六千萬人在五秒內斷電——而 AI 產業什麼也沒學到
新聞傳來時，我正在與一位潛在合作夥伴通話。2025 年 4 月 28 日。會議中有人在聊天視窗貼了一則連結：西班牙與葡萄牙全境陷入一片漆黑。六千萬人沒有電。紅綠燈熄滅。醫院靠備用發電機運轉。列車停在隧道裡。
我的第一個念頭——說來並不光彩——是鬆了一口氣。當然，不是為這件事發生而慶幸。而是因為我們警告了兩年的事，終於再也無法被忽視。我們在 Veriprajna 打造確定性 AI 系統，正是因為我們相信機率式模型——也就是多數 AI 公司在賣的那一種——終將在關鍵基礎設施中釀成災難性的失效。而它就這麼發生了：15 吉瓦的發電容量在五秒內消失。不是網路攻擊。不是天災。而是一連串的控制失效連鎖反應——這是更好的 AI 本可以防止的。
我的第二個念頭是憤怒。因為短短數小時內，說法就已經定型：「再生能源導致了這場大停電。」到處都是這種說法。而它是錯的。
4 月 28 日究竟是什麼摧毀了電網？
讓我把發生的事講清楚，因為細節遠比標題重要。
那天早上，再生能源供應了西班牙 78% 的電力。太陽能與風力運作得很漂亮。但關於電網，多數人不了解的是：發電只是問題的一半。另一半是管理無效功率——那股讓電壓在數千公里輸電線路上保持穩定的無形力量。
把它想成管路系統中的水壓。你可以有充足的水（實功率），但如果壓力（電壓）在錯誤的位置下降或飆升，管線就會爆裂。無效功率就是調節那個壓力的東西。西班牙的法規——具體來說是一項稱為「營運程序 7.4」（Operating Procedure 7.4）的規定——要求每一座電廠都必須動態吸收或注入無效功率，以維持電壓穩定。每座電廠都必須有能力提供至少相當於其最大功率 30% 的無效功率支援。
4 月 28 日，電網從中午前後開始出現異常振盪——0.21 Hz 與 0.63 Hz 的次同步振動。輸電系統業者試圖將更多線路併聯成網、並把 HVDC 連結切換至定功率模式來加以抑制。這些都是合理的處置。但它們帶來了一個意料之外的後果：電壓開始攀升。
接著是關鍵的失效：多座發電設施未依規定吸收無效功率。 它們反應太慢，或者根本沒有反應。有一座主要設施甚至注入無效功率到一個早已過壓的電網中——與物理法則的要求正好相反。這就像在你本該撲滅的火上澆汽油。
在 CEST 時間 12:33，連鎖崩潰完成。15 吉瓦在五秒內消失。整個伊比利半島全面停電長達十小時。數人因此喪生。
沒有人在看的那道隱形缺口
以下是事故後調查中，那個讓我夜不能寐的細節。
輸電系統業者全程都盯著他們的螢幕。在 400 千伏（kV）層級——也就是高壓主幹——一切看起來都正常。電壓顯示 418 kV，遠在限值之內。但在集電層變電所，也就是太陽能與風力電場實際以 220 kV 併入電網的地方，電壓早已飆到 242 kV——超過了觸發自動跳脫的保護門檻。
這些電壓層級之間的變壓器分接頭切換器來不及調整。於是 TSO 的監控儀表板一片綠燈，而真實的電網早已陷入危機。我開始把這稱為可觀測性缺口：操作人員所能看見的，與電網實際正在做的事情之間的距離。
伊比利大停電並不是發電的失敗。它是智慧的失敗——是控制室所能看見的，與電網實際正在做的事情之間的落差。
當我向團隊報告這份分析時，我們的一位工程師 Priya 說了一句讓我印象深刻的話：「這就像醫生一直在監測你的心跳，而真正要你命的是血壓。他們盯錯了生命徵象。」完全正確。而這正是更好的 AI 應該要防止的那種失效。
為什麼 AI 沒能阻止這件事？
這正是我對自己所處產業真正感到挫折的地方。
