60座数据中心一夜之间从电网上消失——这场事故让我看清了AI的极限
我当时正和一位公用事业公司的高管通话，他说了一句话，让我瞬间僵住。
"那天晚上，电网并没有失去电力。它失去的是需求。而对此，没有人手里握着应对预案。"
他说的是2024年7月10日——那天傍晚，弗吉尼亚州费尔法克斯（Fairfax）的一道闪电，触发了60座数据中心同时脱网，在不到两分钟内蒸发掉1,500兆瓦的电力需求。这大约相当于整个波士顿的全部用电量，在你刷牙的工夫里就消失殆尽。北美电力可靠性公司（NERC，这个为4亿人维持照明供电的联邦机构）后来称之为一场"可靠性的五级火警"。
我记得当时我坐在那里想：这正是我一直在警告的那种事件。不是发电故障。不是网络攻击。而是一连串自动化保护逻辑的连锁反应，每一个系统都精确地执行了它被指令去做的事，最终共同酿成了一个无人设计过的结果。电网崩溃并不是因为哪里出了错。它崩溃恰恰是因为一切都运转得正确——只是在错误的时间、以错误的顺序、在无人建模过的规模上。
这就是那天晚上究竟发生了什么的故事，以及为什么当前这一波AI"解决方案"本会让当时的局面变得更糟，还有我在Veriprajna的团队一直在打造的替代之道。
当闪电击中全球互联网之都时，会发生什么？
北弗吉尼亚承载着全球70%的互联网流量。把它称为数字经济的骨干并不是一种比喻——它字面意义上就是如此。而在那个七月的傍晚，Dominion Energy公司Ox-Possum 230千伏输电线路上的一个避雷器发生故障，造成了一处永久性故障。
有意思的地方就在这里。电网的保护系统尽职地完成了本职工作。它们试图对线路自动重合闸——这是一套标准程序，就像把断路器重新合上，看看故障是否已经消除。系统在82秒内尝试了六次，线路两端各尝试三次。每一次尝试都造成了一次短暂的电压跌落。
这些跌落单独来看都不危险。每一次都保持在电网标准视为正常的±10%范围之内。但那些数据中心内部的不间断电源（UPS）系统一直在计数。它们被写入了一条简单的规则：如果在一分钟内检测到三次电压扰动，就假定电网正在失效，并切换到柴油备用发电机。不惜一切代价保护服务器。
于是UPS系统数到了三，60座设施同时宣告：我们退出了。
一条输电线路上的一次常规故障，导致1,500兆瓦负荷在不到82秒内消失——比典型的电厂故障快五十倍。
PJM Interconnection的电网调度员——该机构为横跨13个州的6,500万人管理电力——突然多出了海量的过剩发电量。频率飙升至60.047赫兹。在正常的停电事故中，频率会下降，因为你损失了一台发电机。而在这里，频率却飙升了，因为发电机仍在旋转，负荷却已消失。调度员不得不手忙脚乱地去做与他们所受训练完全相反的事——他们手动将宾夕法尼亚州燃气电厂的出力下调了600兆瓦，又将弗吉尼亚州一台核电机组的出力下调了300兆瓦，只为防止系统让变压器过载。
那么数据中心呢？它们靠柴油发电运行了好几个小时。切换到备用电源是自动的，重新并入电网却不是。它需要人工干预，一座设施接一座设施地进行，在技术人员协调重新并网的同时，烧掉了数千加仑柴油。
我一次次回想起这件事的荒谬之处。地球上最尖端的计算基础设施——承载着据说将变革每一个行业的那些模型——竟然被一个连"同一故障造成的六次跌落"和"六次各自独立的紧急情况"都分不清的计数算法给弄下了线。
为什么我早就知道那群"直接用GPT就行"的人会把这件事搞砸
在这起事件登上行业媒体大约一周后，我收到了一位一直关注我们工作的投资人的邮件。他的建议，大意是这样："你们难道不能直接用电网数据微调一个大语言模型，让它来预测这类连锁反应吗？"
在最终敲定那个礼貌的版本之前，我起草了三种不同的回复。但下面才是我真正想说的话：
不能。而你会这样问，恰恰告诉了我这种误解到底有多深。
