Incendie de data centers OVH à Strasbourg, où en est-on ?

C’est à 0h47 précisément que l’incendie sur l’un des data centers d’OVH Strasbourg (SBG 2) est déclaré le mercredi 10 mars 2021 selon les informations publiées sur le site internet de l’entreprise. SBG2 est un data center de 5 étages d’une superficie totale de 500 m2.

Dans un premier temps, il est annoncé que ce site – une installation soumise à autorisation, qui appartenait auparavant au groupe sidérurgique ArcelorMittal – est classé Seveso… Ce qui sera finalement très vite démenti.

Commandant des opérations de secours, Damien Harroué fait une première déclaration sur la situation à l’AFP – relayée par Le Monde – ce mercredi 10 mars. Il évoque alors un « feu [qui] s’est rapidement propagé dans le bâtiment » ainsi que la « mise en place d’un important dispositif hydraulique, à l’aide d’un bateau-pompe de grande puissance [qui a prélevé l’eau du Rhin], pour éviter la propagation aux bâtiments attenants ».

Il précise par ailleurs que « les planchers sont en bois, et le matériel informatique, bien chauffé ; ça va brûler. Ce sont des matières plastiques, ça génère des fumées importantes et des flammes ».

À travers un communiqué publié dans la matinée de ce mercredi 10 mars, la préfecture du Bas-Rhin fait savoir que l’incendie du data center d’OVH a mobilisé «43 engins et une centaine de sapeurs pompiers sur le site ». Il est par ailleurs précisé que « des moyens opérationnels sont également mobilisés par les autorités allemandes ».

L’incendie est finalement circonscrit peu avant 7h du matin selon Le Figaro. Aux alentours de 5h30 selon d’autres sources. Aucun blessé n’est à déplorer.

Data centers OVH, les causes de l’incendie

Dans une vidéo postée sur Twitter le jeudi 11 mars, Octave Klaba – fondateur et président d’OVH – fait un premier point sur ce qui pourrait être la cause de cet incendie au sein du data center SBG2. Une opération de maintenance, effectuée dans la matinée du mardi 9 mars, en est potentiellement le point de départ.

« Quand les pompiers sont intervenus, une dizaine ou une quinzaine de minutes après le départ des alertes, ils ont filmé avec des caméras thermiques. Ils ont vu deux équipements en feu. Sur l’un de ces deux onduleurs, il y a avait eu une opération dans la matinée (du mardi 9 mars). Dans l’après-midi, ils ont remis le routeur en marche est tout semblait bien fonctionner. Dans la nuit, il y a eu l’incendie. »

Lors de l’élaboration d’un récent article intitulé « Protection incendie, quel avenir dans les data centers ? », publié dans le n°570 de Face au Risque (mars 2021), nos interlocuteurs nous ont fait savoir que les opérations de maintenance étaient – dans la très grande majorité des cas – les principales raisons d’un départ de feu dans un data center.

Dans cette même vidéo, le patron du groupe a par la suite ajouté que les images des 300 caméras de surveillance en place sur les data centers OVH de Strasbourg seraient analysées pour vérifier si cette opération de maintenance est bien la cause de l’incendie. « L’origine de cet incendie est en cours d’étude et une procédure d’investigation mandatée par les autorités est lancée » confirme OVH sur son site internet.

À ce sujet, le Bureau d’enquêtes et d’analyses sur les risques industriels (BEA-RI) a d’ailleurs fait savoir par le biais d’un communiqué qu’une enquête technique avait d’ores et déjà été ouverte concernant cet incendie du 10 mars, survenu sur une « installation soumise à autorisation ».

La détection incendie a fonctionné… Quid des moyens d’extinction ?

Toujours dans cette vidéo, Octave Klaba assure que les moyens de détection ont bien fonctionné.

« À 0h47, nous avons eu les premières alertes des détecteurs. Les techniciens qui étaient sur place sont intervenus en quelques dizaines de secondes sur les différentes salles où il y avait des alertes. Ils ont immédiatement vu énormément de fumée. Au bout d’une ou deux minutes, ils ont pris la décision de quitter le data center parce que c’était devenu trop dangereux à l’intérieur. »

Qu’en est-il concernant les moyens d’extinction ? Le bâtiment était-il équipé d’un système par eau (sprinkleur) ou par gaz, qui sont les deux solutions les plus répandues aujourd’hui pour assurer la protection incendie dans les data centers ?

Président d’Interxion France, groupe qui englobe 25 % des data centers présents dans l’Hexagone, Fabrice Coquio nous confiait par exemple dans cet article publié dans le n°570 de Face au Risque – disponible en ligne – qu’au sein de leurs installations « (mis) à part de rares cas en Europe, à plus de 90 % du temps (et 100 % en France) on est dans des systèmes d’extinction au gaz. Précisément au gaz inerte ».

Si l’on en croit les informations relayées par Le Journal du Net, aucune de ces solutions n’avait été retenue par OVH pour ses installations alsaciennes… Ni même celle d’un système par air appauvri, qui tente de se faire une place parmi les moyens de protection dans ce type d’installation.

Le média précise ainsi que « (si) des exercices anti-incendie y sont réalisés tous les 6 mois (…) une certitude demeure : les centres de données d’OVHCloud à Strasbourg ne sont pas dotés de réseaux d’extinction. Ils ne sont pas équipés de gicleurs d’eau comme c’est le cas dans les datacenters d’OVHCloud à Beauharnois au Canada, ni de brumisateurs haute pression  ni de gaz inerte, à l’instar de la plupart des datacenters du marché ».

