州のガス火力発電所から600MW、バージニア州の原子力ユニットから300MWを手動で絞り込んだのである。
ではデータセンターはどうなったか。それらは何時間もディーゼル電源で運転を続けた。バックアップへの切り替えは自動だった。だが、系統への復帰は自動ではなかった。それには施設ごとの手動介入が必要で、技術者が再接続を調整する間、何千ガロンものディーゼル燃料が燃やされ続けたのだ。
私はこの不条理さに何度も立ち返ってしまう。あらゆる産業を変革するとされるモデルを収めた、地球上で最も高度なコンピューティング基盤が、「一つの事故による6回の電圧低下」と「6件の別々の緊急事態」を区別できない計数アルゴリズムによって、オフラインに追い込まれたのだ。
なぜ「GPTを使えばいい」派がこれを見誤ると私が確信していたのか
この事案が業界紙で報じられてから約1週間後、私たちの取り組みを追ってきた、ある投資家からメールが届いた。彼の提案を言い換えるとこうだ。「系統データでLLMをファインチューニングして、こうした連鎖を予測させればいいだけなのでは？」
私は、丁寧な返信に落ち着くまでに、3通りの異なる返答を書き下ろした。だが、本当に言いたかったのは次のことだ。
無理だ。そして、あなたがそう尋ねること自体が、その誤解がどれほど根深いのかを私にはっきりと物語っている。
大規模言語モデルは確率的なエンジンである。系列の中で次に来る可能性の高いトークンを予測する。それらが最適化しているのは、もっともらしさ— すなわち正しく聞こえるもの — であって、真実性— すなわち実際に正しいもの — ではない。この区別は、マーケティング用の文章を生成している場面では学術的な話にすぎない。だが、周波数が目標値の0.036Hz以内に留まっていなければ変圧器が過熱し始めるようなシステムを管理するとなると、それは破滅的なものになる。
私のチームと私は、バージニアの事案の後、何週間もかけてその失敗の連鎖を分析し、いつも同じ結論に行き着いた。重要インフラにおけるAIの主流のアプローチ — 私が「ラッパー」アーキテクチャと呼ぶもの、すなわちGPT-4やClaudeの上に薄いソフトウェア層をかぶせてソリューションと称するやり方 — は、ここではまったく役に立たなかっただろう。おそらく、役に立たないどころか有害でさえあったはずだ。
標準的な検索拡張生成（Retrieval-Augmented Generation）システムが系統データをどう扱うか、考えてみてほしい。それは、あらゆるものをテキストの断片として扱う。Ox-Possum線に関する文書や、UPSのライドスルー規格に関する別の文書を検索してくるかもしれないが、変電所Aでの電圧低下が数ミリ秒のうちに電磁的に変電所Bへ伝播するという概念を、そもそも持ち合わせていない。キルヒホッフの法則について推論することもできない。動揺方程式（swing equation）が何であるかも知らない。自信たっぷりで整った体裁の、しかし物理的にはあり得ないかもしれない回答を生成してしまうだろう。
私たちは、これと同じパターンが別の領域で現実になるのを目にした。2023年、Sports Illustrated誌はラッパーアーキテクチャを導入し、架空のジャーナリストの人格や記事をまるごと生成した — もっともらしく、洗練されていて、そして完全な捏造だった。株価は27%下落した。メディア企業にとって、それはスキャンダルだ。だが系統運用者にとっては、負荷分散アルゴリズムにおける同種の「ハルシネーション」は、株価を暴落させるのではない。系統そのものを崩壊させるのだ。
この失敗モードについては、バージニアの擾乱に関する私たちのインタラクティブな分析の中で詳しく論じており、そこでは落雷からディーゼル発電機に至るまでの連鎖の全体像を描き出している。
私たちの作り方を変えた、あの議論
ある瞬間があった — 確か2024年8月下旬、本格的な分析を始めてから3週間ほど経った頃だったと思う — 私のエンジニアのうち2人が、アーキテクチャをめぐって本気の議論を交わしたのだ。一方は、純粋にニューラルなアプローチを構築したがっていた。すなわち、過去の系統テレメトリで巨大なモデルを訓練し、物理法則を暗黙のうちに学習させるというものだ。もう一方は、暗黙的な学習だけでは不十分であり、必要なのはエンコードすること、すなわち物理法則をモデルの損失関数に直接書き込むことだと主張した。
私は、彼らに1時間近く議論させた。自分に意見がなかったからではない。その議論そのものが、私が何か月も周りを巡り続けていた何かを結晶化させてくれたからだ。
