Feu de data center chez OVH à Strasbourg

28 septembre 202115 min

Le 10 mars 2021, un incendie destructeur ravage une des quatre unités du data center de la société OVHcloud, entreprise française spécialisée dans le développement de services de cloud, sur leur plateforme de Strasbourg (Bas-Rhin).

Ceci est une légende Alt

Le site alerte les pompiers

Le premier appel parvient aux sapeurs-pompiers à 0 h 46 le mercredi 10 mars 2021. Il émane du manager d’astreinte de l’entreprise qui précise un feu au premier étage d’une « tour » de cinq étages d’un site informatique.

Le premier détachement de trois engins, dont une échelle, est accueilli par l’agent de sécurité et guidé au pied du bâtiment SBG 2. De la fumée s’échappe des accès au rez-de-chaussée et des arcs électriques puissants indiquent que les installations sont sous tension.

Les deux employés assurant la maintenance du site de nuit signalent qu’il s’agit d’un local de 30 m² abritant onduleurs et tableau électrique, et que les locaux batteries, onduleurs et groupes électrogènes prennent le relais en cas de coupure de l’alimentation. Sur ces précisions, la première lance établie reste en attente tandis que des reconnaissances sont effectuées. La caméra thermique permet de localiser, au travers de la façade d’acier, un foyer au rez-de-chaussée, dans une zone d’onduleurs. Arcs et projections d’étincelles s’enchaînent.

Ce n’est qu’au bout d’une heure que le service de distribution d’électricité parvient à couper l’alimentation du site, à plus d’un kilomètre de là. Mais le plancher bois séparant le rez-de-chaussée des locaux de serveurs du premier étage n’a pas résisté.

À 1 h 30, le feu occupe la totalité du rez-de-chaussée abritant les locaux techniques et les étages supérieurs crachent une épaisse fumée. Trois lances, dont une sur échelle, manœuvrent de l’extérieur.

Infographie Incendie OVHcloud - Crédit: René Dosne/Face au Risque
Le site d’OVHcloud est implanté dans le port de Strasbourg, en bordure du Rhin, sur une aire d’un hectare environ.

Quatre unités, édifiées de 2012 à 2021, dont trois communicantes, abritent des salles de serveurs et les locaux techniques associés (essentiellement les installations liées à la continuité de l’alimentation électrique du site).

  • Le premier bloc SBG 1 fait 300 m² au sol sur trois niveaux (conteneurs maritimes aménagés).
  • Un deuxième, SBG 2, est un bâtiment à structure acier de 500 m² au sol (lieu du sinistre). Il abrite 17 000 serveurs sur cinq niveaux posés sur un rez-de-chaussée technique.
  • Le bloc SBG 3 est un bâtiment à structure béton. Il contient 15 000 serveurs, mais 25 000 à 30 000 à terme. Il est relié à SBG2 par un sas avec portes coupe-feu 2 h, monte-charges et escalier.
  • SBG 4 est une petite unité à rez-de-chaussée désactivée.
  • Enfin, SBG 5 est une structure de 1 500 m² environ à simple rez-de-chaussée, structure acier et parois sandwich de laine de roche. Elle renferme des locaux techniques bien isolés.

Deux escaliers extérieurs desservent SBG 2 et SBG 3. Deux escaliers et un monte-charge desservent SBG 3.

Des renforts sont demandés

Une heure après l’alerte, le feu est en propagation libre dans le bâtiment dont les planchers bois, coupe-feu 1h, offrent maintenant une faible résistance au développement vertical.

Vers 1 h 45, de hautes colonnes de flammes s’échappent des deux « cours » de ventilation intérieures traversant le bâtiment, en créant une puissante convection.

Vers 2 h 30, le feu occupe les six niveaux de SBG 2.

La préoccupation première est le risque de propagation aux bâtiments communicants : SBG 1 de trois niveaux et SBG 3 qui en compte cinq. Ce dernier est heureusement isolé du brasier à chaque étage par un sas constitué de deux portes coupe-feu 2 heures.

Le risque d’effondrement doit aussi être pris en compte dans l’engagement des personnels et le positionnement des engins, dont le recul en périphérie est limité.

Arrivée d’un bateau-pompe

À 3 h, le bateau-pompe Europa accoste près du site et va alimenter, outre une lance-canon en tir direct, un dispositif puissant. Celui-ci permet d’une part de verrouiller les risques de propagation aux deux blocs latéraux SBG 1 et SBG 3, et d’autre part de procéder à une attaque massive à la lance-canon du bâtiment embrasé.

