A Noite em que 60 Data Centers Desapareceram da Rede — E o Que Isso Me Ensinou Sobre os Limites da IA

Eu estava em uma ligação com um executivo de uma concessionária de energia quando ele disse algo que me deixou paralisado.

"A rede não perdeu energia naquela noite. Ela perdeu demanda. E ninguém tinha um manual de procedimentos para isso."

Ele estava falando sobre 10 de julho de 2024 — a noite em que um único raio em Fairfax, na Virgínia, desencadeou a desconexão simultânea de 60 data centers, vaporizando 1.500 megawatts de demanda elétrica em menos de dois minutos. Isso equivale a praticamente todo o consumo de energia de Boston, desaparecido no tempo que leva para escovar os dentes. A North American Electric Reliability Corporation — a NERC, o órgão federal que mantém as luzes acesas para 400 milhões de pessoas — mais tarde classificou o episódio como um "incêndio de emergência máxima para a confiabilidade."

E eu lembro de estar sentado ali, pensando: este é o evento sobre o qual eu venho alertando. Não uma falha de geração. Não um ataque cibernético. Uma cascata de lógica de proteção automatizada, cada sistema fazendo exatamente o que lhe foi ordenado, produzindo coletivamente um resultado que ninguém projetou. A rede não quebrou porque algo deu errado. Ela quebrou porque tudo deu certo — na hora errada, na sequência errada, em uma escala que ninguém modelou.

Esta é a história do que realmente aconteceu naquela noite, de por que a atual onda de "soluções" de IA teria piorado tudo, e do que a minha equipe na Veriprajna vem construindo em vez disso.

O Que Acontece Quando um Raio Atinge a Capital Mundial da Internet?

O Norte da Virgínia roteia 70% do tráfego global da internet. Não é metáfora chamá-lo de espinha dorsal da economia digital — ele literalmente é. E naquela noite de julho, um para-raios falhou na linha de transmissão de 230 quilovolts Ox-Possum da Dominion Energy, criando uma falta permanente.

É aqui que a coisa fica interessante. Os sistemas de proteção da rede fizeram o seu trabalho. Eles tentaram religar a linha automaticamente — um procedimento padrão, como rearmar um disjuntor para ver se a falta se resolve. O sistema tentou seis vezes ao longo de 82 segundos, três tentativas a partir de cada extremidade da linha. Cada tentativa causou uma breve queda de tensão.

Nenhuma dessas quedas era perigosa isoladamente. Cada uma permaneceu dentro da faixa de ±10% que os padrões da rede consideram normal. Mas os sistemas de fonte de alimentação ininterrupta (UPS) dentro daqueles data centers estavam contando. Eles são programados com uma regra simples: se você detectar três distúrbios de tensão em um minuto, presuma que a rede está falhando e transfira a carga para os geradores diesel de reserva. Proteja os servidores a todo custo.

Então os sistemas UPS contaram até três, e 60 instalações disseram simultaneamente: estamos fora.

Uma falta rotineira em uma única linha de transmissão fez 1.500 MW de carga desaparecerem em menos de 82 segundos — cinquenta vezes mais rápido do que uma falha típica de usina.

Os operadores de rede da PJM Interconnection, que gerencia a eletricidade de 65 milhões de pessoas em 13 estados, de repente tinham um enorme excedente de geração. A frequência disparou para 60,047 Hz. Em uma interrupção normal, a frequência cai porque você perdeu um gerador. Aqui, ela subiu bruscamente porque os geradores continuavam girando, mas a carga havia desaparecido. Os operadores tiveram que se apressar para fazer o oposto daquilo para que são treinados — reduziram manualmente 600 MW de usinas a gás na Pensilvânia e 300 MW de uma unidade nuclear na Virgínia apenas para impedir que o sistema sobrecarregasse os transformadores.

E os data centers? Ficaram no diesel por horas. A transição para a reserva foi automática. O retorno à rede não foi. Exigiu intervenção manual, instalação por instalação, queimando milhares de galões de diesel enquanto os técnicos coordenavam a reconexão.

