Grid-Formingは安定化できる。だが監査は安定化できない —— 実装差とモード切替が招く「採用根拠」の漂流

kanna qed
1月11日
読了時間: 5分

脱炭素化に伴う低慣性系統の安定化において、グリッド形成型インバータ（GFMI）は不可欠な技術へと進化を遂げています。2024年から2025年にかけて、Droop、VSM（Virtual Synchronous Mechanism）、dVOC（dynamic Virtual Oscillator Control）といった制御手法の比較整理が進み、自立運転やブラックスタートの実装が加速しています。

しかし、技術的な安定化が達成される一方で、実運用や事故対応の局面では「監査の安定化」という未解決の課題が残されています。波形やイベントログによって「何が起きたか」は追跡できても、その瞬間に「なぜその制御ロジックが選ばれ、機能したのか」という採用根拠が数学的に確定されていないためです。

本稿では、GFMI特有の実装差やモード切替が監査を困難にする構造を指摘し、ADIC（Accountable Deterministic Information Closure）によって制御系を維持したまま採用根拠を封止するアプローチを詳説します。

▼ADICデモ

https://ghostdrifttheory.github.io/ghostdrift-adic-audit/

1. 系統安定化の最前線としてのGFMI

GFMIの実装に携わる技術者にとって、その制御則の選択は系統の運命を左右する極めて高度な設計プロセスです。

Droop制御の信頼性: 分散協調の古典的かつ堅牢な基盤として、電力分担を自律的に実現します。
VSM（仮想同期発電機制御）: 慣性やダンピングを精密に模擬し、系統と「同期する」ふるまいを与えることで、既存の回転機との親和性を担保します。
dVOC（動的仮想振動子制御）: 安定性や収束性を理論設計段階で厳密に押さえ込み、次世代の系統形成を支えます。

現場ではこれら基本戦略に加え、系統状態に応じた保護・制限、および補助制御を緻密に統合し、ダイナミックに運用されています。

2. 監査の成立を阻む3つの構造的課題

GFMIの性能が高いほど、事故後の監査において「説明の分岐」が発生しやすくなります。そこには、現在の解析手法では塞ぎきれない3つの死角が存在します。

2.1 モード切替に伴う挙動変化の不透明性

GFMIは系統状態に応じて、連系運転から自立運転、あるいは電流制限モードや保護優先モードへと瞬時に切り替わります。事故後に「どの条件で、どのモードが作動したか」が議論の焦点となりますが、その切替条件が事前に固定・封止されていない場合、説明は事後的に再構築される余地を残してしまいます。

2.2 「同名異質」の実装差とパラメータの散逸

“VSM” や “dVOC” と呼ばれる制御戦略であっても、メーカーや製品ごとに離散化の手法、制限器の優先順位、PLL（位相同期回路）の有無といった「実装プロファイル」は異なります。事故後に「同じVSMだが挙動が違う」という事態が発生した際、その採用根拠がIDとして確定されていなければ、責任の所在を閉じることはできません。

2.3 波形解析（SOE）の限界：断片的な証拠

現在の解析はSOE（Sequence of Events）や瞬時波形解析が中心です。これらは「起きた事象」の記録としては優秀ですが、その背景にある「設計意図や設定パラメータが、その時点で固定されていたこと」の証明にはなり得ません。証拠はあくまで断片に留まり、後付けの正当化を許容してしまいます。

3. 核心：GFMIに欠けている「設計選択の確定」

制御戦略の議論は、常に性能、安定性、保護協調に集中します。しかし、運用・監査において真に求められるのは、**「その瞬間の制御ロジック、パラメータ、および切替条件が、その時点で確定しており、事後的な差し替えは検証により検出されること」**の証明です。

この「採用根拠の固定」が欠如している限り、事故後の説明は無限に分岐し続け、最終的な決定主体は漂流することになります。

4. ADICによる解決：制御を維持したまま採用根拠を閉鎖する

ADICは、GFMIの優れた制御アルゴリズムには一切手を加えず、その「運用境界」に検証可能な封止を施します。

4.1 S_core（事前固定と構造の登録）

運用開始前に、以下の要素をID化して登録・固定します。

Control Logic ID: 制御則の型と、その具体的な実装プロファイル。
Parameter Set ID: ゲイン、制限器の設定、優先順位の束。
Mode-Switch Condition ID: モード遷移のトリガーとなるルールと例外の上限。

これにより、S_coreに基づく運用状態を検証可能にします。

4.2 Ledger（証拠連鎖による検証可能性）

各イベント発生時刻において、実行されたロジックID、パラメータID、遷移したモードID等を「改ざん検知可能な連鎖構造」で記録します。事故後に「別の説明への差し替え」を試みても、検証プロセスにおいて不整合が確実に検出される仕組みを構築します。

4.3 二層検証（SOEとVerifyの統合）

波形やSOEが語る「起きた事実」と、Ledgerが証明する「採用根拠の固定」。この二層が揃うことで、初めて監査は「設計選択の確定」という結論に到達できます。

5. ミニケース：弱系統における電流制限モード遷移

ある瞬間に電流制限が作動し、インバータ出力が急落した状況を想定します。波形解析では「制限器が作動した事実」は追えますが、争点は「その制限設定や優先順位が、いつ、誰によって決められたものか」に移ります。

従来の運用: 実装差やパラメータ設定の後付けの説明が割れ、責任が分散します。
ADIC付き運用: 事故瞬間のID群がLedgerによって確定しており、それが事前に合意されたS_coreの範囲内かどうかが即座に検証されます。逸脱や差し替えは検知され、合意された範囲内であれば、決定主体の一意化（decision authority closure）に基づき合意された運用として処理できます。