販售「智慧電網」解決方案的 AI 公司大量湧現。它們大多是我們所謂的包裝式應用——建構在 GPT-4 或 Claude 這類大型語言模型之上的一層薄薄介面。你把電網資料餵進去，模型處理它，你就得到分析結果。聽起來很精密。但對這個問題來說，它危險地不足。
大停電發生前大約一年，有位投資人告訴我，我們的電網監控工作「直接用 GPT 加一層微調就好」。我試著解釋為什麼那行不通，他看我的眼神像是覺得我在故意找麻煩。「大家都在用 LLM，」他說。「你為什麼要把事情搞得這麼複雜？」
原因如下。機率式 AI 模型應用在關鍵基礎設施上時，有三個致命弱點：
它們會對物理狀態產生幻覺。 大型語言模型追求的是聽起來最合理的輸出。在電網危機期間，它可能會回報「電壓水準正在趨於穩定」，因為在它的訓練資料裡，振盪事件通常就是這樣收場的。它沒有任何機制可以拿實際的物理去驗證這一點。「很可能」與「正確」被當成同一回事。
它們太慢。 以包裝式應用為基礎的 AI 會把資料透過雲端 API 來回傳輸。往返延遲：500 毫秒到數秒。伊比利的連鎖崩潰在五秒內就完成了。等雲端模型跑完推論，這場大停電早已無法逆轉。我們在 Veriprajna 打造的邊緣原生系統，推論時間低於 0.7 毫秒——快到足以在連鎖崩潰完成之前介入。
它們無法被驗證。 你無法形式化地證明一個 LLM 會遵守克希荷夫電壓定律或搖擺方程式。你無法稽核它的推理過程。你無法保證它不會在過壓事件中建議注入無效功率——那正是 4 月 28 日一位人類操作員所犯下的錯誤。若想更深入了解這些失效模式的技術分析，我曾在我們關於確定性電網免疫力的研究論文中做過詳盡的探討。
在關鍵基礎設施中，「大概正確」與「可證明正確」之間的差距，是以人命來計算的。
「確定性免疫力」究竟是什麼意思？
大停電之後，我的團隊花了好幾週逐一拆解每一份已發表的報告——來自 ENTSO-E、來自 Red Eléctrica、來自獨立研究者。我們把整條失效鏈都描繪了出來。而我們一再回到同一個問題：什麼樣的 AI 架構，能讓這場連鎖崩潰在物理上不可能發生？
不是不太可能。不是機率很低。而是不可能。
這就是我們所說的確定性免疫力。而要打造它，就必須放棄「一種 AI 可以做所有事」這個想法。
我們開發的架構有多個層次，每一層解決問題的不同部分。我不會在這裡深入談數學——你可以參閱我們白皮書的互動版本，以取得完整的技術框架——但其中的核心概念直觀得令人意外。
教神經網路遵守物理法則
標準的神經網路從資料中學習模式。給它們看夠多的電網行為範例，它們就會學會預測接下來會發生什麼。但它們對事情為什麼會發生毫無概念。它們不知道電壓與無效功率是由基本的電磁定律連結在一起的。它們只知道當輸入模式 A 出現時，輸出模式 B 通常會跟著出現。
物理資訊神經網路——PINN——則不同。我們把真正支配電力系統動態的微分方程式直接嵌入訓練過程之中。神經網路不只是從歷史資料中學習；它是在其輸出必須滿足物理定律這項約束之下學習的。
以下是這在實務上的意義。在伊比利事件期間，0.63 Hz 的次同步振盪是一個警訊，而傳統控制器把它解讀為雜訊。以 PINN 為基礎的控制器會辨識出這些振盪違反了穩定性方程式的動態條件，並提供主動阻尼——我們的模擬顯示，反應時間最高可快上 87 倍，相較於傳統的最佳化方法。這不是因為神經網路算數學比較快，而是因為它本來就懂數學。物理已經內建在它的架構裡。
我還記得我們第一次在模擬中把這件事跑通的那個下午。我們為了訓練的穩定性掙扎了好幾週——物理約束一直在跟資料驅動的學習互相角力。我們的機器學習負責人出身純粹的深度學習背景，他懷疑那些約束會幫倒忙而不是幫上忙。然後我們把伊比利情境丟進訓練好的模型裡跑。PINN 在中午 12:00 就抓到了那個振盪模式——比實際的連鎖崩潰早了三十三分鐘。他只是盯著螢幕說：「好吧。我現在懂了。」