大语言模型是概率引擎。它们预测序列中下一个最可能出现的词元（token）。它们优化的目标是看似合理——听起来对的东西——而不是真实性——真正对的东西。当你在生成营销文案时，这种区别只是学术层面的、无关紧要的区分。而当你在管理一个频率必须与目标值的偏差保持在0.036赫兹以内、否则变压器就会开始过热的系统时，这种区别就是灾难性的。
弗吉尼亚事件之后，我和我的团队花了数周研究这条失效链，而我们一次又一次得出同一个结论：关键基础设施领域主流的AI做法——也就是我所说的"套壳"架构，即在GPT-4或Claude之上披一层薄薄的软件，然后就称之为解决方案——在这里会毫无用处。甚至可能比毫无用处还要糟糕。
想想一个标准的检索增强生成（RAG）系统会如何处理电网数据。它把一切都当作文本片段。它或许能检索到一份关于Ox-Possum线路的文档，再检索到另一份关于UPS穿越标准的文档，但它根本没有"变电站A处的电压跌落会在毫秒内以电磁方式传播到变电站B"这样的概念。它无法就基尔霍夫定律进行推理。它不知道摇摆方程是什么。它会生成一个自信满满、格式工整、却可能在物理上根本不可能成立的答案。
我们在另一个领域见过这种模式的上演。2023年，《体育画报》（Sports Illustrated）部署了一套套壳架构，凭空生成了完整的记者人设和文章——看似可信、行文精致，却完全是杜撰的。股价下跌了27%。对一家媒体公司来说，这是一桩丑闻。而对一个电网运营商来说，负荷均衡算法中同等的"幻觉"，弄垮的不是股价。它弄垮的是电网。
我曾深入地写过这种失效模式，就在我们对弗吉尼亚扰动事件的交互式分析中——在那篇分析里，我们梳理出了从闪电击中到柴油发电机的完整连锁反应过程。
那场改变了我们构建方式的争论
有那么一个时刻——我记得大概是2024年8月下旬，也许是我们开始深入分析大约三周之后——我的两名工程师就架构问题爆发了一场真正的争论。一个人想做一套纯神经网络的方案：用历史电网遥测数据训练一个庞大的模型，让它隐式地学会其中的物理规律。另一个人则坚持认为隐式学习还不够，你必须编码物理规律，直接将其嵌入模型的损失函数之中。
我任由他们争论了将近一个小时。不是因为我没有自己的看法，而是因为这场争论本身，让某个我已经盘桓了数月的想法终于凝聚成形。
那位纯神经网络的拥护者调出了一个标准深度学习模型应用于交流最优潮流（AC Optimal Power Flow）的结果——这是决定电力如何在电网中流动的核心优化问题。这个模型很快：推理仅需52.6毫秒。但当我们用类似弗吉尼亚事件的场景——突然、大规模的负荷骤降——对它进行压力测试时，它产生了违反基本潮流方程的状态。它"幻想"出了物理上不可能存在的电网状态。比如某条母线上的电压，会要求电流朝着网络拓扑所禁止的方向流动。
而那位物理优先的拥护者接着展示了：当你把支配性偏微分方程的残差直接嵌入神经网络的损失函数时，会发生什么。这就是所谓的物理信息神经网络（Physics-Informed Neural Network，简称PINN）。这个模型不只是从数据中学习模式；它学到的模式是受电磁定律约束的。它做出的每一个预测，都必须与基尔霍夫定律以及关乎频率稳定性的摇摆方程保持一致。
结果非常惊人：与真实基准的偏差为0.64兆瓦，而无约束模型为0.73兆瓦，且推理时间不到50毫秒。更重要的是，这个受物理约束的模型在极端场景下依然保持了可行性。它无法幻想出不可能的电网状态，因为物理规律不允许它这么做。
当你的AI的损失函数把物理定律纳入其中时，幻觉就不仅仅是不太可能发生——它在数学上会受到惩罚。
那场争论以两位工程师站到同一边而告终。而它也成了我们如今在Veriprajna所构建之物的基石。
如何打造一个无法在物理问题上撒谎的AI？
我们开发的这套架构，其结构我有时会形容为一个"三明治"——尽管这个说法低估了它的精密程度。
顶层是神经网络层。它负责感知：读取非结构化数据、提取意图、识别实体。如果一份大负荷并网申请以一份200页的PDF文件形式送来，这一层会把它解析成结构化的参数。它很擅长这件事。大语言模型在感知类任务上确实表现出色。