La propagation s’est effectuée sur une partie des locaux/conteneurs de SBG 1 sur leurs deux premiers étages. Leur contenu est semble-t-il stratégique pour l’entreprise, puisqu’il s’agit de la liaison internet…

Mais le feu ne sortira plus de ses limites.

Incendie-OVHcloud-extinction-Crédit: Sdis67

Le bateau-pompe Europa est arrivé vers 3h du matin. Il alimente un puissant dispositif qui verrouille les risques de propagation aux deux blocs voisins et attaque le bâtiment en feu.

Extinction à la mousse

Les façades ouest et est accusent des déformations importantes pouvant laisser croire à leur effondrement, mais l’arrosage massif fige les structures déformées.

À 5 h, six lances-canons et deux lances, totalisant 14 000 l/min, sont en manœuvre.

Les façades disposent d’un nombre relativement réduit de baies et l’atteinte à distance des foyers intérieurs est difficile.

À 6 h 45 les sapeurs-pompiers sont maîtres du feu.

L’extinction plus complète du sinistre et la limitation des fumées est obtenue par l’action d’un fourgon-mousse grande puissance dont la lance-canon mousse permet le recouvrement des foyers dispersés dans le cœur effondré du bâtiment.

Intervention d’une cellule chimique allemande

L’imposant panache de fumée que le vent orientait vers trois villages allemands – pris en compte par la cellule mobile d’intervention chimique (CMIC) de la ville allemande de Lahr – se diluera avant le lever du jour. La fuite d’effluents dans la darse voisine et dans le Rhin via le réseau d’eaux pluviales sera, quant à elle, mesurée peu significative par la CMIC du Bas-Rhin.

Plus de 130 sapeurs-pompiers et 48 engins seront engagés sur cette intervention hors norme, sans que l’on ne dénombre de victime.

L’extinction complète est obtenue par l’action d’un fourgon-mousse grande puissance dont la lance-canon mousse permet le recouvrement des foyers dispersés dans le cœur effondré du bâtiment.

Incendie-OVHcloud-Extinction-à-la-mousse-Crédit: Sdis67

Le départ du feu et son développement

Les circonstances du sinistre sont soumises à enquête. Toutefois, la multiplicité des caméras de vidéosurveillance (300 sur le site) permet de voir l’incendie éclater au rez-de-chaussée dans le local technique, sur le premier onduleur. Les détonations, les arcs électriques et les projections incandescentes sont bien identifiés. La surtension entraînée fait éclater moins d’une seconde après un alignement de batteries qui s’embrasent à leur tour, dans un local contigu.

Le temps pour l’agent de sécurité d’effectuer sa levée de doute, d’ouvrir la porte du local, il n’est déjà plus possible d’entrer.

L’emploi par les pompiers d’une caméra thermique localise précisément le foyer initial dans cette zone.

L’entreprise soulignera dans les médias que ce même onduleur avait fait l’objet d’une opération de maintenance l’après-midi même.

Quatre facteurs essentiels ont contribué au développement de ce sinistre :

  • la conception du bâtiment ;
  • son contenu fait de centaines, voire de milliers de kilomètres de câbles combustibles et fumigènes (seule une partie est non propagatrice de flamme) ;
  • l’absence de dispositif fixe d’extinction ;
  • et la difficulté à couper l’alimentation électrique générale du site, préalable à toute action sur le foyer initial.

Le bâtiment sinistré n’avait aucune chance de s’en sortir

Chacune des quatre unités s’élevant sur le site correspond à une phase de l’évolution du groupe. La première date de 2012/2013. Elle est réalisée avec des conteneurs maritimes empilés sur trois rangs, avec des installations techniques déportées. La rapidité de mise en œuvre est imbattable, tout comme le coût.

Le bâtiment sinistré, de 2014, est pensé dans une optique « économie d’énergies ». Un data center est très consommateur de courant et produit beaucoup de chaleur. L’architecte a donc conçu une structure sur six niveaux, traversée de deux puits ou cours intérieures, permettant, en exploitant la convection naturelle, d’aspirer l’air frais à la base, pour le rejeter en partie supérieure. Comme un poêle ! C’est d’ailleurs à un poêle que va ressembler le bâtiment après une heure de feu. La force de la convection empêche les flammes de sortir par les baies des premiers étages, aspirées vers les puits intérieurs pour ressortir, monstrueuses, au-dessus du bâtiment.

