2 pièce(s) jointe(s)
L'incendie du centre de données d'OVHcloud l'année dernière pourrait être dû à une fuite d'eau
L'incendie du centre de données d'OVHcloud l'année dernière pourrait être dû à une fuite d'eau,
le BEA-RI ne tire aucune conclusion mais évoque un dysfonctionnement de l'onduleur
Dans la nuit du 9 au 10 mars 2021, un incendie se déclare au sein du centre de stockage de données (ou datacenter) OVH situé sur le port de Strasbourg (67). Le sinistre s’est déclenché au niveau du rez-dechaussée du bâtiment SBG2 et s’est rapidement propagé à tout le bâtiment, impactant également les bâtiments voisins SBG1 (détruisant partiellement 4 salles sur 12) et SBG3 (impactant l’inter-bâtiment entre SBG2 et SBG3). Les conclusions du Bureau d'enquêtes et d'analyses sur les risques industriels (BEA-RI) font allusion à une cause possible, une fuite d'eau sur un onduleur, tout en précisant que la cause n'a pas été déterminée de manière concluante.
Si l’incendie a pu être maitrisé après coupure du réseau électrique et intervention d’un bateau pompe, les dégâts causés étaient déjà considérables. Selon des sources publiques, environ 3.6 millions de sites internet correspondant à 464 000 noms de domaine étaient indisponibles au plus fort de la crise soient près de 18% des adresses IP actives et attribuées à OVH au cours des deux semaines précédentes.
OVHcloud, anciennement OVH, est une entreprise française, fondée en 1999, spécialisée dans la prestation de services informatiques dont l’hébergement et l’administration de serveurs. La société propose également des prestations de cloud computing public et privé, activité consistant à traiter des données informatiques d'un client, dont l'exploitation s'effectue par l'internet, sous la forme de services fournis par un prestataire.
La société indique desservir plus d’un million et demi de clients, en s’appuyant sur un réseau de datacenters répartis entre l’Europe, l’Amérique du Nord et l’Asie-Pacifique. En France OVHCloud dispose de deux implantations majeures : son site de Roubaix (créé en 2007) et son site de Strasbourg dont la première phase (SBG1) a été mise en service en 2012. Le groupe OVH exploite 32 datacenters implantés sur 4 continents.
Depuis la maitrise de l'incendie, le patron d'OVHcloud a multiplié les tweets dans une tentative d'être le plus transparent possible en communiquant sur l'impact du sinistre et sur ce qui est fait pour que tout revienne à la normale. On sait que sur les quatre datacenters du site de Strasbourg, un a été totalement détruit (SGB2), un autre partiellement (SGB1) tandis que les autres ont été épargnés (SGB3 et SGB4).
Fuite d'eau comme cause possible de l'incendie du centre de données d'OVHcloud
Les enquêteurs techniques du BEA-RI se sont rendus sur place le jeudi 11 mars 2021. Ils ont échangé avec des représentants de la société OVH, du service d’incendie et de secours du Bas Rhin et de l’inspection des installations classées ainsi que du gestionnaire du réseau électrique de la ville de Strasbourg. Les conclusions du BEA-RI évoquent la possibilité d'une fuite d'eau sur un onduleur, tout en précisant que la cause n'a pas été déterminée de manière concluante.
L’incendie n’a engendré aucune victime et aucun blessé. Il a en revanche occasionné des dommages importants sur les plans matériels et financiers. Le service assuré par OVH a été interrompu pour un nombre important de clients, dont des clients institutionnels. L’incendie a pris naissance au sein des locaux qui abritent les batteries et les ASI (alimentation sans interruption) nécessaires au fonctionnement des serveurs.
Ces salles appelées aussi F salles énergie G étaient équipées d’une détection incendie mais ne disposaient d’aucun système d’extinction automatique. Les départs de feu se sont produits quasi-simultanément sur des batteries et sur un onduleur. Les causes précises des départs au sein de ces équipements, qui font l’objet d’une expertise judiciaire, ne sont pas connues à la date du rapport. Le BEA-RI ne se positionne donc pas sur ce point qui pourra, le cas échéant, faire l’objet d’un rapport additionnel.
