6천만 명이 5초 만에 전기를 잃었다 — 그리고 AI 업계는 아무것도 배우지 못했다

잠재 파트너와 통화를 하던 중에 뉴스가 터졌다. 2025년 4월 28일. 회의에 참석한 누군가가 채팅창에 링크를 하나 올렸다. 스페인과 포르투갈이 완전히 암흑에 빠졌다는 소식이었다. 6천만 명이 전기를 잃었다. 신호등이 꺼졌다. 병원은 비상 발전기로 버텼다. 열차는 터널 안에 멈춰 섰다.

가장 먼저 든 감정은 — 자랑스러운 일은 아니지만 — 안도감이었다. 물론 그런 일이 벌어져서 안도한 것은 아니다. 다만 우리가 2년 동안 경고해 온 문제를 이제는 아무도 무시할 수 없게 되었기 때문이다. Veriprajna에서 우리가 결정론적 AI 시스템을 만들어 온 이유는 분명했다. 대부분의 AI 기업이 파는 확률론적 모델이 결국 핵심 인프라에서 파국적으로 실패하리라 믿었기 때문이다. 그리고 바로 그 일이 눈앞에 벌어졌다. 단 5초 만에 사라진 15기가와트의 발전 용량. 사이버 공격이 아니었다. 자연재해도 아니었다. 더 나은 AI였다면 막을 수 있었던 제어 실패의 연쇄였다.

두 번째로 든 감정은 분노였다. 몇 시간 만에 이미 하나의 서사가 굳어 버렸기 때문이다. "재생에너지가 정전을 일으켰다." 어디에나 그 말이 있었다. 그리고 그것은 틀렸다.

4월 28일, 실제로 전력망을 무너뜨린 것은 무엇인가?

무슨 일이 있었는지 정확히 짚어 보자. 헤드라인보다 세부 사항이 훨씬 중요하기 때문이다.

그날 아침 재생에너지는 스페인 전력의 78%를 생산하고 있었다. 태양광과 풍력은 제 역할을 훌륭히 해내고 있었다. 그런데 전력망에 관해 대부분의 사람들이 이해하지 못하는 사실이 있다. 전기를 생산하는 것은 문제의 절반일 뿐이라는 것이다. 나머지 절반은 무효전력 — 수천 킬로미터의 송전선을 따라 전압을 안정적으로 유지하는 보이지 않는 힘 — 을 관리하는 일이다.

배관 시스템의 수압을 떠올려 보라. 물(유효전력)은 얼마든지 있을 수 있다. 하지만 엉뚱한 곳에서 압력(전압)이 떨어지거나 치솟으면 배관은 터진다. 그 압력을 조절하는 것이 바로 무효전력이다. 스페인 규정 — 정확히는 운영 절차 7.4(Operating Procedure 7.4)라고 불리는 것 — 은 모든 발전소가 전압을 안정적으로 유지하기 위해 무효전력을 동적으로 흡수하거나 주입하도록 요구한다. 각 발전소는 최대 출력의 최소 30%를 무효전력 지원으로 제공할 수 있어야 한다.

4월 28일 정오 무렵, 전력망에 이상한 진동이 나타나기 시작했다. 0.21 Hz와 0.63 Hz의 동기 이하 진동이었다. 송전계통 운영자(TSO)들은 더 많은 선로를 메시 형태로 묶고 HVDC 연계선을 고정 전력 모드로 전환해 이 진동을 감쇠시키려 했다. 합리적인 조치였다. 하지만 의도치 않은 결과가 뒤따랐다. 전압이 오르기 시작한 것이다.

그리고 결정적인 실패가 일어났다. 여러 발전 설비가 요구된 대로 무효전력을 흡수하지 않았다. 이들은 너무 느리게 반응했거나, 아예 반응하지 않았다. 심지어 어느 대형 설비 하나는 이미 과전압 상태인 전력망에 무효전력을 주입했다. 물리 법칙이 요구한 것과 정확히 반대되는 행동이었다. 꺼야 할 불에 휘발유를 끼얹는 격이었다.

CEST 기준 12시 33분, 연쇄 붕괴가 완결되었다. 5초 만에 15기가와트가 사라졌다. 이베리아반도 전역이 최대 10시간 동안 완전히 정전되었다. 여러 명이 목숨을 잃었다.

