Rapport d’enquête BEA-RI sur l’incendie du datacenter OVH de Strasbourg en 2021

Rapport d’enquête du BEA-RI sur l’incendie du data center SBG2 OVH de Strasbourg du 10 mars 2021

Une fuite d'eau sur une carte électronique d'un onduleur pourrait être la cause du début du sinistre ?

Le rapport rapporte "une mesure hygrométrique singulière vers 23h15 et une nouvelle augmentation de celle-ci un peu après 0h30 [...] Il n’est pas possible, à ce stade, d’établir la cause de la défaillance au niveau de l’ASI qui pourrait s’expliquer par différentes hypothèses (présence de liquide ou d’humidité liée à la présence du système de refroidissement situé à proximité, dysfonctionnement lié à l’opération de maintenance réalisée le matin même, exploitation de l’onduleur en dehors des plages normales de fonctionnement, …)."

Le 10 mars 2021, a 0h35, départ de feu sur un onduleur de la salle d’énergie n°2 de SBG2 (source : image extraite de la vidéosurveillance OVH, publiée par le BEA-RI)Deux photos du SDIS du Bas-Rhin, qui ont été publié dans le sujet Incendie OVH à Strasbourg: SBG2 complètement détruit. SBG1 détruit à 42% :

Qui est le BEA-RI qui a réalisé l'enquête ?Le BEA-RI a ouvert une enquête technique sur l'incendie et a publié son rapport sur https://www.cgedd.developpement-durable.gouv.fr/
Le BEA-RI est le Bureau d'enquêtes et d'analyses sur les risques industriels.
C'est une instance française de compétence nationale, au sein de l'administration centrale, mais indépendant.

Les dispositions créées aux articles L. 501-1 à L. 501-19 du Code de l’Environnement en août 2021 donnent la possibilité aux enquêteurs du BEA-RI de prélever des matériels en vue de mener des expertises. Ces dispositions n’étant pas encore prises au moment du lancement de la présente enquête et des expertises diligentées par le collège d’experts judiciaires, il n’a donc pas été possible au BEA-RI d’opposer un droit de regard sur les expertises ou de lancer ses propres investigations.

Pour rappel, l’enquête du BEA-RI vise exclusivement à tirer des enseignements en vue de faire progresser la sécurité, en complément des autres enquêtes, qui ont pour objet de rechercher des fautes ou des responsabilités, d’évaluer l’importance des dégâts aux biens, aux personnes ou à l’environnement, et de formuler des recommandations, le cas échéant, sur les modalités de réparation, de dépollution ou de dédommagement des préjudices.

A la date de publication du présent rapport, les conclusions du collège d’experts sur les causes précises du départ de feu n’étaient pas encore connues. C’est la raison pour laquelle le BEA-RI ne se prononcera pas sur les raisons qui ont provoqué les départs de feu constatés. Il n’en reste pas moins que le lieu d’origine de l’incendie, les équipements impliqués dans les premiers instants de l’incendie et les conditions qui ont permis son développement sont suffisamment déterminées pour permettre la publication du présent rapport.

C’est la raison pour laquelle sans attendre les conclusions de la procédure civile, le BEA-RI a souhaité rendre ses propres conclusions et émettre ses recommandations. Le BEA-RI se réserve la possibilité d’émettre un rapport complémentaire si les conclusions de l’expertise civile apportent des éléments complémentaires permettant d’améliorer la sécurité.

Le rapport complet à gauche (43 pages) et la synthèse à droite (2 pages) : (cliquez sur les miniatures ci-dessous - les documents sont au format PDF)


Plan de situation : Le data center OVH de SBG est situé dans la banlieue de Strasbourg, dans la zone industrielle du port, à proximité de la frontière allemande.

Le site est constitué de 5 bâtiments indépendants construits au fil de l’évolution de la société. Le dernier bâtiment appelé SBG5 n’était pas encore en exploitation au moment de l’incendie. Le sinistre s’est déclenché au niveau du rez-de-chaussée du bâtiment SBG2 et s’est rapidement propagé à tout le bâtiment, impactant également les bâtiments voisins SBG1 (détruisant partiellement 4 salles sur 12) et SBG3 (impactant l’inter-bâtiment entre SBG2 et SBG3).Le premier bâtiment nommé SBG1 est construit par superposition sur trois niveaux de containers, chaque container abritant des équipements électriques et informatiques.