阻擋愚蠢決策的三明治
物理資訊推論是第一層。第二層是我們所謂的神經符號三明治——而它正是能直接防止 4 月 28 日那個最離譜失效的關鍵環節。
還記得那座電廠嗎——它竟然注入了無效功率，而且是在過壓事件期間？那件事之所以發生，是因為該電廠的控制系統——不論是自動化的還是人為指揮的——發出了一道違反營運程序 7.4 的指令。這道指令在物理上是可以執行的，所以它就被執行了。電網沒有免疫系統可以拒絕它。
在我們的架構中，一層符號邏輯像憲法級的護欄一樣包覆在神經網路周圍。我們把整部 P.O. 7.4 法規——以及任何其他適用的電網規範——編碼成一套形式化的領域專用語言。神經網路提出行動方案。符號層則在每一個被提出的行動抵達實體設備之前，依據硬性規則逐一檢查。
如果電壓高於最大門檻且仍在上升，而神經層建議注入無效功率——不論理由是什麼，也不論它的預測有多有把握——符號層都會直接擋下。不是發出警告。不是給出一個機率分數。它在物理上就無法通過。這套系統看待法規遵循的方式，就像橋樑看待重力：不是一項指引，而是一個不可違反的約束。
神經符號電網控制器不會警告你哪些是壞決策。它讓壞決策在物理上根本無法被執行。
這就是我談到超越「無限自由謬誤」時的意思——也就是「更有彈性的 AI 永遠是更好的 AI」這個假設。在關鍵基礎設施中，你要的是更少的自由，而不是更多。你要的是一個在硬性邊界之內能出色適應、而在那些邊界上絕對剛性的 AI。
為什麼智慧必須落在邊緣端？
每次我報告這項工作時，都會冒出一個實務問題：運算到底在哪裡發生？
讓伊比利電網走向末路的可觀測性缺口之所以存在，是因為智慧被集中化了。TSO 的控制室監看的是 400 kV 主幹。而 220 kV 的集電層變電所——真正的危機正在那裡上演——基本上是盲飛。來自那些變電所的資料被彙總、平均，並以慢到根本追不上五秒連鎖崩潰的週期回報。
我們的神經電網控制器是坐落在集電側變壓器本身的邊緣運算裝置。它們執行高解析度的同步波形量測，每 100 毫秒跑一次連續最佳化迴圈，並下達換流器指令，把本地電壓穩定度維持在 ±0.02 標么值之內。它們不會等控制室注意到問題。它們不會把資料送到雲端 API 再等回應。它們在本地行動，以物理所要求的速度行動。
在我們測試邊緣硬體時有一個瞬間——那是一個週四的深夜，那種下午兩點開始、到午夜才結束的工作——我們發現原型偵測到模擬電壓異常的速度，甚至比監控系統能夠顯示它們的速度還快。異常在儀表板更新之前就已被修正。我們的一位硬體工程師笑著說：「我們剛剛讓控制室變成多餘的了。」他是在開玩笑。大部分是。
如果電網還是黑掉了，會發生什麼事？
即使有了預防，你仍然需要復原。伊比利電網花了長達 24 小時才完全恢復——那是一個痛苦的人工流程：重新啟動發電機組、小心翼翼地重新併接負載孤島、並在各區域之間同步頻率。
我們使用多代理人強化學習來進行自動化的電網復原。把它想成一支 AI 代理人團隊，每個代理人管理一個本地電力孤島，並由更高層的代理人負責統籌同步。在 2025 年的復原過程中，摩洛哥提供了 900 MW、法國貢獻了 2 GW 的支援電力。但要把那些電力送到正確的地方、依正確的順序、又不造成二次崩潰，需要人類操作員在極大壓力下做出數百個連續決策。
我們的模擬顯示，在同一套確定性框架下運作的自主代理人——以物理為依據、受符號規則約束——可以把 24 小時的復原時間縮短到大約四小時。不是因為它們比人類操作員更聰明，而是因為它們更快、更協調，而且不可能犯下那些在危機中不斷疊加的恐慌型錯誤。
這如何通過法規檢驗？