아무도 지켜보지 않던 보이지 않는 간극

사고 후 조사 보고서에서 나를 밤새 잠 못 이루게 한 대목은 이것이다.

송전계통 운영자들은 그 시간 내내 화면을 지켜보고 있었다. 400킬로볼트 계통 — 고압 기간망 — 에서는 모든 것이 정상으로 보였다. 전압은 418 kV로, 허용 범위 안에 충분히 들어 있었다. 하지만 태양광·풍력 발전 단지가 220 kV로 실제 계통에 접속하는 집전 단계 변전소에서는 전압이 이미 242 kV에 도달해 있었다. 자동 차단을 유발하는 보호 임계값을 넘어선 값이었다.

이 전압 단계 사이에 있는 변압기 탭 절환기는 충분히 빠르게 조정하지 못했다. 그 결과 실제 전력망은 이미 위기에 빠져 있는데도 TSO의 감시 대시보드는 녹색을 표시하고 있었다. 나는 이것을 이렇게 부르기 시작했다. 관측성 간극. 운영자가 볼 수 있는 것과 전력망이 실제로 하고 있는 것 사이의 거리다.

이베리아 정전은 발전의 실패가 아니었다. 그것은 지능의 실패였다. 관제실이 볼 수 있었던 것과 전력망이 실제로 하고 있던 것 사이의 간극이었다.

이 분석을 팀에 발표했을 때, 우리 엔지니어 중 한 명인 프리야(Priya)가 잊히지 않는 말을 했다. "혈압이 당신을 죽이고 있는데 의사는 심박수만 지켜보고 있는 격이네요. 엉뚱한 활력징후를 보고 있는 거죠." 정확한 지적이다. 그리고 그것이야말로 더 나은 AI가 막아야 할 종류의 실패다.

AI는 왜 이것을 막지 못했나?

바로 이 지점에서 나는 내가 몸담은 업계에 진심으로 답답함을 느낀다.

"스마트 그리드" 솔루션을 판매하는 AI 기업이 폭발적으로 늘었다. 그중 대부분은 우리가 이른바 래퍼 애플리케이션이라고 부르는 것 — GPT-4나 Claude 같은 대규모 언어 모델 위에 얹은 얇은 인터페이스 — 이다. 전력망 데이터를 넣으면 모델이 처리하고, 분석 결과가 돌아온다. 정교하게 들린다. 하지만 이 문제에 대해서는 위험할 만큼 부적절하다.

정전이 있기 약 1년 전, 한 투자자가 우리 전력망 감시 작업에 "그냥 GPT에 파인튜닝 레이어를 얹어 쓰면 되지 않느냐"고 말했다. 나는 왜 그것이 통하지 않는지 설명하려 했고, 그는 내가 괜히 까다롭게 군다는 눈으로 나를 바라봤다. "다들 LLM을 씁니다." 그가 말했다. "왜 이걸 이렇게 복잡하게 만듭니까?"

이유는 이렇다. 확률론적 AI 모델을 핵심 인프라에 적용하면 세 가지 치명적인 약점이 드러난다.

물리적 상태를 환각한다. LLM은 가장 그럴듯하게 들리는 출력을 내도록 최적화되어 있다. 전력망 위기 상황에서 LLM은 "전압이 안정화되고 있다"고 보고할 수 있다. 학습 데이터 속 진동 사건에서 대개 그런 일이 일어났기 때문이다. 이를 실제 물리와 대조해 검증할 장치는 전혀 없다. "그럴 법하다"와 "옳다"가 같은 것으로 취급된다.

너무 느리다. 래퍼 기반 AI는 데이터를 클라우드 API를 거쳐 보낸다. 왕복 지연 시간은 500밀리초에서 수 초에 이른다. 이베리아의 연쇄 붕괴는 5초 만에 완결되었다. 클라우드 기반 모델이 추론을 끝냈을 무렵이면 정전은 이미 되돌릴 수 없는 상태다. Veriprajna에서 우리가 만드는 엣지 네이티브 시스템은 0.7밀리초 미만에 추론을 마친다. 연쇄 붕괴가 완결되기 전에 개입할 수 있을 만큼 빠르다.