ニューラル一本槍を主張する側は、AC最適潮流（AC Optimal Power Flow）— 電力が系統をどう流れるかを決める中核的な最適化問題 — に標準的な深層学習モデルを適用した結果を示した。そのモデルは高速で、推論はわずか52.6ミリ秒だった。しかし、バージニアの事象に似たシナリオ — 突発的で大規模な負荷の脱落 — に対してストレステストを行うと、基本的な潮流方程式に違反する状態を生成した。物理的に存在し得ない系統状態を「ハルシネーション」したのだ。それは、ネットワークのトポロジー上、禁じられた向きに電流を流さなければ成立しないような、母線（バス）の電圧だった。
次に、物理優先を主張する側は、支配的な偏微分方程式の残差をニューラルネットワークの損失関数に直接埋め込むと何が起きるかを示した。これがいわゆる物理情報ニューラルネットワーク（Physics-Informed Neural Network、PINN）である。このモデルは、単にデータからパターンを学ぶのではない。学ぶのはパターンであり、それは電磁気学の法則によって制約されている。それが下すあらゆる予測は、キルヒホッフの法則、そして周波数安定性のための動揺方程式と整合していなければならない。
結果は印象的だった。制約なしのモデルの0.73MWに対し、こちらはグラウンドトゥルースからの偏差が0.64MWで、しかも推論時間は50ミリ秒未満だった。さらに重要なのは、物理的に制約されたモデルが、極端なシナリオの下でも実現可能性を保ち続けたことだ。物理がそれを許さないため、あり得ない系統状態をハルシネーションすることができなかったのである。
AIの損失関数に物理法則が組み込まれているとき、ハルシネーションは単に起こりにくいだけではない — 数学的にペナルティを課されるのだ。
あの議論は、2人のエンジニアが同じ側に立つ形で終わった。そしてそれが、私たちがいまVeriprajnaで築いているものの土台となったのである。
物理について嘘をつけないAIは、どうすれば作れるのか？
私たちが開発したアーキテクチャは、私が時に「サンドイッチ」と表現する構造を持っている — もっとも、その言い方では、その精密さを過小評価してしまうのだが。
最上層はニューラルだ。この層は知覚を担う。すなわち、非構造化データを読み取り、意図を抽出し、エンティティを認識する。大口負荷の系統連系申請が200ページのPDF書類として届いた場合、この層はそれを構造化されたパラメータへと解析する。この層は、それが得意だ。LLMは、知覚タスクにおいて本当に優れている。
中間層はシンボリックだ。実際の推論が行われるのはここであり、それは完全に決定論的である。ナレッジグラフが、変電所、送電線、データセンターの契約、そしてNERCのコンプライアンス基準の間の関係を保持している。ハードコードされた業務ルール — 私たちがPolicy-as-Code（コードとしてのポリシー）と呼ぶもの — が、抽出されたすべてのパラメータを、系統の物理法則と規制要件に照らして検証する。どれだけプロンプトエンジニアリングを駆使しても、この層を迂回することはできない。提案された負荷のランプ（増加率）が、NERC TPL-001で定義されたN-1事故想定制約に違反していれば、システムはそれをフラグとして立てる。それだけだ。安全性について、より「創造的」に振る舞わせるような「温度（temperature）」設定は存在しない。
最下層は、再びニューラルだ。この層は、シンボリック層から検証済みの判断を受け取り、それを自然言語や機械制御信号へと変換する。これは思考する者ではなく、伝える者である。
これが、私の言う「グラスボックス（ガラスの箱）」アプローチの意味するところだ。あらゆる判断には、引用の連鎖が備わっている。「私を信じろ、私はAIだ」と言うブラックボックスの代わりに、私たちのシステムはこう言う。「これをフラグとして立てたのは、提案されたランプレートが、系統連系契約の第4.2節で定義された閾値を超えており、それを変電所7のPMUデータからのリアルタイムテレメトリと相互参照した結果だからです」と。
これに対しては、いつも反論が返ってくる。「シンボリック層は、結局ただのルールなのでは？ 手間を増やしただけのエキスパートシステムを作っているだけでは？」と。違う。ニューラル層は、ルールでは扱えない部分 — 非構造化データの知覚、何千もの変数にまたがるパターン認識、ノイズの多いセンサーフィードにおけるリアルタイムの異常検知 — を担う。シンボリック層は、ニューラルネットワークでは扱えない部分 — 保証されたコンプライアンス、物理的な実現可能性、監査可能性 — を担う。どちらか一方だけでは不十分だ。両者が組み合わさることで、互いの死角を補い合うのである。