Eu fico voltando ao absurdo disso. A mais sofisticada infraestrutura de computação da Terra, que abriga os modelos que supostamente vão transformar todos os setores, foi tirada do ar por um algoritmo de contagem incapaz de distinguir entre "seis quedas de uma única falta" e "seis emergências separadas."

Por Que Eu Sabia Que a Turma do "É Só Usar o GPT" Ia Errar Nisso

Cerca de uma semana depois de o incidente chegar à imprensa especializada, recebi um e-mail de um investidor que vinha acompanhando o nosso trabalho. A sugestão dele, parafraseando: "Você não poderia simplesmente fazer o fine-tuning de um LLM com dados da rede e fazê-lo prever essas cascatas?"

Rascunhei três respostas diferentes antes de me decidir pela versão educada. Mas eis o que eu queria dizer:

Não. E o fato de você estar perguntando me diz exatamente o quão profundo é o mal-entendido.

Os Grandes Modelos de Linguagem são motores probabilísticos. Eles preveem o próximo token provável em uma sequência. Eles otimizam para a plausibilidade — o que soa certo — e não para a veracidade — o que é certo. Essa distinção é acadêmica quando você está gerando texto de marketing. É catastrófica quando você está gerenciando um sistema em que a frequência precisa permanecer dentro de 0,036 Hz do seu alvo, ou os transformadores começam a superaquecer.

Minha equipe e eu passamos semanas, depois do incidente da Virgínia, estudando a cadeia de falhas, e continuávamos chegando à mesma conclusão: a abordagem dominante de IA em infraestrutura crítica — o que eu chamo de arquitetura "wrapper" (invólucro), em que você drapeja uma fina camada de software sobre o GPT-4 ou o Claude e a chama de solução — teria sido inútil aqui. Possivelmente pior do que inútil.

Pense no que um sistema padrão de Geração Aumentada por Recuperação (Retrieval-Augmented Generation) faria com dados da rede. Ele trata tudo como segmentos de texto. Poderia recuperar um documento sobre a linha Ox-Possum e outro sobre padrões de ride-through de UPS, mas não tem noção de que uma queda de tensão na subestação A se propaga eletromagneticamente até a subestação B em milissegundos. Ele não consegue raciocinar sobre as Leis de Kirchhoff. Não sabe o que é uma equação de oscilação (swing equation). Ele geraria uma resposta confiante e bem formatada que poderia ser fisicamente impossível.

Vimos esse padrão se desenrolar em um domínio diferente. Em 2023, a Sports Illustrated implantou uma arquitetura wrapper que gerava personas inteiras de jornalistas e artigos — plausíveis, polidos e completamente fabricados. As ações caíram 27%. Para uma empresa de mídia, isso é um escândalo. Para um operador de rede, a "alucinação" equivalente em um algoritmo de balanceamento de carga não derruba o preço de uma ação. Ela derruba uma rede elétrica.

Escrevi extensamente sobre esse modo de falha em nossa análise interativa do distúrbio da Virgínia, onde mapeamos toda a cascata, do raio aos geradores diesel.

O Argumento Que Mudou o Nosso Jeito de Construir

Houve um momento — acho que foi no fim de agosto de 2024, talvez três semanas depois de termos começado nossa análise aprofundada — em que dois dos meus engenheiros entraram em uma discussão genuína sobre arquitetura. Um queria construir uma abordagem puramente neural: treinar um modelo enorme com telemetria histórica da rede e deixá-lo aprender a física de forma implícita. O outro insistia que o aprendizado implícito não bastava, que era preciso codificar a física diretamente na função de perda do modelo.

Deixei-os discutir por quase uma hora. Não porque eu não tivesse uma opinião, mas porque o próprio argumento cristalizou algo em torno do qual eu vinha rondando havia meses.

O defensor da abordagem exclusivamente neural exibiu resultados de um modelo padrão de aprendizado profundo aplicado ao Fluxo de Potência Ótimo CA (AC Optimal Power Flow) — o problema central de otimização que determina como a energia se move através de uma rede. O modelo era rápido: 52,6 milissegundos para a inferência. Mas quando o submetemos a testes de estresse contra cenários semelhantes ao evento da Virgínia — quedas de carga súbitas e massivas — ele produziu estados que violavam equações básicas de fluxo de potência. Ele "alucinava" estados de rede que não poderiam existir fisicamente. Uma tensão em um barramento que exigiria que a corrente fluísse em uma direção proibida pela topologia da rede.