검증할 수 없다. LLM이 키르히호프 전압 법칙이나 동요 방정식(Swing Equation)을 따를 것이라고 형식적으로 증명할 수는 없다. 그 추론 과정을 감사할 수도 없다. 과전압 상황에서 무효전력을 주입하라고 제안하지 않으리라 보장할 수도 없다. 4월 28일 인간 운영자가 저지른 바로 그 오류 말이다. 이러한 실패 양상에 대한 더 깊은 기술적 분석은 결정론적 전력망 면역에 관한 우리 연구 논문에서 자세히 다루었다.

핵심 인프라에서 "아마도 옳다"와 "증명 가능하게 옳다"의 차이는 사람의 목숨으로 측정된다.

"결정론적 면역"이란 실제로 무엇을 뜻하는가?

정전 이후 우리 팀은 몇 주 동안 공개된 모든 보고서를 해부했다. ENTSO-E, Red Eléctrica, 독립 연구자들의 보고서까지 전부였다. 우리는 실패의 전체 사슬을 지도로 그렸다. 그리고 하나의 질문으로 계속 되돌아왔다. 어떤 AI 아키텍처였다면 이 연쇄 붕괴를 물리적으로 불가능하게 만들었을까?

가능성이 낮다는 말이 아니다. 개연성이 희박하다는 말도 아니다. 불가능하다.

우리가 말하는 결정론적 면역이란 바로 그것이다. 그리고 그것을 구현하려면 한 가지 유형의 AI가 모든 것을 해낼 수 있다는 생각을 버려야 한다.

우리가 개발한 아키텍처는 여러 계층으로 이루어져 있고, 각 계층은 문제의 서로 다른 부분을 해결한다. 여기서 수학을 깊이 파고들지는 않겠다. 전체 기술 프레임워크는 우리 백서의 인터랙티브 버전에서 확인할 수 있다. 다만 핵심 아이디어 자체는 의외로 직관적이다.

신경망에 물리 법칙을 지키도록 가르치기

표준 신경망은 데이터로부터 패턴을 학습한다. 전력망 거동의 사례를 충분히 보여 주면 다음에 무슨 일이 일어날지 예측하는 법을 익힌다. 하지만 신경망에는 그 일이 왜 일어나는지에 대한 개념이 없다. 전압과 무효전력이 근본적인 전자기 법칙으로 연결되어 있다는 사실을 모른다. 그저 입력 패턴 A가 나타나면 출력 패턴 B가 대개 뒤따른다는 것만 안다.

물리 정보 신경망(Physics-Informed Neural Networks) — PINN — 은 다르다. 우리는 전력 시스템 동역학을 지배하는 실제 미분방정식을 학습 과정에 직접 심어 넣는다. 이 신경망은 과거 데이터로부터 배우기만 하는 것이 아니라, 출력이 반드시 물리 법칙을 만족해야 한다는 제약 아래에서 학습한다.

실제로 이것이 무엇을 뜻하는지 보자. 이베리아 사건 당시 0.63 Hz의 동기 이하 진동은 경고 신호였지만, 기존 제어기는 이를 잡음으로 해석했다. PINN 기반 제어기였다면 이 진동을 안정도 방정식에 대한 동적 위반으로 인식하고 능동 감쇠를 제공했을 것이다. 우리 시뮬레이션에서는 응답 시간이 최대 87배 빠른 것으로 나타난다. 기존 최적화 기법과 비교한 결과다. 신경망이 수학 계산을 더 빨리 해내서가 아니라, 이미 그 수학을 알고 있기 때문이다. 물리 법칙이 그 아키텍처 자체에 새겨져 있다.

시뮬레이션에서 이것이 처음 작동하던 날 오후를 기억한다. 우리는 몇 주 동안 학습 안정성 문제로 씨름하고 있었다. 물리 제약이 데이터 기반 학습과 계속 충돌했기 때문이다. 순수 딥러닝 배경에서 온 우리 ML 리드는 그 제약이 도움이 되기는커녕 해가 될 것이라며 회의적이었다. 그때 우리는 학습된 모델에 이베리아 시나리오를 돌려 보았다. PINN은 낮 12시 정각에 진동 패턴을 포착했다. 실제 연쇄 붕괴가 일어나기 33분 전이었다. 그는 화면을 한참 바라보더니 말했다. "알겠어요. 이제 이해했습니다."