Dans une vidéo publiée pour faire le point de la situation, le PDG d'OVHcloud a d'abord présenté ses excuses avant de revenir sur ce qui s'est passé. C'est peu avant 1h du matin qu'ils ont reçu l'alerte incendie. « Les techniciens sur place sont intervenus en quelques dizaines de secondes sur les différentes salles, ils ont vu énormément de fumée immédiatement. Ils ont pris la décision au bout de deux minutes de sortir du datacenter parce que c'était dangereux de rester à l'intérieur », dit-il. Sur l'origine de l'incendie, la piste suivie est celle d'un onduleur qui avait subi une maintenance la veille de l'incendie.
« Quand les pompiers sont intervenus, avec des caméras thermiques, ils ont vu deux équipements, des onduleurs, en feu. Sur l'un des deux onduleurs, nous avons eu des interventions dans la matinée. Un technicien qui devait faire des maintenances a changé des pièces à l'intérieur. Le matériel a été ensuite remis en route dans l'après-midi », explique Octave Klaba. Pour tenter de comprendre ce qui s'est passé de manière chronologique et tirer des conclusions, ils doivent extraire et analyser les vidéos des 300 caméras de surveillance du datacenter, ce qui devrait être en cours.
Le BEA-RI ne se positionne donc pas sur ce point qui pourra, le cas échéant, faire l’objet d’un rapport additionnel. Malgré l’arrivée rapide des secours, la conception du bâtiment, l’absence de système d’extinction automatique, le délai de mise en sécurité électrique du site et les moyens en eau sur la zone n’ont pas permis d’éviter l’embrasement généralisé de SBG2 et la propagation de l’incendie à des bâtiments voisins.
Le BEA-RI a émis des enseignements de sécurité relatifs à la détection et à la prévention de l’incendie par des systèmes d’extinction automatiques, à la maintenance des batteries, à la conception des bâtiments, et à l’élaboration de plans d’urgence en liaison avec les services d’incendie et de secours incluant la coupure de l’alimentation électrique.
Articulation avec l’expertise mandatée par le Tribunal de Strasbourg
L’incendie a donné lieu à l’ouverture de plusieurs procédures civiles pour traiter les demandes d’indemnisation des préjudices subis lors de l’incendie par les clients d’OVH mais également par OVH lui-même. Dans le cadre de ces procédures, un collège d’experts judiciaires a été désigné par le Tribunal de Strasbourg afin de caractériser les litiges et d’ordonner les expertises nécessaires qui permettront d’établir les responsabilités et de fixer les indemnisations.
Des dispositions créées aux articles L. 501-1 à L. 501-19 du Code de l’Environnement en août 2021 donnent la possibilité aux enquêteurs du BEA-RI de prélever des matériels en vue de mener des expertises. Ces dispositions n’étant pas encore prises au moment du lancement de la présente enquête et des expertises diligentées par le collège d’experts judiciaires, il n’a donc pas été possible au BEA-RI d’opposer un droit de regard sur les expertises ou de lancer ses propres investigations.
Pour rappel, l’enquête du BEA-RI vise exclusivement à tirer des enseignements en vue de faire progresser la sécurité, en complément des autres enquêtes, qui ont pour objet de rechercher des fautes ou des responsabilités, d’évaluer l’importance des dégâts aux biens, aux personnes ou à l’environnement, et de formuler des recommandations, le cas échéant, sur les modalités de réparation, de dépollution ou de dédommagement des préjudices.
Au-delà des causes techniques primaires de l’incendie, voici, ci-dessous quelques éléments qui ont eu un impact sur sa propagation :
- La conception des bâtiments et leur proximité
Le rapport du BEA-RI indique que les dispositions constructives retenues lors de la construction du bâtiment ont joué un rôle dans la propagation de l’incendie. Le BEA-RI a exploité les données issues de la centrale de sécurité incendie et en particulier la chronologie des déclenchements des détecteurs incendies. « Il convient d’être prudent dans l’exploitation qui peut être faite de ces données car les détecteurs donnent une indication sur la propagation des fumées et non des flammes. En outre la différence de sensibilités des technologies employées en matière de détection peut induire des décalages de déclenchement. Mais les fumées constituant un vecteur de propagation préférentiel de l’incendie, leur présence apporte toutefois un éclairage sur leur cinétique de diffusion.