O defensor da abordagem que prioriza a física então mostrou o que acontece quando você incorpora os resíduos das equações diferenciais parciais que regem o sistema diretamente na função de perda da rede neural. É o que se chama de Rede Neural Informada por Física, ou PINN. O modelo não apenas aprende padrões a partir de dados; ele aprende padrões restringidos pelas leis do eletromagnetismo. Cada previsão que ele faz precisa ser consistente com as Leis de Kirchhoff e com a equação de oscilação para a estabilidade de frequência.

Os resultados foram impressionantes: desvio de 0,64 MW em relação à verdade fundamental (ground truth) contra 0,73 MW do modelo sem restrições, com tempos de inferência abaixo de 50 milissegundos. Mais importante, o modelo fisicamente restringido manteve a viabilidade sob cenários extremos. Ele não conseguia alucinar estados de rede impossíveis porque a física não deixava.

Quando a função de perda da sua IA inclui as leis da física, a alucinação não é apenas improvável — ela é matematicamente penalizada.

Aquela discussão terminou com os dois engenheiros do mesmo lado. E ela se tornou o alicerce daquilo que agora construímos na Veriprajna.

Como Criar uma IA Que Não Consegue Mentir Sobre Física?

A arquitetura que desenvolvemos tem uma estrutura que às vezes descrevo como um "sanduíche" — embora isso subestime a sua precisão.

A camada superior é neural. Ela cuida da percepção: ler dados não estruturados, extrair intenção, reconhecer entidades. Se uma solicitação de interconexão de grande carga chega como um requerimento em PDF de 200 páginas, essa camada o analisa e o converte em parâmetros estruturados. Ela é boa nisso. Os LLMs são genuinamente excelentes em tarefas de percepção.

A camada intermediária é simbólica. É aqui que o raciocínio de fato acontece, e ela é inteiramente determinística. Os Grafos de Conhecimento armazenam as relações entre subestações, linhas de transmissão, contratos de data centers e padrões de conformidade da NERC. Regras de negócio codificadas de forma rígida — o que chamamos de Política-como-Código (Policy-as-Code) — validam cada parâmetro extraído em relação à física da rede e aos requisitos regulatórios. Nenhuma dose de engenharia de prompt consegue contornar essa camada. Se uma rampa de carga proposta viola a restrição de contingência N-1 definida na NERC TPL-001, o sistema a sinaliza. Ponto final. Não existe uma configuração de "temperatura" que a torne mais criativa em relação à segurança.

A camada inferior é neural de novo. Ela pega a decisão validada da camada simbólica e a traduz em linguagem natural ou em sinais de controle de máquina. É uma comunicadora, não uma pensadora.

É isso que quero dizer com uma abordagem de "Caixa de Vidro" (Glass Box). Toda decisão tem uma cadeia de citações. Em vez de uma caixa-preta que diz "confie em mim, eu sou uma IA", o nosso sistema diz: "Sinalizei isto porque a taxa de rampa proposta excede o limite definido na Seção 4.2 do acordo de interconexão, cruzado com a telemetria em tempo real dos dados de PMU na Subestação 7."

As pessoas sempre contestam isso. "A camada simbólica não é só um conjunto de regras? Você não está apenas construindo um sistema especialista com passos a mais?" Não. As camadas neurais cuidam das partes que as regras não conseguem — percepção de dados não estruturados, reconhecimento de padrões em milhares de variáveis, detecção de anomalias em tempo real em fluxos de sensores ruidosos. A camada simbólica cuida das partes que as redes neurais não conseguem — conformidade garantida, viabilidade física, auditabilidade. Nenhuma delas basta sozinha. Juntas, elas cobrem os pontos cegos uma da outra.

Do Que a Rede Realmente Precisa Neste Momento?