常有人問我這個問題，而且這是個公道的問題。歐盟《AI 法案》（EU AI Act）把電網控制歸類為關鍵基礎設施，這意味著任何在這個領域運作的 AI 系統，都要面對嚴格的透明度與可解釋性要求。這正是以包裝式應用為基礎的 LLM 遇上最根本問題的地方：它們根本無法解釋自己為什麼做出某個特定的預測。數學上就不是那樣運作的。
我們的神經符號架構會為每一次介入產生完整的稽核軌跡。不是事後的合理化說詞——而是一份真正的決策軌跡：
神經層偵測到 0.63 Hz 的次同步振盪。符號層辨識出違反 P.O. 7.4：超出 435 kV 的動態電壓上限。符號層強制執行相當於最大容量 30% 的無效功率吸收。電壓穩定在 418 kV。集電側保護跳脫已被避免。
這條鏈上的每一個環節都可檢視、可稽核，並且在法律上站得住腳。這不是加分項。伊比利大停電之後，全歐洲的監管機構都在改寫電網規範。能在未來十年法規收緊中存活下來的系統，會是那些能夠證明——而不只是宣稱——自己的 AI 確實遵守規則的系統。
沒有人想問的那個問題
關於業界對伊比利大停電的反應，最讓我困擾的是這一點。
不出幾週，話題就轉移了。AI 公司回頭去賣它們的包裝式產品。電網業者修補了最明顯的漏洞。再生能源對上化石燃料的爭論吸走了所有氧氣。而那個根本的架構問題——我們正用看不見、想不動、也來不及行動的控制典範，去管理 21 世紀的能源系統——依然無人處理。
六千萬人失去電力。數人喪生。經濟損失高達數十億。而根本原因並不是什麼離奇的意外。它是已知架構弱點的一個可預測的後果。次同步振盪先前就曾被觀測到。無效功率的合規缺口早已被記錄在案。輸電層與集電層監控之間的可觀測性缺口，在學術文獻中也早已被充分理解。
伊比利大停電不是黑天鵝。它是一頭灰犀牛——一個高機率、高衝擊，人人都看見它衝過來、卻沒有人阻止的威脅。
我們知道。整個業界都知道。而我們還是建造了應付不了它的系統。
這不是再生能源的問題
我想把這一點講得絕對清楚，因為錯誤資訊至今仍在流傳。
再生能源並沒有造成伊比利大停電。4 月 28 日 78% 的再生能源滲透率確實降低了系統慣量，使電網對擾動更為敏感——這是事實。但敏感性並不等於因果關係。真正的原因是發電設施未能提供它們依法必須提供的無效功率支援。原因是控制系統太慢、太笨，無法即時管理電壓動態。原因是一套可觀測性架構，讓操作人員對集電層正在上演的危機視而不見。
把這場大停電歸咎於再生能源，就像在一場地震倒塌事故中怪罪輕量建材，而真正的問題是沒有人遵守建築法規。這些材料需要不同的工程設計。而那個工程設計沒有被做出來。這是人的失敗、制度的失敗，不是物理的失敗。
而這正是確定性 AI 被設計來消除的那種失效——不是取代人的判斷，而是確保當人的判斷失靈時、當老舊控制器失效時、或當某位電廠操作員在錯誤的時刻做出錯誤決定時，系統本身會強制執行那些讓燈繼續亮著的法則。
燈會繼續亮著，因為我們是這樣把它工程化的
我創辦 Veriprajna，是因為我相信世界上最重要的 AI 系統不會是聊天機器人、圖像生成器或推薦引擎。它們會是那些統管文明所依賴之基礎設施的隱形系統——電網、水處理、運輸網路、金融清算系統。在那些地方，「大概正確」是一紙死刑判決。
伊比利大停電以最糟糕的方式證明了這個信念是對的。15 吉瓦，五秒鐘。整座半島陷入黑暗。而 AI 產業的回應，是繼續為那些需要確定性保證的問題，兜售機率式的包裝產品。
未來的電網不會因為我們希望它穩定就穩定。它不會因為某個 LLM 認為它大概應該穩定就穩定。它會穩定，是因為我們把物理定律嵌入了神經架構，把法規編碼進了符號邏輯，把智慧推到了毫秒攸關的邊緣端，並且打造出一套在物理上不可能做出那些擊垮伊比利電網之決策的系統。那不是樂觀主義。那是工程。