中间层是符号层。真正的推理就发生在这里，而且它是完全确定性的。知识图谱存储着变电站、输电线路、数据中心合同以及NERC合规标准之间的关系。硬编码的业务规则——我们称之为"策略即代码"（Policy-as-Code）——会对照电网物理规律和监管要求，逐一验证每一个被提取出来的参数。再多的提示工程也无法绕过这一层。如果某个拟议的负荷爬坡违反了NERC TPL-001标准中定义的N-1故障约束，系统就会将其标记出来。就这么简单，没有商量。不存在什么能让它在安全问题上变得更"有创意"的"温度"（temperature）参数。
底层又是神经网络层。它接过符号层已经过验证的决策，把它翻译成自然语言或机器控制信号。它是一个传达者，而不是一个思考者。
这就是我所说的"玻璃盒"方法的含义。每一个决策都有一条引用链。我们的系统不是一个说着"相信我，我是AI"的黑盒子，而是会说："我之所以标记这一项，是因为拟议的爬坡速率超过了并网协议第4.2节中定义的阈值，并已与7号变电站PMU数据的实时遥测进行了交叉核对。"
人们总是对此提出反驳。"符号层不就是一堆规则吗？你们不就是在多绕几道弯地搭一个专家系统吗？"不是的。神经网络层处理的是规则做不到的部分——对非结构化数据的感知、跨越成千上万个变量的模式识别、在充满噪声的传感器数据流中进行实时异常检测。符号层处理的是神经网络做不到的部分——有保证的合规性、物理可行性、可审计性。任何一方单独都不够用。合在一起，它们才能覆盖彼此的盲区。
电网眼下究竟需要什么？
NERC对弗吉尼亚事件的回应迅速，而且——值得肯定的是——很有实质内容。他们于2024年8月成立了大负荷工作组，并在9月发布了一份二级行业建议警报，敦促各家公用事业公司彻底改革它们对大负荷进行建模、监测与沟通的方式。
NERC识别出的核心问题，正是我所说的不可见性。电网调度员看不到那60座数据中心内部的情况。他们没有关于UPS计数逻辑的实时遥测数据，也无从知晓这些设施何时正在逼近它们的脱网阈值。这些数据中心就是一个个黑盒子，从一个把它们当成超大号住宅来对待的系统里抽走着数吉瓦的电力。
一项让我真正抱有希望的技术进展，是PERC1模型——即电力电子停止与重连（Power Electronic Ceasing and Reconnecting）模型。传统的负荷模型是为电动机和加热器设计的，这类设备在故障期间会逐渐减速。数据中心不会减速。它们会通过电力电子开关，在几毫秒内彻底停止耗电。PERC1是第一个专门为刻画这种行为而设计的模型，对于任何想要预测7月10日这类事件中真正会发生什么的仿真而言，它都至关重要。
但仅有模型还不够。数据中心需要成为主动的参与者，融入电网稳定的进程之中，而不是一到情况不妙就脱网走人的被动消费者。
正是在这里，OpenADR 3.0——这套经过现代化改造的自动需求响应标准——变得不可或缺。旧版本使用笨重的XML消息传递，响应时间在一分钟以内。3.0版本则使用RESTful API和JSON，延迟低于一秒。这就是"请在接下来60秒内的某个时刻降低负荷"和"立刻把50兆瓦的批处理任务转移到你在俄勒冈州的设施上"之间的区别。
如果数据中心在高峰时段仅仅削减其年度用电量的0.5%，那么就能有100吉瓦的新增容量并入电网，而无需新建哪怕一座燃气电厂。
EPRI的DCFlex计划已经在招募数据中心加入基于这一前提构建的自愿需求响应项目。这笔账算下来很有说服力，但要执行它，就需要一种AI，它能在各个地理区域之间动态地调度计算工作负载，同时兼顾电网约束和服务级别协议。这个编排层——快到足以实现亚秒级响应，聪明到足以尊重物理规律，可审计到足以满足监管机构——正是我们基于PINN的架构所要提供的东西。
关于我们如何将PINN与神经-符号技术栈整合的完整技术剖析，请参见我们关于弗吉尼亚扰动事件的研究论文。
为什么弗吉尼亚的问题就是所有人的问题
我需要谈一谈人的代价，因为技术圈有一种倾向，总是抽象地讨论电网稳定性。
