summary
2003-08-14 下午，俄亥俄州北部一条 345kV 输电线路因树枝接触而跳闸；本应在 FirstEnergy 控制室触发报警的软件缺陷使操作员对过载毫无察觉，局部故障逐级放大为整个东北电网崩溃。
timeline
约 14:02 EDT 线路碰树跳闸；FirstEnergy 报警系统因软件缺陷停摆逾 1 小时，操作员未重分配负荷；随后多条线路相继碰树跳闸；16:10 前后 3500MW 功率冲击引发纽约、俄亥俄、密歇根、安大略等电网分离，508 台机组、265 座电厂在数分钟内脱网。
root_cause
直接诱因是输电线路维护（树木修剪）不足；放大因素是 FirstEnergy 控制室报警系统的软件缺陷使操作员失去态势感知，未能及时重分配负荷、也未向邻区通报，导致可控的局部故障演变为级联崩溃。
amplifiers
电网缺乏跨区域实时可见性；可靠性标准在当时仅为自愿性质，无强制约束力；单点人机失察即可拖垮整体。
mitigation
美加联合工作组提出 46 项建议，推动 NERC 标准强制化（《2005 能源政策法案》授权 FERC 执法）；强化树木修剪、操作员培训与区域级诊断支持。
lessons
关键基础设施的人机接口必须有 fail-safe 告警与冗余；单点软件缺陷能放大为系统性灾难，需对控制软件做独立验证与演练。
checklist
控制室告警系统需主备冗余与定期演练；跨区协调必须有强制通报与越权接管机制；关键标准应强制化并设问责。