Pour le bâtiment SBG2, OVH a conservé l’idée de bâtiment modulaire, mais ici sur 6 niveaux, adossés à une structure acier. Dans cette configuration, les caissons sont constitués de parois béton préfabriquées adossés à une ossature acier qui assure la stabilité notamment en cas d’aléa sismique ou météorologique.
Les planchers sont réalisés en bois brut ayant subi un traitement intumescent et les parois extérieures en bardage simple peau ou en bardage en lame d’aluminium. L’objectif de cette construction est de favoriser les échanges thermiques avec l’extérieur et de réduire la consommation de l’énergie consacrée au refroidissement des équipements informatiques ou électriques.

En terme de protection contre l’incendie, les documents communiqués par OVH montrent que la structure interne a bénéficié d’un traitement assurant une stabilité au feu 1 heure et les planchers d’un traitement coupe-feu 1 heure par application de peinture intumescente ou de flocage.

La bâtiment SBG3 est d’une conception plus classique avec une structure béton en R+5.

Pour SBG4, en exploitation depuis 2013, OVH a opté pour des choix constructifs comparables à SBG1 en construisant un bâtiment sur un seul niveau.

Plus récemment pour SBG5, bâtiment toujours en construction au moment de l’incendie, OVH a adopté une structure béton sur un niveau, en rupture avec les constructions antérieures. Cette structure apporte d’autres garanties en terme de stabilité et de résistance au feu.

Autre vue aérienne, qui ne fait pas partie du rapport du BEA-RI : (c'est moi qui ait reporté les informations)

La gestion de l’électricité

Les datacenters sont conçus pour garantir une conservation et une accessibilité de la donnée à son propriétaire à toute heure du jour et de la nuit, 7 jours sur 7.

Dans le cas du site OVH, la fourniture d’électricité est assurée par :
• Deux liaisons HTA 20 kV redondantes,
• Des groupes électrogènes fuel qui permettent de subvenir aux besoins électriques du site en cas d’interruption des liaisons HTA,
• Des salles de stockage d’énergie contenant une grande quantité de batteries au plomb.La continuité d’alimentation est assurée, à partir de ces trois sources d’énergie, par le système d’alimentation sans interruption (ASI) qui est un équipement comprenant, de manière assez synthétique, un onduleur et des redresseurs.

Il existe plusieurs modes de fonctionnement de l’ASI :
• L’onduleur de l’ASI alimente les serveurs de manière continue. Le redresseur reçoit le courant alternatif du réseau et le transforme en courant continu pour l’onduleur et le chargeur de batterie maintient les batteries chargées. L’onduleur transforme le courant continu en courant alternatif régulé et propre pour alimenter les serveurs.
• Si la priorité a été donnée au réseau, l’ASI vérifie en continu les conditions de l’alimentation d’entrée, et décide d’alimenter les serveurs à travers la ligne directe ou la ligne conditionnée en fonction de la qualité du courant.

Il résulte de cette conception qu’un datacenter est autonome sur le plan énergétique et qu’une consignation électrique du site qui peut être nécessaire en cas d’intervention des services de secours nécessite l’arrêt de l’alimentation générale, la neutralisation des groupes électrogènes et la décharge des batteries de secours.Dans le cadre de l’enquête, outre les entretiens qui ont eu lieu le jour du déplacement, le BEA-RI a échangé avec du personnel de la société OVH, l’équipementier qui a fourni les ASI, un des experts judiciaires et des représentants de Strasbourg Electricité Réseaux, qui est le distributeur d’électricité à Strasbourg.

Conclusions sur le scenario de l’événement

L’incident se produit, de manière quasi concomitante aux alentours de 0h35, dans deux salles "énergie" de SBG2 alors que le datacenter est dans un mode exploitation que nous qualifierons de normal.

Les équipements incriminés étaient régulièrement entretenus. Au cours des jours qui ont précédé l’événement, un des onduleurs de la salle d’énergie n°2, désigné dans ce rapport ASI2, avait fait l’objet d’opérations de maintenance en raison de problèmes récurrents de passage en mode by-pass inexpliqués. Ces interventions ont donné lieu à des comptes-rendus d’interventions et de contrôles de remise en service qui ne mentionnent aucun élément singulier.