预计Dominion Energy的数据中心容量将从如今的4吉瓦，增长到已签约容量近40吉瓦。过去十年间，弗吉尼亚州已向数据中心运营商提供了27亿美元的补贴。为应对预计的负荷，该州需要283亿美元的新增输电基础设施，以及多出40%的输电容量——而这样的建设速度，就连该州自己的联合立法审计与审查委员会都称之为"极难实现"。
与此同时，区域容量价格飙升了833%。预计到2045年，居民电费将高达每月380美元。2023年，北弗吉尼亚的数据中心为冷却消耗了近20亿加仑水——足以供应5万人的用水——并依赖着近9,000台柴油备用发电机，而正如7月10日所证明的，这些发电机不仅仅是备用，更是运营策略的核心组成部分。
美国能源部预测，如果不进行重大干预，停电时间可能会从如今的每年2.4小时，飙升至2030年的超过430小时。
我并不反对数据中心。我的公司之所以能存在，正是因为这些设施所提供的计算基础设施。但我强烈反对这样一种观念：我们可以一边不断扩张AI算力，一边把电网当作取之不尽的资源，还把AI本身当成一个总能自己想出办法来的神奇文字框。
凌晨两点的顿悟
有那么一个夜晚——我记得是9月初，那时我们的分析已经进行得很深入了——我正在查看7月10日事件中PJM的频率数据。那个60.047赫兹的尖峰，我大概已经盯着看了第一百遍。就在那时，某个我此前从未清晰表达过的念头，忽然一下子想通了。
数据中心的UPS系统所做的，恰恰正是它们被设计去做的。电网的自动重合闸所做的，恰恰正是它被设计去做的。PJM的调度员所做的，恰恰正是他们所受训练要做的。每一个单独的行动者，其行为都是正确的。这场灾难，源自于其中的相互作用——源自于那些从来就不是为彼此对话而设计的系统之间的缝隙。
这与我在世界各地企业的AI部署中所看到的，是同一种失效模式。大语言模型做着它被设计去做的事——生成看似可信的文本。检索系统做着它被设计去做的事——找到相关的文档。用户界面做着它被设计去做的事——把结果干净利落地呈现出来。而整个系统给出的，是一个自信满满、引据充分的答案，可这个答案却在物理上不可能、在法律上错误，或在财务上足以造成毁灭性损失，因为没有任何一层负责保障真实基准。
这正是我们要解决的问题。不是打造一个更好的聊天机器人。不是在GPT外面套上一个更聪明的提示词。而是构建这样一种架构：在其中，真相是结构性的——物理规律无法被概率所推翻，逻辑无法被凭空幻想出来，每一个输出都带有一条引用链，让监管者、工程师或法官都能从结论一路回溯到证据。
弗吉尼亚的停电并不是由某个系统的失效引起的。它是由多个系统各自独立地成功、并以某种方式共同酿成集体灾难而引起的。而这，正是潜伏在如今每一个被部署于关键基础设施的AI套壳方案之中的、同一种失效模式。
接下来将走向何方
关于我认为即将到来的一切，我就直说了。
对于任何真正重要的事情而言，大语言模型套壳的时代已经结束了。用来生成博客文章、总结会议纪要，那没问题——套壳方案会继续存在并不断改进。但对于那些错误答案会带来物理后果的系统——电网、金融合规、医疗器械、结构工程——这个行业将会分化。一条路通向越来越精巧、缠绕在概率模型之外的提示词链，而它所配备的"护栏"本身也是概率性的。另一条路则通向混合式架构，在其中，神经网络的感知为确定性的推理提供输入，并受到支配该领域的真实定律的约束。
我知道自己正在哪一条路上建设。弗吉尼亚的电网需要的，不是一个更能言善辩的AI。它需要的是一个能在微分方程层面上理解"当1,500兆瓦负荷在82秒内消失时会发生什么"的AI。它需要的是一个能够看见那些UPS系统中步步逼近脱网的计数逻辑、并加以干预的AI——干预的方式不是给出一条建议，而是发出一个经过物理验证、在不到一毫秒内就下达完毕的控制信号。
电力可靠性如今已是一个董事会层面的变量。下一次北弗吉尼亚的电网出现闪断时——而它一定会，因为负荷的增长速度比输电容量快了十倍——问题将不再是AI有没有参与其中。问题将是：这个AI究竟是理解了物理规律，还是仅仅预测了下一个词元。
