Google Cloud : une PLC mal configurée à l'origine de la panne de Londres

Un câble défaillant au pire moment

Selon Google, la cause première est la défaillance d'un câble souterrain externe du fournisseur d'électricité, relié à l'arrivée A. L'arrivée B était alors hors service : son disjoncteur avait été ouvert physiquement pour des réparations, après des problèmes constatés lors d'un test trimestriel de charge des générateurs le 14 octobre 2026. L'arrivée A supportait donc toute la charge critique.

Lorsque A est tombée, les alimentations sans interruption (onduleurs), capables de tenir cinq minutes, ont fonctionné. Mais « un défaut de conception de la détection de tension et une mauvaise configuration du PLC » ont empêché l'envoi du signal de démarrage automatique aux générateurs. D'après Google, la logique du PLC indiquait qu'une source saine était disponible alors que les deux distributions étaient hors tension ; aucune commande de démarrage n'a donc été émise. Les onduleurs se sont vidés et la zone a perdu son alimentation.

Correctifs et suites

Une fois le réseau rétabli, Google a reprogrammé le PLC pour éviter toute récidive. Le groupe affirme avoir apporté plusieurs modifications à l'installation électrique et les avoir testées.

Deux actions sont prévues : une « amélioration de la communication », avec un mécanisme automatisé d'alerte vers la communication pour accélérer les notifications lors d'incidents touchant un site, et un élargissement des tests à l'échelle de la plateforme pour les événements d'infrastructure.

Pour les clients, l'épisode rappelle que la redondance sur le papier dépend de logiques de contrôle fiables, y compris pendant des opérations de maintenance qui réduisent la résilience.