« L’examen de la séquence de déclenchement de la détection incendie est en ce sens particulièrement intéressante. On peut y voir qu’au cours des 15 minutes qui suivent le début de l’incendie, plusieurs détecteurs incendie se sont déclenchés au rez-de-chaussée mais également sur la totalité des étages supérieurs du bâtiment SBG2. Certains détecteurs situés dans les étages supérieurs déclenchent même quelques minutes après le début de l’incendie. Ce premier constat démontre une grande perméabilité du bâtiment à l’air extérieur et donc aux fumées d’incendie qui peuvent se propager rapidement et sans difficulté » , déclare le BEA-RI.
- L’absence de système d’extinction automatique
Selon BEA-RI, OVH a choisi de n’équiper aucun des cinq bâtiments de son datacenter de Strasbourg de système de protection incendie automatique. Pour rappel, un système de protection incendie peut avoir plusieurs fonctions :
- l’extinction de l’incendie ;
- le contrôle ou la temporisation de l’incendie, ce qui permet de contenir sa progression et de donner du temps à l’organisation et l’intervention des secours. De surcroît, dans le cas d’une installation telle qu’un datacenter, il permet de mettre en œuvre des moyens en eau très tôt dans la séquence accidentelle, sans même attendre l’arrêt de la fourniture d’électricité, et sans exposer de personnel à un risque d’électrocution.
- Des moyens en eaux insuffisants
Les services de secours publics ne disposaient pour cette intervention que d’un poteau incendie qui délivrait un débit insuffisant (inférieur à 60m3 /h) . L’exploitant ne disposait pas non plus de réserve d’eau d’extinction en propre ni de moyen de pompage dans le canal du Rhin. Compte tenu de l’évolution rapide et défavorable du sinistre, ils ont rapidement sollicité l’appui du bateau pompe EUROPA qui est arrivé sur la zone à 3h00. L’arrivée de ce moyen a permis de contenir le développement de l’incendie, et d’éviter sa propagation au reste des installations et en particulier aux bâtiments SBG1 et SBG3 qui ont été malgré tout partiellement endommagés.
- Le délai nécessaire à la mise en sécurité électrique des installations
Lors des premières reconnaissances, les sapeurs-pompiers ont rapidement identifié la présence d’un risque électrique qui empêchait la mise en œuvre de moyens importants en eau. Bien que l’ordre de couper l’alimentation du site ait été donné rapidement (0h58), la sécurisation électrique n’est intervenue que bien plus tard.
Voici, ci-dessous, quelques recommandations émis par le sur l’amélioration des règles anti-incendie :
A l’attention de la DGPR
Le retour d’expérience de l’incendie d’OVH montre que la protection du seul local de stockage des batteries n’aurait pas permis d’éviter l’incendie. Il y a donc lieu d’appliquer les prescriptions relatives au comportement au feu des bâtiments aux locaux qui abritent les équipements électriques qui servent à la charge des batteries et qui leur sont directement connectés. Cela revient à définir un atelier de charge comme étant le local qui abrite les batteries et également les équipements qui servent à la charge.
A l’attention d’OVH
Le BEA-RI émet les recommandations suivantes à l’attention d’OVH :
- Dans le cadre de la reconstruction de ses installations ou de la construction de ses prochains datacenters, tenir compte du retour d’expérience de l’incendie du bâtiment SBG2 à Strasbourg en terme de conception des bâtiments et des salles F énergie G, en terme de moyens de détection et de lutte contre l’incendie, et en terme de procédure d’urgence ;
- Sur le site de Strasbourg, établir et mettre en œuvre au travers d’exercices des procédures d’urgence de mise en sécurité des installations électriques afin de faciliter l’intervention des services de secours publics ;
- procéder à un audit de l’ensemble de ses installations, pour étudier la vulnérabilité de ses sites au risque d’incendie.
Les entreprises qui participent au recours collectif contre OVHcloud sont de divers secteurs : comptabilité, marketing, santé et tourisme. Un accord de confidentialité les lie au cabinet Ziegler & Associés. En vertu de ce dernier, leurs noms sont tenus secrets. L’autre dénominateur commun entre ces personnes morales est qu’elles rapportent des pertes de leurs bases de données suite à l’incendie du mois de mars. Le tableau de l’après incendie c’est un acteur du secteur de la santé qui se retrouve sans aucune information associée aux patients ou une entreprise touristique qui ne sait plus retrouver les détails de réservations de ses clients.
Source : CGEDD
Et vous ?
:fleche: Quel est votre avis sur le sujet ?
:fleche: Que pensez-vous des faiblesses présentées par BEA-RI ?