어리석은 결정을 막아 주는 샌드위치

물리 정보 기반 추론은 첫 번째 계층이다. 두 번째는 우리가 뉴로-심볼릭 샌드위치라고 부르는 것이다. 그리고 이것이야말로 4월 28일의 가장 터무니없는 실패를 직접 막았을 요소다.

과전압 상황에서 무효전력을 주입한 그 발전소를 기억하는가? 그런 일이 벌어진 이유는, 자동이었든 사람의 지시였든 그 발전소의 제어 시스템이 운영 절차 7.4를 위반하는 명령을 내렸기 때문이다. 그 명령은 물리적으로 실행 가능했고, 그래서 실행되었다. 전력망에는 그것을 거부할 면역 체계가 없었다.

우리 아키텍처에서는 기호 논리 계층이 헌법적 가드레일처럼 신경망을 둘러싸고 있다. 우리는 P.O. 7.4 규정 전체 — 그리고 적용 가능한 다른 모든 그리드 코드 — 를 형식적 도메인 특화 언어로 인코딩한다. 신경망은 조치를 제안한다. 기호 논리 계층은 제안된 모든 조치를 물리 장비에 도달하기 전에 엄격한 규칙에 대조해 검사한다.

전압이 최대 임계값을 넘어 상승하고 있는데 신경 계층이 무효전력 주입을 제안한다면 — 이유가 무엇이든, 그 예측이 아무리 확신에 차 있든 — 기호 논리 계층이 그것을 차단한다. 경고로 차단하는 것이 아니다. 확률 점수로 차단하는 것도 아니다. 물리적으로 통과 자체가 불가능하다. 이 시스템은 규제 준수를 다리가 중력을 대하듯 다룬다. 지침이 아니라, 위반할 수 없는 제약으로 다루는 것이다.

뉴로-심볼릭 전력망 제어기는 잘못된 결정에 대해 경고하지 않는다. 잘못된 결정을 물리적으로 실행 불가능하게 만든다.

내가 "무한 자유의 오류(Infinite Freedom Fallacy)"를 넘어서자고 말할 때 뜻하는 바가 바로 이것이다. 더 유연한 AI가 언제나 더 나은 AI라는 가정 말이다. 핵심 인프라에서 필요한 것은 더 적은 자유이지, 더 많은 자유가 아니다. 엄격한 경계 안에서는 탁월하게 적응하면서도, 그 경계 앞에서는 절대적으로 완고한 AI가 필요하다.

지능은 왜 엣지에 있어야 하는가?

이 작업을 발표할 때마다 나오는 현실적인 질문이 하나 있다. 연산은 어디에서 이루어지는가?

이베리아 전력망을 무너뜨린 관측성 간극이 존재한 이유는 지능이 중앙에 집중되어 있었기 때문이다. TSO의 관제실은 400 kV 기간망을 감시했다. 실제 위기가 전개되고 있던 220 kV 집전 단계 변전소는 사실상 눈을 감고 비행하는 상태였다. 그 변전소들의 데이터는 집계되고 평균화된 뒤, 5초짜리 연쇄 붕괴를 잡아내기에는 너무 느린 주기로 보고되었다.

우리의 신경 전력망 제어기(Neural Grid Controllers)는 집전 측 변압기 바로 그 자리에 놓이는 엣지 컴퓨팅 장치다. 이 장치는 고해상도 동기 파형 계측을 수행하고, 100밀리초마다 연속 최적화 루프를 돌리며, 국지 전압 안정도를 ±0.02 per unit(p.u.) 이내로 유지하기 위해 인버터 명령을 실행한다. 관제실이 문제를 알아차릴 때까지 기다리지 않는다. 클라우드 API로 데이터를 보내고 응답을 기다리지도 않는다. 물리 법칙이 요구하는 속도로, 현장에서 곧바로 행동한다.

