六千万人在五秒内失去电力——而 AI 行业什么也没学到
我当时正在和一位潜在合作伙伴通话，消息就在那一刻传来。2025年4月28日。会议里有人在聊天框中甩了一个链接：西班牙和葡萄牙彻底陷入黑暗。六千万人失去电力。红绿灯熄灭。医院靠备用发电机运转。列车停在隧道里。
我的第一反应——说来并不光彩——是松了一口气。当然，并不是为它的发生而庆幸。而是因为我们警告了两年的那件事，终于再也无法被忽视。我们在 Veriprajna 之所以坚持构建确定性 AI 系统，正是因为我们相信：概率型模型——也就是大多数 AI 公司在兜售的那一类——终将在关键基础设施中酿成灾难性的失败。而现在，它真的来了：五秒钟内损失 15 吉瓦发电容量。这不是网络攻击。也不是自然灾害。而是一连串控制失效的级联——更好的 AI 本可以阻止它。
我的第二反应是愤怒。因为在几个小时之内，一种说法就已经固化成型：“可再生能源导致了这次大停电。”它到处都是。而它是错的。
4月28日那天，究竟是什么让电网瘫痪？
让我把发生的事情说清楚，因为细节远比标题重要。
那天上午，可再生能源发电量占到西班牙用电量的 78%。光伏和风电把自己的活儿干得非常漂亮。但关于电网，大多数人并不明白一点：发电只是问题的一半。另一半是管理无功功率——那种看不见的力量，它让电压在数千公里的输电线路上保持稳定。
把它想象成管道系统里的水压。你可以有充足的水（有功功率），但如果压力（电压）在错误的位置骤降或骤升，管道就会爆裂。无功功率正是调节这种压力的东西。西班牙的法规——具体来说是一项名为“7.4 号运行规程”（Operating Procedure 7.4）的规定——要求每一座电厂都必须动态地吸收或注入无功功率，以维持电压稳定。每座电厂必须有能力提供至少相当于其最大功率 30% 的无功支撑。
4月28日，电网从中午前后开始出现异常振荡——0.21 Hz 和 0.63 Hz 的次同步振荡。输电系统运营商试图通过把更多线路合环、并将 HVDC 联络线切换到定功率模式来抑制它们。这些都是合理的操作。但它们带来了一个意料之外的后果：电压开始攀升。
紧接着就是那个致命的失效：多座发电设施没有按要求吸收无功功率。它们的响应太慢，或者根本没有响应。有一座大型设施甚至真的向一个本已过压的电网注入了无功功率——这与物理规律所要求的恰恰相反。这就像往一场你本该扑灭的大火上浇汽油。
12:33 CEST，级联彻底完成。五秒钟内 15 吉瓦消失。整个伊比利亚半岛全面停电，最长达十小时。数人因此丧生。
无人注视的那道隐形缺口
事故后调查中的这个细节，曾让我夜不能寐。
输电系统运营商全程都盯着他们的屏幕。在 400 千伏这一层级——也就是高压主干网——一切看起来都很正常。电压读数是 418 kV，稳稳落在限值之内。但在汇集层变电站，也就是光伏和风电场以 220 kV 实际接入电网的地方，电压已经冲到 242 kV——越过了触发自动跳闸的保护定值。
这些电压等级之间的变压器有载分接开关调节得不够快。于是 TSO 的监控面板一片绿色，而真实的电网早已身陷危机。我开始把这称为可观测性缺口：运营商所能看到的，与电网实际正在做的之间的那段距离。
伊比利亚大停电不是发电的失败，而是智能的失败——是控制室所能看到的，与电网实际正在做的之间的那道鸿沟。
当我把这份分析呈给团队时，我们的一位工程师 Priya 说了一句让我一直记着的话：“这就像医生盯着你的心率，而真正要你命的是血压。他们监测的是错的生命体征。”她说得完全正确。而这恰恰是更好的 AI 本该阻止的那种失败。
为什么 AI 没能阻止这一切？
在这一点上，我对自己所在的行业感到由衷的沮丧。
