73,000 個「智慧」電表一夜之間集體失靈——揭穿了我們打造基礎設施 AI 的方式究竟錯在哪裡
一位在某家中型水務公司負責營運的朋友，在一個週六早上打電話給我。不是為了敘舊，而是來吐苦水。他的團隊剛剛發現，前一週推送到他們智慧電表機隊的一次韌體更新，悄悄地損毀了數千個帳戶的計費資料。這些電表在儀表板上看起來一切正常，到處都亮著綠燈。但流入計費系統的數字卻是錯的，直到一波客戶投訴湧入，才有人察覺。
「供應商說這是一個已知問題，」他告訴我。「他們正在製作修補程式。」
我問這些電表傳送錯誤資料已經多久了。他停頓了一下。「我們認為大約九天。」
那次對話一直縈繞在我心頭——並不是因為技術失效了，而是因為那次故障竟是如此地隱形。這些並不是離線的電表；它們是持續運轉、傳送著看似合理卻悄然錯誤資料的電表。而當我開始順著北美與英國各地智慧電表故障這條線索追查下去，我才意識到，朋友那個週六早上的危機，只不過是一個更宏大故事中的一則註腳。
73,000 個電表陷入沉默的那一夜
在德州普萊諾（Plano），該市斥資 1,020 萬美元向 Aclara Technologies 採購了 87,000 個智慧水表，原本預期它們能使用二十年。到了 2023 年，電池卻提早耗盡。供應商的解決方案是什麼？一次在 2024 年 11 月推送、用來最佳化耗電量的遠端韌體更新。
那次更新讓 73,000 個電表徹底變磚。
不是「效能下降」，也不是「間歇性問題」。這些電子傳輸系統就這麼徹底停止運作了。普萊諾——這座位於達拉斯－沃斯堡都會區、人口將近 30 萬的城市——不得不僱用 20 名臨時抄表員，退回到挨家挨戶步行抄表的老路。代價是：兩年間光是人力成本就花了 765,000 美元。
我一再回想起這件事苦澀的反諷之處。這次韌體本應修復電池問題，結果卻把一個局部的硬體問題，變成了全網路的崩潰。我開始把這稱為「韌體－電池悖論」——原本設計來延長硬體壽命的軟體，反倒成了它失效的主要機制。
原本設計來延長硬體壽命的軟體，往往反倒成了它失效的主要機制。
而普萊諾並非個案。多倫多因提早劣化損失了 470,000 個傳輸器——初步整治成本達 560 萬美元。孟斐斯電力、瓦斯與水務公司（Memphis Light, Gas and Water）的智慧電表機隊面臨 8% 的系統性故障率，為維修預留了 900 萬美元。在英國，自監管機構開始關注以來，已有超過 900,000 個智慧電表被維修或更換。
關於這些故障背後的技術架構，我在我們研究的互動版本中做了更深入的探討，但在我目光所及之處，這個模式始終一致：公用事業投入了數十億美元把電網數位化，而這套「智慧」基礎設施，卻比它所取代的機械式電表故障得更快。
智慧電表為何早夭？
當我的團隊開始分析根本原因時，我們原以為會發現粗製濫造的製程或廉價的元件。但現實更令人不安。
智慧電表並非簡單的量測裝置。它們是連上網路的電腦——內建處理器、邊緣 AI 晶片、安全通訊協定，以及用來儲存資料的快閃記憶體。而如同任何電腦，它們也難免出現機械式電表從未有過的故障模式。
快閃記憶體的問題尤其陰險。智慧電表使用 NAND 快閃記憶體來儲存韌體與診斷日誌。每一次寫入操作都會產生過時的資料，這些資料透過一種稱為「垃圾回收」的程序被清除，而這個程序會實際磨損記憶體單元。如果嵌入式檔案系統沒有經過最佳化——而在許多已部署的電表中，它們確實沒有——儲存空間就會在裝置理應報廢的數年之前，開始損毀資料。
這正是我朋友那通週六早上的來電變得更好理解之處。這種損毀往往是靜默的。電表不會拋出錯誤，也不會離線。它只是開始傳送略微偏差的數字。等到有人察覺時，你手上已經有九天——甚至九個月——的錯誤計費資料，以及一個任何韌體修補程式都無法修復的客戶信任問題。
接著是邊緣案例（edge case）危機。智慧電表的軟體複雜度近年來大約翻了一倍，但測試方法卻沒有跟上。一次韌體更新在實驗室裡運作得完美無缺，但若把它部署到一個位於訊號微弱的鄉間、電池又略有劣化的電表上，你得到的就是普萊諾。