Incendie-OVHcloud-Structure-du-bâtiment-sur-6-niveaux-Credit: Sdis67

La structure du bâtiment, sur six niveaux, est traversée par deux cours intérieures. Les flammes vont être aspirées vers ces puits et ressortir, de façon monstrueuses, au-dessus du bâtiment.

Un potentiel calorifique important

Même s’ils sont coupe-feu 1 h, les planchers bois vont accentuer le processus par leur destruction, intensifiant eux aussi le développement vertical. Pas la moindre dalle béton pour isoler des étages les « locaux techniques » situés au rez-de-chaussée. Le feu éclate au rez-de-chaussée, mettant l’ensemble des étages supérieurs sous sa menace…

Le risque électrique, la fumée, les risques d’effondrement, empêchent toute action par l’intérieur, à l’exception du bâtiment béton contigu stable et bien isolé.

La durée pendant laquelle le feu est resté violent démontre un potentiel calorifique important, la présence de deux cours intérieures ayant accéléré le phénomène de convection. Le bâtiment est essentiellement constitué des câbles et accessoires électriques et des planchers en double couche de bois. 17 000 serveurs sont accumulés dans ce bâtiment. Le pouvoir fumigène est par ailleurs énorme.

Pas de système d’extinction automatique

Il n’y a pas dans ce bâtiment – tout comme dans les autres – de système fixe d’extinction automatique (il n’existait aucune obligation légale pour ce type d’activité).

Si les locaux abritant les serveurs n’étaient pas protégés par une extinction automatique, les locaux techniques, source principale de risque, auraient dû l’être. Cela aurait permis de contenir le sinistre dans l’attente de l’intervention des sapeurs-pompiers, une fois le courant coupé.

Par ailleurs, leur positionnement au rez-de-chaussée du bâtiment et l’absence de compartimentage vis à vis des locaux serveurs situés juste au-dessus (plancher bois et de probables traversées de gaines les reliant à ces locaux), représentaient un risque de propagation rapide vers ces derniers ; un plancher présentant un degré coupe-feu 2 heures aurait permis de maîtriser ce risque de propagation.

Éloigner les locaux techniques à l’extérieur

La meilleure configuration consiste, comme OVH l’a réalisée dans son dernier data center, à déporter les locaux techniques, essentiellement dédiés à la pérennité de l’alimentation électrique indispensable aux serveurs, à l’extérieur du bâtiment.

Compartimenter est la première mesure efficace, sous réserve que les faisceaux de câbles traversant murs et planchers soient soigneusement isolés.

Le dernier facteur aggravant est le temps nécessaire au distributeur de courant pour isoler l’établissement, une heure durant laquelle l’attaque du feu ne pourra être effectuée.

La réactivité d’OVH

Créée en 1999 par Octave Klaba, OVHcloud est présenté par les médias spécialisés comme « un fleuron de la Tech française », là où Chinois et Américains se partagent le marché. Conséquences de ce succès, 70 000 clients, 12 000 services ont été impactés à la suite de ce sinistre.

L’entreprise, soucieuse de préserver son image et d’accompagner ses clients en difficulté, a réagi quasi-immédiatement, son directeur intervenant lui-même par vidéo interposée dès le lendemain avec transparence, définissant des choix et, par des mises à jour journalières, détaillant les actions entreprises pour limiter au mieux les conséquences de l’incendie.

Aux clients étaient offerts différents abonnements, certains assurant une sauvegarde déportée, garantissant en principe la conservation des données en cas d’incident, ou non.

Mais des sauvegardes étaient parfois stockées sur le même site, voire le même bâtiment, leur faible éloignement géographique ne les préservant alors pas du feu.

Les duplications de données doivent l’être sur des sites séparés.

OVH victime de son rapide succès

L’entreprise devait répondre à la demande en utilisant des data centers rapides à ériger, vite exploités. Mais l’on voit, qu’à mesure des années, les constructions devenaient plus élaborées (SBG 2), plus résistantes (SBG 3), et enfin à simple rez-de-chaussée (SGB 5).