엣지 하드웨어를 시험하던 중 한 순간이 있었다. 오후 2시에 시작해 자정에 끝나는 그런 목요일 늦은 밤이었다. 우리 시제품이 시뮬레이션된 전압 이상을 감지하는 속도가, 감시 시스템이 그것을 화면에 표시하는 속도보다도 빠르다는 사실을 깨달은 순간이었다. 대시보드가 갱신되기도 전에 이상이 교정되었다. 우리 하드웨어 엔지니어 중 한 명이 웃으며 말했다. "우리가 방금 관제실을 쓸모없게 만들었네요." 농담이었다. 대체로는.

그럼에도 전력망이 꺼지면 어떻게 되는가?

예방이 있어도 복구는 필요하다. 이베리아 전력망은 완전히 복구되기까지 최대 24시간이 걸렸다. 발전 설비를 재기동하고, 부하 섬을 조심스럽게 재연결하며, 지역 간 주파수를 동기화하는, 고통스러울 만큼 수작업에 의존한 과정이었다.

우리는 전력망 자동 복구에 다중 에이전트 강화학습을 사용한다. 각자 국지 전력 섬을 관리하는 AI 에이전트 팀이 있고, 동기화를 총괄하는 상위 에이전트가 이들을 조율한다고 생각하면 된다. 2025년 복구 당시 모로코는 900 MW를, 프랑스는 2 GW의 지원 전력을 공급했다. 하지만 그 전력을 2차 붕괴 없이 올바른 순서로 올바른 곳에 보내는 일에는, 인간 운영자들이 극도의 압박 속에서 수백 건의 순차적 결정을 내려야 했다.

우리 시뮬레이션에 따르면, 동일한 결정론적 프레임워크 안에서 — 물리 정보를 반영하고 기호적으로 제약된 상태로 — 작동하는 자율 에이전트는 24시간짜리 복구를 약 4시간으로 줄일 수 있다. 인간 운영자보다 똑똑해서가 아니라, 더 빠르고, 더 잘 조율되며, 위기 중에 눈덩이처럼 불어나는 패닉성 오류를 애초에 저지를 수 없기 때문이다.

이것은 규제 심사를 어떻게 통과하는가?

사람들이 끊임없이 묻는 질문이고, 타당한 질문이다. EU AI Act는 전력망 제어를 핵심 인프라로 분류한다. 이 영역에서 작동하는 모든 AI 시스템이 엄격한 투명성·설명가능성 요건을 마주한다는 뜻이다. 바로 여기서 래퍼 기반 LLM은 가장 근본적인 문제에 부딪힌다. 특정 예측을 왜 내놓았는지 말 그대로 설명할 수 없다는 것이다. 수학이 그런 식으로 작동하지 않는다.

우리의 뉴로-심볼릭 아키텍처는 모든 개입에 대해 완전한 감사 추적 기록을 남긴다. 사후 합리화가 아니라 실제 의사결정 추적이다.

신경 계층이 0.63 Hz 동기 이하 진동을 탐지했다. 기호 논리 계층이 P.O. 7.4 위반을 식별했다. 435 kV의 동적 전압 한계 초과. 기호 논리 계층이 최대 용량의 30%에 해당하는 무효전력 의무 흡수를 강제했다. 전압이 418 kV에서 안정화되었다. 집전 측 보호 트립이 방지되었다.

사슬의 모든 고리를 들여다볼 수 있고, 감사할 수 있으며, 법적으로 방어할 수 있다. 이것은 있으면 좋은 부가 기능이 아니다. 이베리아 정전 이후 유럽 전역의 규제 당국은 그리드 코드를 다시 쓰고 있다. 앞으로 10년의 규제 강화를 살아남을 시스템은, 자사 AI가 규칙을 따른다는 것을 주장하는 데 그치지 않고 증명할 수 있는 시스템일 것이다.

아무도 던지고 싶어 하지 않는 질문

이베리아 정전에 대한 업계의 대응에서 나를 가장 불편하게 하는 것은 이것이다.

몇 주 만에 대화는 다른 곳으로 옮겨 갔다. AI 기업들은 다시 래퍼 제품을 팔기 시작했다. 전력망 운영자들은 가장 눈에 띄는 취약점만 땜질했다. 재생에너지 대 화석연료 논쟁이 모든 산소를 빨아들였다. 그리고 근본적인 아키텍처 문제 — 21세기 에너지 시스템을, 충분히 빠르게 보지도 생각하지도 행동하지도 못하는 제어 패러다임으로 관리하고 있다는 문제 — 는 손도 대지 않은 채 남았다.