Les batteries ne sont pas équipées de système de scrutation ou de supervision mais OVH nous a indiqué respecter les durées de vie préconisées par le fabricant de batteries.

Le système de vidéosurveillance, et le monitoring de la centrale incendie du site montrent qu’un défaut électrique se produit au niveau de l’ASI2 et au niveau des batteries qui lui sont reliées. L’onduleur et les batteries associées n’étaient pas dans la même salle.

Le 10 mars 2021, a 0h35, départ de feu dans le local à batteries (source : image extraite de la vidéosurveillance OVH, publiée par le BEA-RI)Le 10 mars 2021, a 0h35, départ de feu sur un onduleur de la salle d’énergie n°2 de SBG2 (source : image extraite de la vidéosurveillance OVH, publiée par le BEA-RI)Dés le 11 mars 2021, Octave évoquait dans une vidéo la piste de l'onduleur avant d'avoir accès aux images de vidéosurveillance qui confirmeront le point) :

Plan du R0 du bâtiment SBG2 (plan source OVH). La zone de départ incendie a été ajoutée par le BEA-RI dans le but d’améliorer la lisibilité du plan et la compréhension du texte.Pour l'ensemble du datacenter OVH de Strasbourg, une déclaration en date du 5 août 2016 est archivée à la DREAL au titre de ces deux rubriques :
• 2910 A2 (groupes électrogènes): 12,5 MW,
• 2925-1 (installations de charge de batteries): 153 kW.
Toutefois, le site a évolué depuis cette date, la construction de nouveaux bâtiments ayant augmenté la puissance thermique totale des groupes électrogènes et la capacité de charge de batteries.

Déroulement de l’évènement

Le 10 mars 2021, à 00h35, une alarme se déclenche dans le PC sécurité du site OVH de Strasbourg. À 00h37, le gardien atteint la salle énergie 2 au rez-de-chaussée du bâtiment SBG2 et constate la présence d’une épaisse fumée noire. Le bâtiment est évacué à 00h39.

Le service d’incendie et de secours du Bas-Rhin est appelé par OVH à 00h42. Ils arrivent sur les lieux à 00h59. Il y a alors d’importants dégagements de fumée au rez-de-chaussée et les secours constatent la présence d’arcs électriques dans le local énergie. Une lance à eau est déployée en attente de la coupure électrique du site. Les services de secours constatent assez vite que la conception du bâtiment ne permettra pas de circonscrire l’incendie. Le risque de propagation aux étages supérieurs est évalué comme important.

Strasbourg Électricité Réseaux (SER) est prévenu par le SIS 67 à 00h52. Leur équipe d’astreinte est mobilisée et arrive sur les lieux à 01h27. Préalablement à leur arrivée, SER a été interrogé pour savoir s’il était possible que leurs agents interviennent au niveau du poste secondaire qui alimente SBG2. SER a fait savoir que dans la mesure où ce poste appartient au client, une telle intervention n’était pas envisageable.
À leur arrivée sur les lieux, l’incendie s’est déjà développé. Une intervention sur le poste secondaire est exclue et SER n’obtient pas l’autorisation de couper l’alimentation électrique du site au niveau du poste client en raison des risques liés à l’incendie. La décision est donc prise de couper le courant au niveau du poste source amont. La coupure sera effectuée à distance et sera effective à 01h50.

Les énergies de secours des bâtiments sont coupées à 01h13 (pour SBG2) et 01h28 (pour SBG3, SBG1 et SBG4) par les équipes d’OVH. À 01h28, des moyens en eaux sont déployés en façade de SBG2. À 01h42, le feu s'est propagé à la totalité du 1er étage et la propagation aux étages supérieurs ne peut plus être enrayée. Il y a alors deux lances en manœuvre, une de plain-pied et une sur une échelle pivotante automatique (EPA). À 01h49, l’appui du bateau pompe EUROPA est demandé car les moyens en eau deviennent insuffisants.

À 01h50, l’alimentation du site est coupée au niveau du poste source amont par Strasbourg Électricité Réseaux. Mais à 02h14, il y a toujours du courant dans le bâtiment 2, maintenant totalement embrasé, et une importante propagation vers le bâtiment 1 est constatée.