:fleche: À la lecture de ce rapport, peut-on dire qu'OVHCloud n'a pas été suffisamment dotée, en terme de moyens de
détection et de lutte contre l’incendie, et en terme de procédure d’urgence ?
:fleche: Ce rapport vous parait-il pertinent ?
Voir aussi :
:fleche: OVHcloud : Octave Klaba s'excuse et explique qu'un onduleur pourrait être à l'origine de l'incendie, après une maintenance survenue la veille du sinistre
:fleche: Incendie OVH : 103 sociétés rejoignent un recours collectif et réclament plus de 9 millions d'euros, en parallèle un groupe du Cac 40 et trois sociétés ont décidé de porter des actions individuelles
:fleche: Incendie OVH : absence de système d'extinction incendie automatique et de dispositif de coupure électrique général, le rapport des pompiers souligne des défaillances
Incendie de SBG2 : première condamnation pour OVHcloud
Citation:
OVHcloud vient d’être condamné pour la première fois à la suite de cet incendie. Le Tribunal de commerce de Lille a en effet donné (en partie) raison à Bati Courtage. Cette société de courtage en travaux, cliente de l’hébergeur roubaisien, avait perdu ses données dans l'incendie, quand bien même elle avait souscrit à un service de sauvegarde. Sans avoir connaissance du fait que les sauvegardes étaient stockées au même endroit.
https://web.developpez.com/actu/3414...s-le-sinistre/
1 pièce(s) jointe(s)
OVHcloud condamnée à verser 100 000 euros à un client dont le serveur a brûlé lors de l’incendie de Strasbourg
OVHcloud condamnée à verser 100 000 euros à un client dont le serveur a brûlé lors de l’incendie de Strasbourg
le client aurait perdu toutes ses données ainsi que ses sauvegardes dans le sinistre
L'une des nombreuses actions en justice intentées contre OVHcloud après l'incendie de Strasbourg de mars 2021 vient d'aboutir à une condamnation. Le géant français du cloud computing a été condamné par le tribunal de commerce de Lille Métropole à verser 100 000 euros à un client, la société française de courtage Bati Courtage, dont le serveur dédié a brûlé lors de l’incendie de Strasbourg. Le jugement a établi qu'OVHcloud stockait à la fois les données principales et les sauvegardes de Bati Courtage dans le centre de données SGB2 qui est parti en fumée dans l'incendie. Le client a perdu son site Web et n'a pas pu profiter du service de sauvegarde auquel il a souscrit.
Dans la nuit du 9 au 10 mars 2021, un incendie s'est déclenché dans l'enceinte qui abrite les centres de données d'OVHcloud à Strasbourg, en France, causant de graves dommages matériels et financiers à la société d'hébergement. OVHcloud a expliqué que l’incendie est parti du centre de donnée SBG2, qui a été entièrement détruit au moment où arrivaient les secours. En outre, le feu s'est propagé pour toucher une partie du centre de données SBG1. Les centres de données SBG3 et SGB4 n'ont pas été impactés par l'incendie. Jusqu'ici, le bilan financier de ce sinistre n'a pas pu être établi concrètement, mais de nombreux clients ont subi de lourdes pertes.
Deux ans après le drame, une première condamnation a frappé OVHcloud pour "manquement contractuel". En effet, afin d’assurer l’hébergement de ses sites Web, Bati Courtage, une société française spécialisée dans le courtage de travaux, a souscrit auprès d'OVHcloud un contrat de location de serveur privé virtuel (VPS). En plus de cela, Bati Courtage a souscrit auprès d'OVHcloud une option contractuelle complémentaire de sauvegarde automatisée permettant la préservation et la récupération des données du serveur dédié en cas de problème ou de sinistre. Cette option est interdépendante du service d’espace de stockage alloué à l’option de sauvegarde.
Cependant, lors de l'incendie, Bati Courtage a tout perdu. L'entreprise a vu ses sites Web tomber, perturbant ainsi les activités de ses clients directs, mais aussi de ses franchisés. La société de courtage a sollicité OVHcloud pour avoir accès à ses sauvegardes afin de remettre en ligne la dernière version de ses sites Internet datant du 9 mars 2021, mais elle n'a pas reçu une réponse satisfaisante de la part de l'hébergeur. En fait, OVHcloud a notifié à Bati Courtage que toutes ses données ainsi que ses sauvegardes ont été totalement et irrémédiablement détruites dans l'incendie qui a ravagé le centre de données SGB2 dans la nuit du 9 au 10 mars 2021.