いま系統が本当に必要としているものは、何か？
バージニアの事案に対するNERCの対応は迅速で、彼らの功績として、実質を伴うものだった。NERCは2024年8月に大口負荷タスクフォース（Large Loads Task Force）を設置し、9月にはレベル2の業界勧告アラートを発して、大口負荷をどのようにモデル化し、監視し、そして通信するかを、電力会社が抜本的に見直すよう強く求めた。
NERCが特定した中核的な問題は、私であれば「不可視性」と呼ぶであろうものだ。系統運用者たちは、それら60のデータセンターの内部を見通すことができなかった。UPSの計数ロジックに関するリアルタイムのテレメトリはなく、施設がいつ切り離しの閾値に近づいているのかも把握できなかった。それらのデータセンターは、まるで大きすぎる住宅のように扱うシステムからギガワット級の電力を引き込む、ブラックボックスだったのだ。
私に本物の希望を与えてくれる技術的進展の一つが、PERC1モデル — Power Electronic Ceasing and Reconnecting（パワーエレクトロニクスによる停止と再接続）— である。従来の負荷モデルは、モーターやヒーターのような、事故の際に徐々に減速していく機器を想定して設計されていた。データセンターは減速しない。パワーエレクトロニクスのスイッチングによって、ミリ秒単位で消費を完全に停止させるのだ。PERC1は、この挙動を表現するために特別に設計された初めてのモデルであり、7月10日のような事象で実際に何が起きるのかを予測しようとするあらゆるシミュレーションにとって、不可欠である。
だが、モデルだけでは十分ではない。データセンターは、能動的な参加者となって、系統の安定性に関与しなければならない。都合が悪くなると系統から離脱する、受動的な消費者ではなく。
ここで不可欠になるのが、OpenADR 3.0 — 近代化された自動デマンドレスポンス標準 — である。旧バージョンは、応答時間が分未満の、扱いにくいXMLメッセージングを用いていた。バージョン3.0は、秒未満のレイテンシを持つRESTful APIとJSONを用いる。これは、「今後60秒以内のどこかで負荷を減らしてください」と、「今すぐ50MW分のバッチ処理をオレゴンの施設へ移してください」との違いに相当する。
もしデータセンターが、ピーク時に年間電力使用量のわずか0.5%を抑制すれば、新たなガス火力発電所を1基も建設することなく、100GWの新規容量を系統に接続できるようになる。
EPRIのDCFlexイニシアチブは、この前提の上に構築された自発的なデマンドレスポンスプログラムに、すでにデータセンターを募り始めている。計算上の説得力はあるが、その実行には、系統上の制約とサービスレベル契約（SLA）の双方を尊重しながら、計算ワークロードを地理的な地域間で動的に移動させられるAIが必要になる。そのオーケストレーション層 — 秒未満の応答を実現できるほど高速で、物理法則を尊重できるほど賢く、規制当局に対して十分に監査可能なもの — こそ、私たちのPINNベースのアーキテクチャが提供しようと設計されているものである。
私たちがPINNをニューロシンボリックなスタックにどのように統合しているのか、その技術的な全容については、バージニアの擾乱に関する私たちの研究論文を参照してほしい。
なぜバージニアの問題が、すべての人の問題なのか
私は、人的なコストについて語らなければならない。というのも、技術コミュニティには、系統の安定性を抽象的に論じてしまう傾向があるからだ。
ドミニオン・エナジーのデータセンター容量は、現在の4GWから、契約ベースで40GW近くにまで拡大すると予測されている。バージニア州は、過去10年間でデータセンター事業者に27億ドルの補助金を与えてきた。同州は、予測される負荷に対応するために、283億ドルの新規送電インフラと、40%増の送電容量を必要としている — その建設ペースについては、州自身の合同立法監査審査委員会（Joint Legislative Audit and Review Commission）が「達成は非常に困難」と評している。
その一方で、地域の容量価格は833%も急騰した。家庭の電気料金は、2045年までに月額380ドルに達すると予測されている。北バージニアのデータセンターは、2023年に冷却のために20億ガロン近くの水を消費した — 5万人に供給できる量だ — そして、9,000基近くのディーゼルバックアップ発電機に依存しており、7月10日が証明したように、それらは単なるバックアップではなく、運用戦略の中核的な一部なのである。