研究中有一個細節真正讓我警覺：現代智慧電表為了管理上的方便，內建了一個遠端「關閉」開關。如果某個韌體邏輯錯誤在大規模範圍內意外觸發了那個開關，你面對的就不再是計費不準——而是數百萬戶家庭同時斷電。
當監管機構開始清算時，會發生什麼？
英國能源監管機構 Ofgem 認為他們已經受夠了。自 2026 年 2 月起，他們開始強制執行「績效保證標準」（Guaranteed Standards of Performance），規定當智慧電表服務標準未達成時，須自動向客戶支付 40 英鎊。等待安裝預約超過六週？自動賠付。因為供應商到場時沒帶對設備而導致安裝失敗？自動賠付。回報了電表故障，卻在五個工作天內拿不到解決方案？自動賠付。
這可不是輕輕的懲戒。對於一家擁有數百萬客戶、又有一整批老化智慧電表的公用事業而言，這筆帳很快就會變得駭人。這股合規壓力，已促使英國修復了超過 900,000 個先前無法運作的電表。
我認為 Ofgem 的舉動所昭示的，不只是一個監管機構態度轉硬。它是一項原本從一開始就該顯而易見的原則的正式化：如果你部署了「智慧」基礎設施，你就有責任讓它持續保持智慧。安裝好硬體、轉身走人、然後祈求一切順利的時代，已經結束了。
如果你部署了「智慧」基礎設施，你就有責任讓它持續保持智慧。裝完就忘的時代，已經結束了。
對於正在讀這篇文章的公用事業領導者來說，其中的意涵再清楚不過。維持一個故障電表的成本——包括監管罰款、人工整治、客戶流失與計費爭議——如今已經超過了導入即時、AI 驅動診斷的成本。經濟帳已經徹底翻轉。
「直接用 GPT 就好」——那個讓我夜不能寐的建議
在我發表了一些關於智慧電表脆弱性的早期發現之後，我與一位潛在投資人有過一次至今仍讓我回味的對話。他看過韌體故障的數據，同意這問題確實存在，接著卻說：「那就做一個分析電表資料的 ChatGPT 包裝層嘛。三個月內就能上線。」
我試著解釋為什麼那行不通。他打斷了我。「每一家 AI 新創都說他們需要打造客製化模型。他們大多數只是想太多了。」
我理解他的邏輯。市場上充斥著本質上只是 OpenAI 或 Anthropic API 之上一層薄薄介面的公司——也就是業界所稱的「LLM 包裝層」。其中有些對於低風險的應用確實有用。但對於關鍵基礎設施呢？這種做法從根本上就是有問題的，而我必須解釋為什麼。
資料跑到哪裡去了？
當你使用公有的 AI API 時，你的資料會離開你的網路，進入第三方的伺服器。對一家公用事業而言，這些資料包括電網架構、客戶用量模式、專有的韌體程式碼，甚至可能是機密的基礎設施漏洞。這並不是假設性的風險——它是暴露在美國《CLOUD 法案》（CLOUD Act）之下，以及 API 供應商這一季碰巧採用的任何資料保留政策之下。
我把這稱為「資安劇場」（Security Theater）。這個工具看起來、用起來都像一個私有的企業應用程式。儀表板上印著你公司的商標。但後端其實是一項公共服務，而你最敏感的營運資料，正流經別人的基礎設施。
一個通用模型，能理解你的電網嗎？
一個公有的 LLM 讀遍了整個網際網路。它知道抽象意義上的智慧電表是什麼。但它不知道的是：在你東北象限那些 Aclara 電表上執行的特定韌體版本、為那個社區供電的變壓器的維護歷史，或是你那套老舊計費系統會以某種方式截斷小數位、進而掩蓋掉細微量測誤差這件事。
公有 API 的脈絡視窗（context window）會忘掉你特定基礎設施的細微之處。它無法執行必要的二進位分析，去驗證某次韌體更新對於部署在特定氣候區、特定硬體版本的裝置是否安全。要求它去做這件事，就像向一名觀光客問路——他們聽起來或許很有把握，但其實根本不知道自己要往哪走。
當 API 改變時，會發生什麼？
這是公用事業領導者往往要到為時已晚才會想到的部分。如果你的「AI 解決方案」只是別人模型之上的一層提示（prompt），那你就得依賴他們的定價、他們的模型更新、他們的正常運行時間，以及他們的商業決策。當 OpenAI 改變其 API 結構或淘汰某個模型版本時，你的關鍵基礎設施工具就會失靈，直到有人重寫那些提示為止。