兜售“智能电网”解决方案的 AI 公司呈爆炸式涌现。它们中的大多数就是我们所说的包装型应用——建立在 GPT-4 或 Claude 这类大语言模型之上的一层薄薄的界面。你把电网数据喂进去，模型处理一遍，你拿回一份分析。听起来很高级。但对这个问题而言，它危险地不够用。
大停电发生前大约一年，有一位投资人对我说，我们的电网监测工作“直接用 GPT 加一个微调层”就行了。我试着解释为什么那样行不通，他看我的眼神就像我在故意找茬。“大家都在用 LLM，”他说，“你为什么要把事情搞得这么复杂？”
原因在这里。概率型 AI 模型一旦用于关键基础设施，就有三个致命弱点：
它们会对物理状态产生幻觉。大语言模型优化的是“听起来最像那么回事”的输出。在电网危机中，它可能会报告“电压水平正在趋于稳定”，因为在它的训练数据里，振荡事件通常就是这样收场的。它没有任何机制去对照真实的物理规律来验证这一点。“很可能”和“正确”在它眼里是同一件事。
它们太慢了。包装型 AI 要把数据经由云端 API 中转。往返延迟：500 毫秒到数秒。而伊比利亚的级联在五秒内就完成了。等一个云端模型跑完推理，大停电早已无可挽回。我们在 Veriprajna 构建的边缘原生系统，推理耗时低于 0.7 毫秒——快到足以在级联完成之前就介入。
它们无法被验证。你无法从形式上证明一个 LLM 会遵守基尔霍夫电压定律或摇摆方程。你无法审计它的推理过程。你无法保证它不会在过压事件中建议注入无功功率——而这正是 4 月 28 日某位人类操作员犯下的错误。关于这些失效模式更深入的技术分析，我已在这里做过详尽阐述：我们关于确定性电网免疫力的研究论文。
在关键基础设施领域，“大概正确”与“可证明正确”之间的差别，是用人命来衡量的。
“确定性免疫力”究竟意味着什么？
大停电之后，我的团队花了数周时间，把每一份公开报告都剖析了一遍——来自 ENTSO-E 的、来自 Red Eléctrica 的、来自独立研究者的。我们梳理出了完整的失效链条。而我们一次次回到同一个问题：什么样的 AI 架构，才能让这场级联在物理上不可能发生？
不是不太可能。不是概率很低。而是根本不可能。
这就是我们所说的确定性免疫力。而要构建它，就必须放弃“一种 AI 可以包打天下”的想法。
我们开发的架构分为多个层次，每一层解决问题的不同部分。我不会在这里深入数学细节——你可以去看我们白皮书的交互版本，那里有完整的技术框架——但其核心思想出人意料地直观。
教神经网络遵守物理定律
标准的神经网络从数据中学习模式。给它看足够多的电网行为样本，它就能学会预测接下来会发生什么。但它对事情为什么会发生毫无概念。它不知道电压和无功功率是由基本的电磁定律联系在一起的。它只知道：当输入模式 A 出现时，输出模式 B 通常会跟着出现。
物理信息神经网络——PINN——则不同。我们把真正支配电力系统动态的微分方程直接嵌入训练过程之中。神经网络不只是从历史数据中学习；它的学习始终受制于一个约束：其输出必须满足物理定律。
这在实践中意味着什么？在伊比利亚事件中，0.63 Hz 的次同步振荡本是一个预警信号，却被传统控制器当作噪声。而基于 PINN 的控制器会把这些振荡识别为对稳定性方程的动态违背，并主动提供阻尼——我们的仿真显示，其响应速度最高可达87 倍于传统优化方法的水平。这并不是因为神经网络在数学运算上更快，而是因为它本来就懂得这些数学。物理规律早已烙进了它的架构之中。
我还记得我们第一次在仿真中把它跑通的那个下午。此前的几周，我们一直在跟训练稳定性搏斗——物理约束总是和数据驱动的学习相互掣肘。我们的机器学习负责人出身于纯深度学习背景，他一直怀疑这些约束到底是帮忙还是添乱。然后我们把伊比利亚场景送进了训练好的模型。PINN 在中午 12:00 就捕捉到了振荡模式——比真实级联的发生早了三十三分钟。他就那样盯着屏幕，说了一句：“好吧。我现在明白了。”
