Feu de data center chez OVH à Strasbourg

Article extrait du n° 574 de Face au Risque : « Feu de data center chez OVH à Strasbourg » (juillet-août 2021).

---

Le site alerte les pompiers

Le premier appel parvient aux sapeurs-pompiers à 0 h 46 le mercredi 10 mars 2021. Il émane du manager d’astreinte de l’entreprise qui précise un feu au premier étage d’une « tour » de cinq étages d’un site informatique.

Le premier détachement de trois engins, dont une échelle, est accueilli par l’agent de sécurité et guidé au pied du bâtiment SBG 2. De la fumée s’échappe des accès au rez-de-chaussée et des arcs électriques puissants indiquent que les installations sont sous tension.

Les deux employés assurant la maintenance du site de nuit signalent qu’il s’agit d’un local de 30 m² abritant onduleurs et tableau électrique, et que les locaux batteries, onduleurs et groupes électrogènes prennent le relais en cas de coupure de l’alimentation. Sur ces précisions, la première lance établie reste en attente tandis que des reconnaissances sont effectuées. La caméra thermique permet de localiser, au travers de la façade d’acier, un foyer au rez-de-chaussée, dans une zone d’onduleurs. Arcs et projections d’étincelles s’enchaînent.

Ce n’est qu’au bout d’une heure que le service de distribution d’électricité parvient à couper l’alimentation du site, à plus d’un kilomètre de là. Mais le plancher bois séparant le rez-de-chaussée des locaux de serveurs du premier étage n’a pas résisté.

À 1 h 30, le feu occupe la totalité du rez-de-chaussée abritant les locaux techniques et les étages supérieurs crachent une épaisse fumée. Trois lances, dont une sur échelle, manœuvrent de l’extérieur.

Des renforts sont demandés

Une heure après l’alerte, le feu est en propagation libre dans le bâtiment dont les planchers bois, coupe-feu 1h, offrent maintenant une faible résistance au développement vertical.

Vers 1 h 45, de hautes colonnes de flammes s’échappent des deux « cours » de ventilation intérieures traversant le bâtiment, en créant une puissante convection.

Vers 2 h 30, le feu occupe les six niveaux de SBG 2.

La préoccupation première est le risque de propagation aux bâtiments communicants : SBG 1 de trois niveaux et SBG 3 qui en compte cinq. Ce dernier est heureusement isolé du brasier à chaque étage par un sas constitué de deux portes coupe-feu 2 heures.

Le risque d’effondrement doit aussi être pris en compte dans l’engagement des personnels et le positionnement des engins, dont le recul en périphérie est limité.

Arrivée d’un bateau-pompe

À 3 h, le bateau-pompe Europa accoste près du site et va alimenter, outre une lance-canon en tir direct, un dispositif puissant. Celui-ci permet d’une part de verrouiller les risques de propagation aux deux blocs latéraux SBG 1 et SBG 3, et d’autre part de procéder à une attaque massive à la lance-canon du bâtiment embrasé.

La propagation s’est effectuée sur une partie des locaux/conteneurs de SBG 1 sur leurs deux premiers étages. Leur contenu est semble-t-il stratégique pour l’entreprise, puisqu’il s’agit de la liaison internet…

Mais le feu ne sortira plus de ses limites.

Extinction à la mousse

Les façades ouest et est accusent des déformations importantes pouvant laisser croire à leur effondrement, mais l’arrosage massif fige les structures déformées.

À 5 h, six lances-canons et deux lances, totalisant 14 000 l/min, sont en manœuvre.

Les façades disposent d’un nombre relativement réduit de baies et l’atteinte à distance des foyers intérieurs est difficile.

À 6 h 45 les sapeurs-pompiers sont maîtres du feu.

L’extinction plus complète du sinistre et la limitation des fumées est obtenue par l’action d’un fourgon-mousse grande puissance dont la lance-canon mousse permet le recouvrement des foyers dispersés dans le cœur effondré du bâtiment.