6천만 명이 전기를 잃었다. 여러 명이 목숨을 잃었다. 경제적 피해는 수십억 달러에 달했다. 그리고 근본 원인은 돌발적인 사건이 아니었다. 그것은 알려진 아키텍처 취약점의 예측 가능한 결과였다. 동기 이하 진동은 이전에도 관측된 적이 있었다. 무효전력 준수 미비는 이미 문서로 기록되어 있었다. 송전 단계와 집전 단계 감시 사이의 관측성 간극은 학계 문헌에서 충분히 이해된 문제였다.

이베리아 정전은 블랙 스완이 아니었다. 그것은 회색 코뿔소였다. 모두가 다가오는 것을 보았지만 아무도 막지 않은, 발생 확률이 매우 높고 파급력이 큰 위협이었다.

우리는 알고 있었다. 업계도 알고 있었다. 그런데도 우리는 그것을 감당하지 못하는 시스템을 만들었다.

이것은 재생에너지의 문제가 아니다

이 점만은 절대적으로 분명히 하고 싶다. 잘못된 정보가 여전히 돌아다니고 있기 때문이다.

재생에너지는 이베리아 정전을 일으키지 않았다. 4월 28일의 78% 재생에너지 비중이 계통 관성을 낮췄고, 그 결과 전력망이 외란에 더 민감해진 것은 사실이다. 하지만 민감성은 인과가 아니다. 진짜 원인은 발전 설비들이 법적으로 제공하도록 의무화된 무효전력 지원을 제공하지 못한 것이었다. 원인은 전압 동특성을 실시간으로 관리하기에는 너무 느리고 너무 아둔했던 제어 시스템이었다. 원인은 집전 단계에서 전개되던 위기에 운영자를 눈멀게 한 관측성 아키텍처였다.

이 정전을 재생에너지 탓으로 돌리는 것은, 진짜 문제는 아무도 건축법규를 지키지 않은 것인데 지진으로 건물이 무너진 책임을 경량 건축 자재에 돌리는 것과 같다. 그 자재에는 다른 공학이 필요하다. 그 공학이 이루어지지 않았다. 그것은 인간과 제도의 실패이지, 물리의 실패가 아니다.

그리고 그것이야말로 결정론적 AI가 제거하도록 설계된 종류의 실패다. 인간의 판단을 대체함으로써가 아니라, 인간의 판단이 실패할 때, 낡은 제어기가 실패할 때, 혹은 발전소 운영자가 하필 그 순간에 잘못된 결정을 내릴 때, 시스템 자체가 불을 계속 켜 두는 법칙을 강제하도록 보장함으로써 말이다.

불이 꺼지지 않는 이유는 우리가 그렇게 설계했기 때문이다

내가 Veriprajna를 시작한 이유는, 세상에서 가장 중요한 AI 시스템이 챗봇이나 이미지 생성기, 추천 엔진이 아니라고 믿었기 때문이다. 그것은 문명이 의존하는 인프라를 다스리는 보이지 않는 시스템일 것이다. 전력망, 상하수 처리, 교통망, 금융 청산 시스템 같은 것들 말이다. "아마도 옳다"가 곧 사형 선고가 되는 영역이다.

이베리아 정전은 그 믿음이 옳았음을 최악의 방식으로 증명했다. 5초 만에 15기가와트. 반도 전체가 어둠 속으로. 그리고 AI 업계의 대응은 결정론적 확실성을 요구하는 문제에 확률론적 래퍼를 계속 파는 것이었다.

미래의 전력망은 우리가 그러길 바란다고 해서 안정적으로 유지되지 않는다. LLM이 아마 그래야 한다고 생각한다고 해서 안정적으로 유지되지도 않는다. 전력망이 안정적으로 유지되는 이유는, 우리가 물리 법칙을 신경망 아키텍처에 심어 넣었고, 규제를 기호 논리로 인코딩했으며, 밀리초가 중요한 엣지로 지능을 밀어 넣었고, 이베리아 전력망을 무너뜨린 그 결정들을 내리는 것이 물리적으로 불가능한 시스템을 만들었기 때문이다. 그것은 낙관이 아니다. 그것은 공학이다.