關鍵基礎設施，不能仰賴一家矽谷新創其 API 定價頁面的業務連續性。
深度 AI（Deep AI）真正的樣貌
在那次與投資人的對話之後，我沮喪了一個星期。然後，我花了三個月去打造我認為真正的答案。
在 Veriprajna，我們不轉售 API 金鑰，我們也不打造包裝層。我們把完整的 AI 推論堆疊——像是 vLLM、Text Generation Inference 與 BentoML 這類引擎——直接部署到客戶自己的基礎設施上。他們的 Kubernetes 叢集，他們的裸機 GPU，他們的虛擬私有雲。
我們第一次為一家公用事業客戶設定零出口（zero-egress）VPC 時——意思是這個網路在實體層面上被設定成，讓資料無法離開他們的環境，即使有人把某些設定弄錯了也一樣——他們的一位資安工程師看著那張架構圖，說：「這是第一次有 AI 供應商，沒要求我為我們的資料政策破例。」那一刻讓我知道，我們走對了方向。
打造一個語意大腦
脈絡問題——就是那個讓通用 LLM 在真正的基礎設施工作中毫無用處的問題——我們用我稱之為「語意大腦」的東西來解決。我們把公用事業的專有文件全部匯入：技術手冊、歷來的維護報告、韌體原始碼、事件紀錄。所有這些都會被索引在像 Milvus 或 Qdrant 這類的本地向量資料庫中，從不離開客戶的環境。
但以下才是我最引以為傲的部分：這套系統尊重既有的存取控制。如果某位員工沒有權限在 SharePoint 中檢視某份文件，這個 AI 就不會去擷取那項資訊來回答他的查詢。我們並不是事後才把安全機制勉強加上去——我們從一開始就把這個智慧層建構成能繼承組織既有的安全態勢。
準確度的最後一哩路
我們採用像 Llama 3 這樣的開放基礎模型，並運用如 LoRA（低秩適應，Low-Rank Adaptation）等技術，在公用事業特定的語料庫上進行微調。成果是一個量身打造的模型，能理解客戶的專有名稱、他們的老舊系統，以及他們的營運特性。在我們的測試中，相較於基礎模型，這種領域專屬的微調，能將專門任務的準確度提升最多達 15%。
那 15% 聽起來或許像是微幅的增量。並非如此。在韌體驗證中，85% 與 100% 準確度之間的差距，就是「攔下一次危險更新」與「放任它讓 73,000 個電表變磚」之間的差距。
你要如何在韌體錯誤流入現場之前就攔下它？
這正是我研究普萊諾這場災難之後，一直驅使著我的問題。害死那些電表的韌體更新並非惡意，也不是由無能的工程師寫出來的。它只是沒有針對它將會遭遇的整個真實世界條件範圍去測試過。
我們為此打造了一條流程管線。它從二進位辨識開始——使用像 EMBA 與 Firmwalker 這類工具，來擷取並分析韌體檔案系統，即便在沒有原始碼可用的情況下也行。接著，我們用 Ghidra 對二進位進行反編譯，再由我們的私有 LLM 分析反編譯後的程式碼，找出邏輯瑕疵、不安全的做法，以及潛在的漏洞。
但真正改變我對韌體安全看法的，是數位孿生的做法。在現場的實體裝置上測試韌體既慢、又貴、還有風險。我們的做法是，建立智慧家庭與電網區段的精細虛擬複本，接著部署運用強化學習的 AI 代理去和這些數位孿生互動——有系統地探查那些人類測試者會漏掉的邊緣案例。
在我們的研究中，這個方法找出漏洞的速度，比隨機測試的做法快了 38%。若想了解韌體驗證流程管線與數位孿生方法論的完整技術剖析，我會鼓勵你去讀那篇論文——但關鍵的洞見在於：如今，造成普萊諾故障的那些條件，我們都能夠早在更新出貨之前就先模擬出來。
如今，我們可以在更新真正出貨到現場之前，就先模擬出那些造成災難性韌體故障的條件。
從被動反應到主動預測：當 AI 開始看守電網，會有什麼改變
傳統的公用事業維護做法，不是被動反應（壞了才修），就是定期排程（不管需不需要，每隔 X 個月就檢查一次）。兩者都很昂貴，而且兩者都會漏掉最要緊的那些故障——那些緩慢、靜默的劣化，在它們已經造成損害之前，從不會主動現身。
以高頻感測器資料訓練出來的深度 AI 模型，會學習每一個裝置、每一具變壓器、每一段電網區段的「正常」樣貌。當某件事出現偏差時——一種異常的振動模式、一段與天氣不符的溫度波動、一整批電表在同一時間全都出現通訊延遲上升——系統就會在它演變成危機之前把它標記出來。