EUROPA arrive sur place à 02h57. Du fait des déformations constatées en façade, un effondrement du bâtiment 2 sur lui-même est craint. L’incendie se propage vers le bâtiment 1 et le bâtiment 3. Deux secteurs d’attaque sont mis en place. Un troisième secteur est alimenté par EUROPA.

À partir de 03h28, il n’y a plus de courant sur le site.

À 06h45, le feu est maîtrisé, mais l’extinction des foyers résiduels est rendue difficile par l’impossibilité de pénétrer à l’intérieur des structures métalliques.

Le feu est éteint à 10h02 et l’intervention est considérée comme terminée à 18h13.
Près de 4000 litres d’émulseurs auront été utilisés.

Le rapport de BEA-RI liste les facteurs qui ont contribué à limiter les conséquences de l’accident et la propagation de l’incendie

- La détection incendie :
Ces derniers ont parfaitement joué leur rôle de détection et ont permis une alerte rapide des personnels présents sur site et des personnels d’astreinte.

- La présence de personnel sur site et la mobilisation du personnel d’astreinte
Les équipes d’OVH d’astreinte ont pu rapidement en interne ou en externe mobiliser des compétences techniques, notamment sur le volet électrique, pour assister les services de secours publics durant l’intervention. Cette collaboration technique s’est avérée d’autant plus nécessaire que l’industriel ne disposait pas de moyens simples de sécurisation électrique du site et, que du côté du SIS, le site ne bénéficiait pas de plan d’établissement répertorié.

- L’intervention de moyens en eaux supplémentaires
Les services d’incendie et de secours ont eu recours à EUROPA, le bateau pompe franco-allemand basé à Strasbourg. [...]
Doté d’une capacité de pompage importante (3 pompes à eau extincteur d’une capacité de 15 000 l/min et de 2 lances à incendie (mousse et eau) de 4500 l/min chacune), ce bateau a joué un rôle déterminant dans la gestion de l’incendie compte tenu de l’absence de moyens d’extinction propres de l’exploitant et de la capacité limitée du réseau incendie (DECI) sur la zone. En l’absence de tels moyens les conséquences de l’incendie auraient probablement été plus importantes sur les bâtiments adjacents.

- La présence de mur coupe-feu entre SBG2 et SBG3
SBG3, protégé de SBG2 par des murs coupe-feu 2 heures et par une séparation (zone inter bâtiment constituée de circulations), a été moins impacté que SBG1 qui ne disposait pas du même niveau de protection (4 salles détruites sur 12). Les services de secours nous ont toutefois rapporté que des portes coupe-feu avaient été maintenues ouvertes au moment de l’évacuation, ce qui a eu pour effet de dégrader l’efficacité de ce dispositif.

Enseignements de sécurité en matière de conception des bâtiments

Dans le domaine de la conception des bâtiments, nous retiendrons deux enseignements de sécurité.

Tout d’abord, les prescriptions applicables aux locaux de charges de batteries, lorsqu’ils sont situés à l’intérieur d’un bâtiment, nécessitent de présenter un degré de tenue au feu suffisant pour éviter sa propagation au reste du bâtiment. La réglementation existante nous semble déjà complète, et l’accident d’OHV ne remet pas en question sa pertinence technique.

Deux configurations, en l’état actuel de la réglementation, méritent toutefois une attention particulière :

-Lorsque les batteries utilisées ne sont pas susceptibles de générer de l’hydrogène lors de la charge (si les batteries plomb sont aujourd’hui majoritairement utilisées dans le stockage d’énergie dans les centres de données, la technologie lithium offre une alternative de plus en plus compétitive qui tend à se développer) ;

-Ou lorsque ces locaux de charges sont situés en extérieur.

Sur le premier point, le BEA-RI considère que la prescription relative aux dispositions constructives devrait également concerner les autres technologies de batteries pour lesquelles la défaillance électrique et l’emballement thermique ne peuvent être physiquement écartés. Ce type de défaillance peut conduire à des incendies importants et justifier des dispositions constructives spécifiques.

Sur le second point (locaux de charge en extérieur), le BEA-RI rappelle les recommandations émises dans son rapport MTE-BEARI-2021-004 sur l’incendie de container à batteries de Perles et Castelet (09)

Enfin le rapport pointe que protéger le local batterie n'est pas suffisant, vu le départ d'incendie au niveau de l'onduleur :