拦住愚蠢决策的那层“三明治”
物理信息推理是第一层。第二层是我们所称的神经-符号三明治——正是这一层，本可以直接阻止 4 月 28 日那个最离谱的失效。
还记得那座在过压事件中向电网注入了无功功率的电厂吗？之所以会发生这种事，是因为这座电厂的控制系统——无论是自动执行的还是人工指挥的——下达了一条违反 7.4 号运行规程的指令。这条指令在物理上是可以执行的，于是它就被执行了。电网没有任何免疫系统去拒绝它。
在我们的架构中，一个符号逻辑层像宪法护栏一样包裹在神经网络周围。我们把整部 P.O. 7.4 法规——以及任何其他适用的电网规范——编码进一种形式化的领域专用语言。神经网络提出动作。符号层在每一个被提议的动作抵达物理设备之前，都用硬性规则对它进行检查。
如果电压高于最大阈值且仍在上升，而神经层却建议注入无功功率——无论出于什么理由，无论它的预测有多自信——符号层都会把它拦下。不是发一条警告。不是给一个概率分数。它在物理上就无法通过。这套系统对待法规合规的方式，就像一座桥对待重力：不是一条指导原则，而是一个不可违反的约束。
神经-符号电网控制器不会警告你别做出糟糕的决策。它让糟糕的决策在物理上根本无法执行。
这就是我说的超越“无限自由谬误”——也就是那种认为 AI 越灵活就越好的假设。在关键基础设施中，你要的是更少的自由，而不是更多。你要的是一种在硬性边界之内极其灵活、在边界之上绝对刚性的 AI。
为什么智能必须驻留在边缘？
每次我讲这项工作，都会有人提出一个很实际的问题：计算究竟发生在哪里？
让伊比利亚电网走向厄运的那道可观测性缺口之所以存在，是因为智能被集中化了。TSO 的控制室监视的是 400 kV 主干网。而 220 kV 的汇集层变电站——真正的危机正在那里酝酿——基本上处于盲飞状态。来自这些变电站的数据被汇总、平均，再以慢到根本抓不住五秒级联的周期上报。
我们的神经电网控制器是安装在汇集侧变压器本体上的边缘计算设备。它们进行高分辨率的同步波形测量，每 100 毫秒运行一次连续优化循环，并下发逆变器指令，把本地电压稳定维持在 ±0.02 标幺值以内。它们不等控制室发现问题。它们不把数据发到云端 API 再等回复。它们就地行动，以物理所要求的速度行动。
在我们做边缘硬件测试时曾有那么一刻——那是一个周四的深夜，那种下午两点开始、到午夜才结束的测试——我们意识到，原型机检测到模拟电压异常的速度，比监控系统把它们显示出来的速度还快。异常在面板刷新之前就已经被纠正了。我们的一位硬件工程师笑着说：“我们刚刚让控制室变成多余的了。”他是在开玩笑。大部分是。
如果电网终究还是黑了，会怎么样？
即便有了预防，你仍然需要恢复。伊比利亚电网花了最多 24 小时才完全恢复——那是一个痛苦的手工过程：重启发电机组、小心翼翼地重新接入负荷孤岛、并在各个区域之间同步频率。
我们用多智能体强化学习来实现电网的自动恢复。可以把它想象成一支 AI 智能体团队，每个智能体管理一个本地电力孤岛，再由更高层级的智能体协调同步。在 2025 年的恢复过程中，摩洛哥提供了 900 MW，法国贡献了 2 GW 的支援电力。但要把这些电力按正确的顺序送到正确的地方，同时不引发二次崩溃，就需要人类操作员在极端压力下做出数百个连续决策。
我们的仿真表明，在同一套确定性框架内运行的自主智能体——物理信息驱动、受符号约束——可以把 24 小时的恢复缩短到大约四小时。不是因为它们比人类操作员更聪明，而是因为它们更快、更协调，并且不可能犯下那种在危机中不断叠加放大的恐慌性错误。
这套东西如何经得起监管审视？