A resposta da NERC ao incidente da Virgínia foi rápida e, é preciso reconhecer, substancial. Ela criou a Força-Tarefa de Grandes Cargas (Large Loads Task Force) em agosto de 2024 e emitiu um Alerta de Recomendação ao Setor de Nível 2 em setembro, instando as concessionárias a reformular como modelam, monitoram e se comunicam com as grandes cargas.

O problema central que a NERC identificou é o que eu chamaria de invisibilidade. Os operadores de rede não conseguiam enxergar dentro daqueles 60 data centers. Não tinham telemetria em tempo real sobre a lógica de contagem dos UPS, nenhuma visibilidade de quando as instalações estavam se aproximando dos seus limiares de desconexão. Os data centers eram caixas-pretas puxando gigawatts de um sistema que os tratava como casas superdimensionadas.

Um avanço técnico que me dá esperança genuína é o modelo PERC1 — Power Electronic Ceasing and Reconnecting (Cessação e Reconexão por Eletrônica de Potência). Os modelos de carga tradicionais foram projetados para motores e aquecedores, dispositivos que desaceleram gradualmente durante uma falta. Os data centers não desaceleram. Eles cessam totalmente o consumo, em milissegundos, por meio de chaveamento eletrônico de potência. O PERC1 é o primeiro modelo projetado especificamente para representar esse comportamento, e é fundamental para qualquer simulação que queira prever o que realmente acontece durante eventos como o de 10 de julho.

Mas modelos sozinhos não bastam. Os data centers precisam se tornar participantes ativos na estabilidade da rede, não consumidores passivos que se desconectam quando as coisas ficam incômodas.

É aqui que o OpenADR 3.0 — o padrão modernizado de resposta automática à demanda — se torna essencial. A versão mais antiga usava um sistema de mensagens XML desajeitado, com tempos de resposta abaixo de um minuto. A versão 3.0 usa APIs RESTful e JSON com latência abaixo de um segundo. Essa é a diferença entre "por favor, reduza a carga em algum momento nos próximos 60 segundos" e "transfira 50 MW de processamento em lote para a sua instalação no Oregon agora mesmo."

Se os data centers reduzissem apenas 0,5% do seu consumo anual de eletricidade durante os períodos de pico, 100 GW de nova capacidade poderiam se conectar à rede sem a construção de uma única nova usina a gás.

A iniciativa DCFlex da EPRI já está recrutando data centers para programas voluntários de resposta à demanda construídos sobre essa premissa. A conta é convincente, mas a execução exige uma IA capaz de deslocar dinamicamente cargas de trabalho computacionais entre regiões geográficas, respeitando tanto as restrições da rede quanto os acordos de nível de serviço. Essa camada de orquestração — rápida o bastante para uma resposta abaixo de um segundo, inteligente o bastante para respeitar a física, auditável o bastante para os reguladores — é exatamente o que a nossa arquitetura baseada em PINN foi projetada para oferecer.

Para o detalhamento técnico completo de como integramos as PINNs à pilha neuro-simbólica, veja nosso artigo de pesquisa sobre o distúrbio da Virgínia.

Por Que o Problema da Virgínia É o Problema de Todos

Preciso falar sobre o custo humano, porque a comunidade técnica tem uma tendência a discutir a estabilidade da rede de forma abstrata.

A capacidade de data centers da Dominion Energy deve crescer dos 4 GW de hoje para quase 40 GW em capacidade contratada. A Virgínia concedeu US$ 2,7 bilhões em subsídios a operadores de data centers na última década. O estado precisa de US$ 28,3 bilhões em nova infraestrutura de transmissão e de 40% mais capacidade de transmissão para dar conta da carga projetada — um ritmo de expansão que a própria Comissão Conjunta de Auditoria e Revisão Legislativa (Joint Legislative Audit and Review Commission) do estado classifica como "muito difícil de alcançar."

Enquanto isso, os preços regionais de capacidade dispararam 833%. Estima-se que as contas de eletricidade residenciais cheguem a US$ 380 por mês até 2045. Os data centers do Norte da Virgínia consumiram quase 2 bilhões de galões de água para resfriamento em 2023 — o suficiente para abastecer 50.000 pessoas — e dependem de quase 9.000 geradores diesel de reserva que são, como 10 de julho provou, não apenas reservas, mas uma parte central da estratégia operacional.