Par ailleurs, OVHcloud fabrique elle-même ses serveurs et doit remplacer en quelques semaines les 17 000 appareils détruits. Au rythme de 300 à 400 par semaine, un peu plus d’un mois sera nécessaire.

Si la sûreté a largement été prise en compte (des centaines de caméras de surveillance), le volet incendie a été traité avec moins de conviction. Il se limitait à la détection automatique d’incendie associée à une intervention humaine rapide.

Bien sûr, il y a des extincteurs en nombre. Mais avec ce type de risque, les départs d’incendie sont si fumigènes que les premiers intervenants ne peuvent généralement pas les maîtriser. Et, comme ici, ils n’ont d’autre ressource que de se replier.

Plusieurs alertes au feu ont éclaté depuis ailleurs sur le site, dont une dans un local batterie, provoquées par les désordres électriques entraînés par l’incendie.

Aujourd’hui, fort de cette épreuve, OVHcloud veut atteindre l’excellence dans le domaine de la protection de ses données. Les conseils des sapeurs-pompiers et autres experts en ce domaine seront bienvenus.

Cette activité au classement difficile répond au code du travail d’une part, et au code de l’environnement d’autre part, pour ses réserves de fuel notamment qui constituent une installation classée pour la protection de l’environnement (ICPE) soumise à déclaration.

Rien de spécifique lié à la concentration de serveurs pour une activité de stockage de données informatiques.

Dans tous les bâtiments, des extincteurs sont réglementairement disposés.

L’ensemble des locaux est protégé par un système de détection incendie (SDI) dont l’équipement de contrôle et de signalisation (ECS) est situé au poste de sécurité/accueil du site.

Un réseau très dense de caméras couvre les locaux.

Il n’existe pas de système fixe d’extinction automatique, tel qu’inertage, brouillard d’eau, sprinklage, habituellement rencontrés dans ces installations…

Un seul poteau d’incendie délivrant la moitié du débit réglementaire est implanté devant l’entreprise.

La mise en aspiration dans le fleuve, face est, est délicate en raison de la hauteur des berges.

L’établissement est inconnu des sapeurs-pompiers.

Un bateau-pompe franco-allemand est amarré à 450 m du site. De nuit, il est mis en œuvre par les sapeurs-pompiers allemands.

Le premier centre de secours est à 10 minutes.

Nous n’avions pas encore relaté de feu de data center dans nos colonnes. Nous pouvons simplement, en faisant abstraction de la valeur induite des données stockées – dont la perte représente le dommage essentiel – et de l’atteinte de l’image de l’entreprise, les rapprocher des feux de locaux électriques.

Ils se caractérisent par la présence de grandes quantités de câblages dont les gaines et éléments de raccordement sont particulièrement fumigènes.

Ils vont provoquer des sinistres montant très vite en température, difficiles à localiser à cause de la visibilité réduite, et un effet de four s’instaurant si les locaux sont résistants.

De plus, l’effet de mèche produit par les câblages pourra conduire le feu au travers des murs et planchers si l’étanchéité n’a pas été soigneusement effectuée.

Tous ces paramètres peuvent rapidement conduire à un feu incontrôlable, quelle que soit l’importance du bâtiment !

  • Feu du dispatching de la gare Saint-Lazare à Paris, dont le feu de câbles, parti du sous-sol, va parcourir plusieurs étages, entre planchers, murs et faux-plafonds mal recoupés, entraînant de graves désordres dans la régulation des trains durant plusieurs jours (Face au Risque n° 385, septembre 2002).
  • Incendie de l’hôpital Fernand Widal à Paris, éclatant dans le parking, et dont la destruction des chemins de câbles entraîne arcs électriques, coupures et démarrages successifs du groupe électrogène (Face au Risque n° 395, septembre 2003).
  • Feu de galerie technique, au pied de la BNF, courant sous le trottoir sur plus d’1 km durant 14 heures (Face au Risque n° 369, janvier 2001).

Article extrait du n° 574 de Face au Risque : « L’hydrogène en lumière » (juillet-août 2021).

René Dosne, lieutenant-colonel (rc), créateur du croquis opérationnel à la Brigade des sapeurs-pompiers de Paris

René Dosne

Lieutenant-colonel (rc), créateur du croquis opérationnel à la Brigade des sapeurs-pompiers de Paris

Les plus lus…

Inscrivez-vous
à notre
newsletter

Recevez toutes les actualités et informations sûreté, incendie et sécurité toutes les semaines.