人们经常这样问我，而这是个合理的问题。《欧盟人工智能法案》（EU AI Act）把电网控制归类为关键基础设施，这意味着任何在这一领域运行的 AI 系统，都要面对严格的透明度与可解释性要求。而这正是包装型 LLM 遭遇的最根本问题：它们根本无法解释自己为什么做出某个特定的预测。数学上就不是那么运作的。
我们的神经-符号架构会为每一次干预生成完整的审计轨迹。不是事后的合理化叙述——而是一条真实的决策追踪：
神经层检测到 0.63 Hz 次同步振荡。符号层识别出一处 P.O. 7.4 违规：超出 435 kV 的动态电压限值。符号层强制执行按最大容量 30% 进行的无功功率吸收。电压稳定在 418 kV。汇集侧保护跳闸被阻止。
这条链条上的每一个环节都是可检查、可审计、在法律上可辩护的。这不是锦上添花。伊比利亚大停电之后，全欧洲的监管机构正在重写电网规范。能在未来十年监管收紧中存活下来的系统，将是那些能够证明——而不只是声称——自己的 AI 遵守规则的系统。
没人愿意问的那个问题
关于业界对伊比利亚大停电的反应，最让我不安的是这一点。
几周之内，话题就翻篇了。AI 公司回去继续卖它们的包装产品。电网运营商修补了最显眼的那些漏洞。可再生能源与化石能源之争消耗掉了所有的氧气。而那个根本性的架构问题——我们正在用看不见、想不清、也来不及行动的控制范式来管理 21 世纪的能源系统——依旧无人问津。
六千万人失去电力。数人丧生。经济损失以十亿计。而其根本原因并不是什么反常事件。它是一个可预见的后果——源于那些早已为人所知的架构弱点。次同步振荡此前就被观测到过。无功功率合规方面的缺口早有记录在案。输电层与汇集层监测之间的可观测性缺口，在学术文献中也早已被充分理解。
伊比利亚大停电不是一只黑天鹅。它是一头灰犀牛——一个人人都看着它冲过来、却没有人去阻止的高概率、高冲击威胁。
我们知道。整个行业都知道。可我们还是造出了根本应付不了它的系统。
这不是可再生能源的问题
我想把这一点说得绝对清楚，因为错误信息至今仍在流传。
可再生能源并没有导致伊比利亚大停电。4 月 28 日 78% 的可再生能源渗透率确实降低了系统惯量，使电网对扰动更加敏感——这是事实。但敏感不等于因果。真正的原因，是发电设施未能提供法律要求它们提供的无功功率支撑。原因是控制系统太慢、太笨，无法实时管理电压动态。原因是可观测性架构让运营商对汇集层正在展开的危机视而不见。
把这场大停电归咎于可再生能源，就像在一栋楼因地震倒塌时去责怪轻质建材，而真正的问题是没有人遵守建筑规范。这些材料需要不同的工程设计。而这份工程设计没有做。这是人与制度的失败，不是物理的失败。
而这恰恰是确定性 AI 被设计来消除的那类失败——不是靠取代人的判断，而是靠确保：当人的判断失灵时，当传统控制器失灵时，或者当某位电厂操作员在错误的时刻做出错误的决定时，系统本身会强制执行那些让灯继续亮着的法则。
灯会一直亮着，因为我们就是这样把它工程化的
我创办 Veriprajna，是因为我相信：世界上最重要的 AI 系统不会是聊天机器人、图像生成器或推荐引擎。它们会是那些管理着文明所依赖的基础设施的隐形系统——电网、水处理、交通网络、金融清算系统。在这些地方，“大概是对的”等于一纸死刑判决。
伊比利亚大停电以最糟糕的方式印证了这个信念。五秒钟，15 吉瓦。整个半岛陷入黑暗。而 AI 行业的回应，是继续为那些要求确定性的问题兜售概率型包装产品。
未来的电网不会因为我们希望它稳定就稳定。它不会因为某个 LLM 认为它多半应该稳定就稳定。它之所以会稳定，是因为我们把物理定律嵌进了神经架构，把法规编码进了符号逻辑，把智能推到了毫秒至关重要的边缘侧，并且构建了一套系统——它在物理上就无能力做出那些击垮伊比利亚电网的决策。那不是乐观主义。那是工程。