Avant la réponse d'OVHcloud, Bati Courtage avait réussi à reconstituer dans l'urgence certains sites grâce à des données antérieures que l'entreprise avait conservées sur site. Selon le jugement, les sauvegardes étaient stockées dans le même bâtiment que celui où se trouvait le serveur principal intégralement détruit par l'incendie. Après cette mésaventure, Bati Courtage a intenté une action en justice contre OVHcloud devant le tribunal de Lille Métropole en juillet 2021 et a réclamé à l'hébergeur plus de 6,5 millions d'euros pour réparer les préjudices qu'elle a subis. L'affaire, qui a été renvoyée 8 fois, a finalement été entendue le 17 novembre dernier.
La délibération du 26 janvier dernier a donné gain de cause à Bati Courtage, mais pas dans les proportions que la société de courtage souhaitait. Le jugement repose en effet sur la fameuse option de sauvegarde automatique souscrite par le plaignant. Le tribunal a établi que la présentation commerciale de l'option de sauvegarde d'OVHcloud ne correspondait pas à celle souscrite par Bati Courtage. Elle aurait été créée ou modifiée postérieurement à l'incendie et à la souscription de l'offre. Le tribunal reproche à la société d'hébergement de ne pas avoir expliqué explicitement dans son offre commerciale que la prestation comportait une sauvegarde "locale".
« Nulle part, le terme de sauvegarde locale n'est mentionné. Nulle part, il n’est indiqué explicitement ou implicitement que les sauvegardes seront stockées au même endroit ou dans le même centre de données que les données du serveur principal. Bien au contraire, le contrat OVH relatif à la sauvegarde automatique stipule qu'une sauvegarde du serveur VPS est planifiée quotidiennement, exportée puis répliquée trois fois avant d'être disponible dans l'espace client, et que l'espace de stockage alloué à l'option de sauvegarde est physiquement isolé de l'infrastructure dans laquelle est mise en place le serveur VPS », indique la décision.
« La formulation "physiquement isolée" de l'infrastructure dans laquelle est mise en place le serveur VPS ne laisse aucune place au doute sur le fait que ces données seront stockées dans un espace physiquement différent du serveur où sont stockées les données principales. En stockant les trois réplications de sauvegardes au même endroit que le serveur principal, OVHcloud n'a pas respecté ses obligations contractuelles vis-à-vis de Bati Courtage. Ainsi, OVHcloud a commis un manquement contractuel à l'obligation la liant à Bati Courtage qui est ainsi fondée à demander réparation à OVHcloud des préjudices résultant de ce manquement ».
Dans son jugement, le tribunal n'a pas retenu contre OVHcloud l'argument de la faute lourde ou de graves manquements à la sécurité contre les incendies dans ces centres de données de Strasbourg. En fin de compte, OVHcloud a été condamnée à verser 38 530 euros à Bati Courtage, au titre de l'indemnisation du préjudice financier subi pour l'année 2021, puis 26 472 euros pour perte d'un actif incorporel. À cela s'ajoutent 20 000 euros pour atteinte à l'image et d'autres indemnisations, pour un total atteignant les 100 000 euros. OVHcloud n'a pour le moment pas fait de commentaire public sur le jugement et l'on ignore si la société fera appel de la décision.
Source : La décision du tribunal de commerce de Lille Métropole (PDF)
Et vous ?
:fleche: Quel est votre avis sur le sujet ?
:fleche: Que pensez-vous du jugement rendu par le tribunal de commerce de Lille Métropole ?
:fleche: Selon vous, OVHcloud pourrait-il faire annuler la décision en cas d'appel ?
Voir aussi
:fleche: Un incendie pourrait coûter 105 millions d'euros à OVHcloud, selon les documents relatifs à l'introduction en bourse
:fleche: OVHcloud frôle un nouvel incendie sur son site de Strasbourg, l'entreprise suspend le plan de redémarrage de ses datacenters
:fleche: Un important incendie sur les installations d'OVHcloud à Strasbourg provoque l'indisponibilité de nombreux sites internet en France et en dehors de l'Hexagone
:fleche: Incendie OVHcloud : vers un accord amiable à 12 M€, le recours collectif contre OVHcloud accentue la pression et souhaite privilégier la négociation