在我們早期測試期間，曾有這麼一刻：異常偵測系統標記出一組電表，它們全都出現了回應延遲的細微上升。沒什麼戲劇性——大概比基準值慢了 15 毫秒。我的團隊為此爭論，這究竟是雜訊還是訊號。我們的工程師主張這是環境因素——與溫度有關。我則力主進一步調查。結果證明，那是一批特定裝置快閃記憶體劣化的早期指標。若放任不管，那些電表在幾個月內就會開始損毀資料。
那正是足以讓整筆投資值回票價的攔截。而數字也支持這一點：AI 驅動的預測性維護已被證實能將基礎設施故障減少 73%、將維護成本降低 18–25%，並將資產壽命延長最多達 40%。
這套系統也運用可解釋 AI（explainable AI）——當它標記出一項異常時，它會向人類操作員說明為何，並運用像 GradCAM 這類的視覺化工具。操作員可以驗證、修正，或推翻 AI 的判斷。那道回饋迴路意味著，這套系統會隨著時間變得更聰明，減少誤報，並累積起那種通常只存在於距退休僅剩五年的資深工程師腦中的機構知識。
那投資報酬率（ROI）呢？
人們總會質疑：相較於直接用 API，部署私有 AI 基礎設施的成本划不划算。這是個合理的問題。經營自己的 GPU 叢集、維護自己的模型，並不便宜。
但想想另一個選項的代價。普萊諾：花在人工抄表員身上的 765,000 美元，外加如今已大幅減損的 1,020 萬美元原始投資。孟斐斯：900 萬美元的維修基金。多倫多：560 萬美元，而且還在增加。英國的公用事業：900,000 個電表更換的累計成本，再加上即將開始襲來的監管罰款。
各行各業回報的平均停機成本為每小時 125,000 美元。將停機時間減少 30–50%，不只是讓 AI 回本——它更會徹底改變這家公用事業的財務樣貌。當你再加上因資產壽命延長 40% 而遞延的資本支出、元件供應鏈延誤減少 28%，以及安全事故減少 40%，這筆投資報酬率的帳，根本毫無懸念。
問題不在於公用事業能否負擔得起主權 AI 基礎設施，而在於它們能否承受得起再來一次普萊諾。
對一家公用事業而言，真正的護城河並不是 AI 模型本身——Llama 3 你可以免費下載。護城河在於與專有資料的深度整合、領域專屬的微調，以及被編織進一套執行於你所掌控之基礎設施上的系統裡的機構知識。那是一項會隨時間增值的資產。而 API 訂閱，則是一筆隨時可能被收回的成本。
我們正在邁向的電網
隨著 IoT 裝置預計到 2026 年將超過 300 億台，複雜度的問題並不會消失。它正在加速。下一個前沿——也是我的團隊正積極邁向的方向——是代理型 AI（agentic AI）工作流程：那些不只標記異常、還會採取行動的系統。自動隔離一台被入侵的 IoT 裝置。根據預測的負載模式即時調整變壓器參數。在更新一顯露出會引發問題的跡象時，就立即執行韌體回滾。
邊緣 AI 會把智慧推得更遠——讓智慧電表化身為微型決策引擎，以低於 10 毫秒的延遲執行本地異常偵測，無需等待往返雲端一趟就能做出決策。
但如果地基是錯的，這一切都無從運作。而此刻，對大多數公用事業而言，地基就是錯的。他們用二十世紀的維護典範，去運行二十一世紀的基礎設施；而當他們伸手去抓 AI 時，抓的卻是最廉價、最方便的選項——一層包裹在別人智慧之外的包裝層——而不是去建立自己的主權能力。
普萊諾、多倫多、孟斐斯以及英國各地的那些故障，並不是技術上的小毛病。它們是現代基礎設施的複雜度，與我們用來管理它的工具之間，那種系統性錯配所帶來的可預期結果。每一家部署了智慧電表、卻不投資於真正治理它們所需之智慧的公用事業，都是在建造一套注定會以它自己偵測不到的方式失效的系統。
公用事業領導者面臨的選擇，並不是在「要不要 AI」之間。那場辯論已經結束了。真正的選擇，是在「向那些對你電網可靠性毫無利害關係的供應商租用智慧」，與「建立能把你的營運資料轉化為最寶貴資產的主權能力」之間二選一。其中一條路，通往下一個普萊諾。另一條路，則通往一個真正如我們一再承諾般智慧的電網。