Dans la vidéo du 11 mars, le président d’OVH déclare que la structure de SBG2 repose sur une technologie qui remonte à 2011 (une tour autoventilée qui fonctionne par la différence de pression entre le haut et le bas de l’édifice)… Quand SBG3 repose sur une technologie de 2016, plus moderne et incluant de nombreuses salles étanches, qui lui a permis d’éviter les flammes. Comme SBG3, SBG4 a également été épargné par cet incendie.

S’excusant au passage pour les dégâts occasionnés pour ses clients, Octave Klaba conclut en affirmant que : « s’il y a des choses à changer dans nos data centers, et il y en a, c’est évident, et bien nous allons les changer. Nous allons opérer les changements pour faire en sorte que ce type d’incident n’arrive plus jamais. »

Les conséquences

Cet incendie, qui a détruit SBG2 et endommagé une partie de SBG 1 (4 salles sur 12 détruites), a eu des conséquences pour des milliers de clients de OVH. Au total, 3,5 millions de sites internet ont été impactés par cet incendie survenu dans les data centers OVH de Strasbourg.

Une large partie de l’Europe a notamment été touchée puisque des sites français, espagnols, anglais, allemand ou encore turcs n’étaient plus opérationnels à compter du mercredi 10 mars.

Les délais de remises en route sont plus ou moins importants… Tout comme les pertes de données.
À titre d’exemple, le site de Face au Risque était inaccessible jusqu’au samedi 13 mars, sans pour autant subir de perte de données.

Si des sites internet ont de nouveau été accessibles très rapidement et avec l’intégralité de leurs données, d’autres sont encore inaccessibles… Et il est possible qu’une partie de leurs données aient été perdues si aucune sauvegarde externe aux data centers OVH de Strasbourg n’a été effectuée.

Plan d’actions établi pour la reprise

À noter enfin que le mardi 16 mars 2021, Octave Klaba publiait une nouvelle vidéo sur son compte Twitter (ci-contre) afin de faire le point sur les délais de redémarrage des data centers OVH de Strasbourg. Ainsi que sur les plans d’action effectués au sein d’OVH depuis une semaine, visant à permettre à l’ensemble des sites précédemment hébergés à Strasbourg et touchés par cet incendie d’être de nouveau accessibles grâce à un transfert sur d’autres data centers du groupe.

Contacté sur le sujet, OVH nous a confirmé que leurs équipes étaient actuellement mobilisées sur 3 priorités : « le rétablissement des services sur SBG1, SBG3 et SBG4 ; pour nos clients affectés, la mise à disposition d’infrastructures dans d’autres data centers ; et la mise en œuvre avec nos clients de tous les mécanismes de PRA (plan de reprise d’activité). Mais aussi tout le suivi concernant la résolution de la situation de tous nos clients et de l’état de nos infrastructures. »

Le jeudi 18 mars, SBG3 est de nouveau déclaré opérationnel.

Nouvel incendie sur SBG1 le 19 mars

Le vendredi 19 mars 2021 vers 19h, un nouvel incendie s’est déclaré sur le data center SBG1 « au sein d’un conteneur hors tension faisant office de local de stockage de batteries. 300 batteries de 25 kg ont été impactées » précise le Journal du Net.

Faisant le point sur cet incident – « vendredi 19 mars à 18h50, nos équipes sur place ont identifié une fumée dans un local batteries non raccordées de SBG1 » – OVH a assuré qu’aucun blessé n’était à déplorer. Le groupe a néanmoins ajouté que « deux personnes de la sécurité ayant été incommodées par les fumées ont été examinées par des professionnels de santé ».

Moins important que l’événement survenu dans la nuit du 9 au 10 mars, cet incendie a rapidement été maîtrisé par les pompiers. L’origine reste encore indéterminée. Si l’on en croit les informations relayées par le Journal du Net, 130 personnes ont malgré tout été mobilisées. Les opérations visant au redémarrage de SBG1 ont été stoppées et l’alimentation coupée. La remise en service de SBG4 est elle aussi retardée.

Si l’intention d’OVH était de redémarrer SBG1 après le 1er incendie, le second aura définitivement eu raison du data center. Après SBG 2, Strasbourg 1 sera lui aussi démantelé. L’ensemble de ses serveurs seront transférés sur les sites de Gravelines, Roubaix, Croix et ceux toujours en fonction à Strasbourg (SBG 3 et SBG 4). Des opérations visant à une inspection, une dépollution du matériel – voire une réparation si nécessaire – par l’usine OVH située à Croix sont par ailleurs prévues avant les transferts vers ces différents sites.

Le mercredi 24 mars 2021, SBG4 est de nouveau déclaré opérationnel par OVH.

Reconstruction de SBG1, SBG2 et SBG4 avec de nouvelles normes

Dans une communication datée du vendredi 23 avril 2021, OVH appelle à ce que ces incidents ne fassent « douter personne sur la digitalisation, le cloud ou la sécurité ». Le groupe annonce par ailleurs s’engager « à partager les conclusions de ces expertises (en toute) transparence et confiance ».

Enfin, il est précisé qu’un « plan d’action pour maximiser la résilience de nos infrastructures et de nos services » est en cours d’élaboration. Un plan qui comprend notamment la reconstruction de SBG1, SBG2 et SBG4 sur la base de « nouvelles normes (…). Les autres datacentres du groupe appartenant à la même génération seront également intégrés à ce plan, qui va s’étaler sur de nombreux mois. Là encore, l’état d’avancement sera régulièrement communiqué ».

Une mise à jour quotidienne sur ces avancées est d’ailleurs disponible sur le site internet d’OVH depuis cet incident.