エネルギー省は、大規模な介入がなければ、停電時間が現在の年間2.4時間から、2030年までに430時間超へと急増しかねないと予測している。
私は、データセンターに反対しているわけではない。私の会社は、こうした施設が提供する計算基盤があってこそ存在している。しかし私は、系統を無限の資源のように扱い、AIそのものを「なんとかして答えを出してくれる魔法のテキストボックス」のように扱いながら、AIの計算能力を拡大し続けられるという考えには、深く反対している。
午前2時の気づき
ある夜のことだ — 確か9月初旬、分析にどっぷり浸かっていた頃だったと思う — 私は、7月10日の事象のPJM周波数データを見直していた。おそらく100回目くらいだろう、あの60.047Hzの急上昇をじっと見つめ続けていた。そのとき、それまで言葉にできていなかった何かが、すとんと腑に落ちたのだ。
データセンターのUPSシステムは、設計どおりのことを正確に行った。系統の自動再閉路は、設計どおりのことを正確に行った。PJMの運用者たちは、訓練どおりのことを正確に行った。個々のアクターはすべて、正しく振る舞った。破局が生じたのは、相互作用からだ — 互いに対話するようには決して設計されていなかったシステムの間の、その隙間から。
これは、私がいたるところの企業向けAI導入で目にしているのと、同じ失敗モードだ。LLMは設計どおりのことを行う — もっともらしいテキストを生成する。検索システムは設計どおりのことを行う — 関連する文書を見つけ出す。ユーザーインターフェースは設計どおりのことを行う — 結果をきれいに提示する。そして全体としては、自信に満ち、出典もしっかりしているように見えて、物理的にあり得ない、法的に誤っている、あるいは財務的に破滅的な回答を生み出す。なぜなら、どの層もグラウンドトゥルースに対して責任を負っていないからだ。
それこそが、私たちが解こうとしている問題だ。より優れたチャットボットを作ることではない。GPTの周りに、より賢いプロンプトを巻きつけることでもない。真実が構造そのものとなっているアーキテクチャを築くこと — 物理法則が確率によって上書きされ得ず、論理がハルシネーションされ得ず、あらゆる出力が、規制当局者やエンジニア、あるいは裁判官が結論から証拠へとたどり直せる引用の連鎖を備えているような、そうしたアーキテクチャを築くことである。
バージニアの停電は、あるシステムが故障したことによって引き起こされたのではない。複数のシステムがそれぞれ独立して成功し、その結果として全体的な破局を生み出したことによって引き起こされたのだ。それは、今日、重要インフラに導入されているあらゆるAIラッパーの中に潜んでいる、まさに同じ失敗モードである。
ここから先、これはどこへ向かうのか
これから何が来ると私が考えているのか、率直に述べよう。
本当に重要なものについては、LLMラッパーの時代は終わった。ブログ記事の生成や会議の要約になら、それで結構 — ラッパーは残り続け、改良もされていくだろう。しかし、誤った答えが物理的な帰結をもたらすシステム — 電力系統、金融コンプライアンス、医療機器、構造工学 — においては、業界は二分するだろう。一方の道は、確率的なモデルの周りに、それ自体が確率的な「ガードレール」を伴った、ますます精巧なプロンプトの連鎖を巻きつけていく方向へと向かう。もう一方の道は、ニューラルな知覚が決定論的な推論に情報を供給し、その領域を支配する現実の法則によって制約される、ハイブリッドなアーキテクチャへと向かう。
私は、自分がどちらの道の上に築いているのかを分かっている。バージニアの系統に必要だったのは、より雄弁なAIではなかった。必要だったのは、1,500MWの負荷が82秒で消失するときに何が起きるのかを、微分方程式のレベルで理解しているAIだった。必要だったのは、それらのUPSシステムの中で切り離しへと向かって時を刻んでいく計数ロジックを見抜き、そして介入できるAIだ — 提案という形ではなく、1ミリ秒未満で送り出される、物理的に検証された制御信号によって。
電力の信頼性は、いまや取締役会レベルの変数となっている。次に北バージニアで系統が瞬いたとき — そしてそれは必ず起きる、なぜなら負荷は送電容量の10倍の速さで増大しているからだ — 問われるのは、AIが関与していたかどうかではない。問われるのは、そのAIが物理を理解していたのか、それとも単に次のトークンを予測していただけなのか、である。