Intervention d’une cellule chimique allemande

L’imposant panache de fumée que le vent orientait vers trois villages allemands – pris en compte par la cellule mobile d’intervention chimique (CMIC) de la ville allemande de Lahr – se diluera avant le lever du jour. La fuite d’effluents dans la darse voisine et dans le Rhin via le réseau d’eaux pluviales sera, quant à elle, mesurée peu significative par la CMIC du Bas-Rhin.

Plus de 130 sapeurs-pompiers et 48 engins seront engagés sur cette intervention hors norme, sans que l’on ne dénombre de victime.

Le départ du feu et son développement

Les circonstances du sinistre sont soumises à enquête. Toutefois, la multiplicité des caméras de vidéosurveillance (300 sur le site) permet de voir l’incendie éclater au rez-de-chaussée dans le local technique, sur le premier onduleur. Les détonations, les arcs électriques et les projections incandescentes sont bien identifiés. La surtension entraînée fait éclater moins d’une seconde après un alignement de batteries qui s’embrasent à leur tour, dans un local contigu.

Le temps pour l’agent de sécurité d’effectuer sa levée de doute, d’ouvrir la porte du local, il n’est déjà plus possible d’entrer.

L’emploi par les pompiers d’une caméra thermique localise précisément le foyer initial dans cette zone.

L’entreprise soulignera dans les médias que ce même onduleur avait fait l’objet d’une opération de maintenance l’après-midi même.

Quatre facteurs essentiels ont contribué au développement de ce sinistre :

• la conception du bâtiment ;
• son contenu fait de centaines, voire de milliers de kilomètres de câbles combustibles et fumigènes (seule une partie est non propagatrice de flamme) ;
• l’absence de dispositif fixe d’extinction ;
• et la difficulté à couper l’alimentation électrique générale du site, préalable à toute action sur le foyer initial.

Le bâtiment sinistré n’avait aucune chance de s’en sortir

Chacune des quatre unités s’élevant sur le site correspond à une phase de l’évolution du groupe. La première date de 2012/2013. Elle est réalisée avec des conteneurs maritimes empilés sur trois rangs, avec des installations techniques déportées. La rapidité de mise en œuvre est imbattable, tout comme le coût.

Le bâtiment sinistré, de 2014, est pensé dans une optique « économie d’énergies ». Un data center est très consommateur de courant et produit beaucoup de chaleur. L’architecte a donc conçu une structure sur six niveaux, traversée de deux puits ou cours intérieures, permettant, en exploitant la convection naturelle, d’aspirer l’air frais à la base, pour le rejeter en partie supérieure. Comme un poêle ! C’est d’ailleurs à un poêle que va ressembler le bâtiment après une heure de feu. La force de la convection empêche les flammes de sortir par les baies des premiers étages, aspirées vers les puits intérieurs pour ressortir, monstrueuses, au-dessus du bâtiment.

Un potentiel calorifique important

Même s’ils sont coupe-feu 1 h, les planchers bois vont accentuer le processus par leur destruction, intensifiant eux aussi le développement vertical. Pas la moindre dalle béton pour isoler des étages les « locaux techniques » situés au rez-de-chaussée. Le feu éclate au rez-de-chaussée, mettant l’ensemble des étages supérieurs sous sa menace…

Le risque électrique, la fumée, les risques d’effondrement, empêchent toute action par l’intérieur, à l’exception du bâtiment béton contigu stable et bien isolé.

La durée pendant laquelle le feu est resté violent démontre un potentiel calorifique important, la présence de deux cours intérieures ayant accéléré le phénomène de convection. Le bâtiment est essentiellement constitué des câbles et accessoires électriques et des planchers en double couche de bois. 17 000 serveurs sont accumulés dans ce bâtiment. Le pouvoir fumigène est par ailleurs énorme.