O Departamento de Energia projeta que, sem uma intervenção significativa, as interrupções poderiam disparar das 2,4 horas por ano de hoje para mais de 430 horas até 2030.

Eu não sou contra os data centers. Minha empresa existe por causa da infraestrutura computacional que essas instalações fornecem. Mas sou profundamente contra a ideia de que podemos continuar escalando o poder de computação da IA enquanto tratamos a rede como um recurso infinito e a própria IA como uma caixa de texto mágica que, de algum modo, vai dar um jeito nisso.

A Constatação das 2 da Manhã

Houve uma noite — acho que foi no início de setembro, no auge da nossa análise — em que eu estava revisando os dados de frequência da PJM do evento de 10 de julho. Eu vinha encarando o pico de 60,047 Hz provavelmente pela centésima vez. E algo se encaixou que eu não havia articulado antes.

Os sistemas UPS dos data centers fizeram exatamente aquilo para que foram projetados. O religamento automático da rede fez exatamente aquilo para que foi projetado. Os operadores da PJM fizeram exatamente aquilo para que foram treinados. Cada ator individual se comportou corretamente. A catástrofe emergiu da interação — da lacuna entre sistemas que nunca foram projetados para conversar entre si.

Esse é o mesmo modo de falha que vejo em implantações corporativas de IA por toda parte. O LLM faz aquilo para que foi projetado — gerar texto plausível. O sistema de recuperação faz aquilo para que foi projetado — encontrar documentos relevantes. A interface de usuário faz aquilo para que foi projetada — apresentar resultados de forma limpa. E o conjunto todo produz uma resposta confiante e bem fundamentada que é fisicamente impossível, juridicamente errada ou financeiramente ruinosa, porque nenhuma camada é responsável pela verdade fundamental.

É esse o problema que estamos resolvendo. Não construir um chatbot melhor. Não envolver um prompt mais esperto em torno do GPT. Construir arquiteturas em que a verdade é estrutural — em que a física não pode ser sobrepujada pela probabilidade, em que a lógica não pode ser alucinada, em que cada saída tem uma cadeia de citações que um regulador, um engenheiro ou um juiz consegue seguir da conclusão de volta até a evidência.

O apagão da Virgínia não foi causado pela falha de um sistema. Foi causado por sistemas que tiveram sucesso de forma independente, de maneiras que produziram uma catástrofe coletiva. É esse o mesmo modo de falha à espreita em cada wrapper de IA implantado em infraestrutura crítica hoje.

Para Onde Isso Vai Daqui em Diante

Vou ser direto sobre o que eu acho que vem por aí.

A era do wrapper de LLM acabou para qualquer coisa que importe. Para gerar posts de blog e resumir reuniões, tudo bem — os wrappers vão persistir e melhorar. Mas para sistemas em que respostas erradas têm consequências físicas — redes elétricas, conformidade financeira, dispositivos médicos, engenharia estrutural — o setor vai se dividir. Um caminho leva a cadeias de prompt cada vez mais elaboradas envolvendo modelos probabilísticos, com "guardrails" que são, elas próprias, probabilísticas. O outro leva a arquiteturas híbridas em que a percepção neural alimenta um raciocínio determinístico, restringido pelas leis reais que regem o domínio.

Eu sei sobre qual caminho estou construindo. A rede da Virgínia não precisava de uma IA mais eloquente. Ela precisava de uma IA que entendesse, no nível das equações diferenciais, o que acontece quando 1.500 MW de carga desaparecem em 82 segundos. Precisava de uma IA capaz de enxergar a lógica de contagem naqueles sistemas UPS avançando rumo à desconexão e de intervir — não com uma sugestão, mas com um sinal de controle verificado pela física, despachado em menos de um milissegundo.

A confiabilidade do fornecimento de energia é agora uma variável de nível de diretoria. Da próxima vez que a rede piscar no Norte da Virgínia — e ela vai piscar, porque a carga está crescendo dez vezes mais rápido do que a capacidade de transmissão — a pergunta não será se a IA esteve envolvida. Será se a IA entendeu a física, ou apenas previu o próximo token.