Pas de système d’extinction automatique

Il n’y a pas dans ce bâtiment – tout comme dans les autres – de système fixe d’extinction automatique (il n’existait aucune obligation légale pour ce type d’activité).

Si les locaux abritant les serveurs n’étaient pas protégés par une extinction automatique, les locaux techniques, source principale de risque, auraient dû l’être. Cela aurait permis de contenir le sinistre dans l’attente de l’intervention des sapeurs-pompiers, une fois le courant coupé.

Par ailleurs, leur positionnement au rez-de-chaussée du bâtiment et l’absence de compartimentage vis à vis des locaux serveurs situés juste au-dessus (plancher bois et de probables traversées de gaines les reliant à ces locaux), représentaient un risque de propagation rapide vers ces derniers ; un plancher présentant un degré coupe-feu 2 heures aurait permis de maîtriser ce risque de propagation.

Éloigner les locaux techniques à l’extérieur

La meilleure configuration consiste, comme OVH l’a réalisée dans son dernier data center, à déporter les locaux techniques, essentiellement dédiés à la pérennité de l’alimentation électrique indispensable aux serveurs, à l’extérieur du bâtiment.

Compartimenter est la première mesure efficace, sous réserve que les faisceaux de câbles traversant murs et planchers soient soigneusement isolés.

Le dernier facteur aggravant est le temps nécessaire au distributeur de courant pour isoler l’établissement, une heure durant laquelle l’attaque du feu ne pourra être effectuée.

La réactivité d’OVH

Créée en 1999 par Octave Klaba, OVHcloud est présenté par les médias spécialisés comme « un fleuron de la Tech française », là où Chinois et Américains se partagent le marché. Conséquences de ce succès, 70 000 clients, 12 000 services ont été impactés à la suite de ce sinistre.

L’entreprise, soucieuse de préserver son image et d’accompagner ses clients en difficulté, a réagi quasi-immédiatement, son directeur intervenant lui-même par vidéo interposée dès le lendemain avec transparence, définissant des choix et, par des mises à jour journalières, détaillant les actions entreprises pour limiter au mieux les conséquences de l’incendie.

Aux clients étaient offerts différents abonnements, certains assurant une sauvegarde déportée, garantissant en principe la conservation des données en cas d’incident, ou non.

Mais des sauvegardes étaient parfois stockées sur le même site, voire le même bâtiment, leur faible éloignement géographique ne les préservant alors pas du feu.

Les duplications de données doivent l’être sur des sites séparés.

OVH victime de son rapide succès

L’entreprise devait répondre à la demande en utilisant des data centers rapides à ériger, vite exploités. Mais l’on voit, qu’à mesure des années, les constructions devenaient plus élaborées (SBG 2), plus résistantes (SBG 3), et enfin à simple rez-de-chaussée (SGB 5).

Par ailleurs, OVHcloud fabrique elle-même ses serveurs et doit remplacer en quelques semaines les 17 000 appareils détruits. Au rythme de 300 à 400 par semaine, un peu plus d’un mois sera nécessaire.

Si la sûreté a largement été prise en compte (des centaines de caméras de surveillance), le volet incendie a été traité avec moins de conviction. Il se limitait à la détection automatique d’incendie associée à une intervention humaine rapide.

Bien sûr, il y a des extincteurs en nombre. Mais avec ce type de risque, les départs d’incendie sont si fumigènes que les premiers intervenants ne peuvent généralement pas les maîtriser. Et, comme ici, ils n’ont d’autre ressource que de se replier.

Plusieurs alertes au feu ont éclaté depuis ailleurs sur le site, dont une dans un local batterie, provoquées par les désordres électriques entraînés par l’incendie.

Aujourd’hui, fort de cette épreuve, OVHcloud veut atteindre l’excellence dans le domaine de la protection de ses données. Les conseils des sapeurs-pompiers et autres experts en ce domaine seront bienvenus.