Deux heures et cinq minutes. C’est le temps qu’il aura fallu, le 14 août 2003, pour que trois branches d’arbre mal élaguées dans l’Ohio plongent 55 millions de personnes dans le noir, aux États-Unis comme au Canada. Un chiffre presque absurde tant la cause paraît dérisoire face à l’ampleur du désastre. Mais ce jour-là, la vraie panne ne s’est pas jouée dans les arbres. Elle s’est jouée sur un écran d’ordinateur, dans une salle de contrôle près d’Akron.

Un après-midi de canicule qui tourne mal

Le 14 août 2003, peu après 14 heures, une ligne à haute tension du nord de l’Ohio a frôlé des arbres trop hauts et s’est déconnectée. Rien d’exceptionnel en soi : la ligne s’était affaissée sous l’effet de la chaleur dégagée par le courant qui la traversait, une chaude journée d’été où la demande en électricité battait son plein. Ce genre d’incident, les compagnies électriques y font face régulièrement. Un secteur bascule, les opérateurs redistribuent la charge, et l’affaire est réglée en quelques minutes.

Mais rien de tout cela ne s’est produit. Normalement, l’incident aurait dû déclencher une alarme dans la salle de contrôle de FirstEnergy, la compagnie électrique de l’Ohio, mais le système d’alarme est tombé en panne. Les opérateurs, eux, continuaient de regarder leurs écrans. Rien n’y clignotait.

Silence radio.

Pendant l’heure et demie suivante, pendant que les opérateurs tentaient de comprendre ce qui se passait, trois autres lignes se sont affaissées sur des arbres et se sont coupées à leur tour, forçant les lignes restantes à absorber une charge de plus en plus lourde. Chaque coupure aggravait la suivante, dans un effet domino que personne ne voyait venir. Surchargées, elles ont fini par céder vers 16h05, déclenchant une cascade de défaillances à travers le sud-est du Canada et huit États du nord-est américain.

Un bug logiciel resté invisible pendant plus d’une heure

La cause du basculement généralisé n’a rien de spectaculaire à première vue : un défaut logiciel, tapi dans les entrailles du système informatique XA/21 de General Electric, utilisé pour surveiller le réseau électrique de FirstEnergy. Un bug alors inconnu dans ce système de contrôle, installé à la sous-station Eastlake 5 de FirstEnergy dans l’Ohio, a été identifié comme la cause principale de la panne.

Le mécanisme est presque vertigineux de banalité technique. Quand un serveur de secours a pris le relais, il a lui aussi flanché, incapable de gérer l’accumulation d’événements non traités qui s’étaient empilés depuis la première défaillance. Résultat : le système est tombé en panne silencieusement, si bien que les opérateurs de FirstEnergy n’ont pas su pendant plus d’une heure qu’ils consultaient des données obsolètes sur l’état de leur portion du réseau. l’écran affichait un réseau stable pendant que celui-ci s’effondrait ligne après ligne, quelques kilomètres plus loin.

Une enquête a ensuite retracé l’origine exacte du bug. Le défaut était si profondément enfoui qu’il a fallu des semaines d’analyse à travers des millions de lignes de code pour le localiser, selon les propos rapportés par un porte-parole de GE Energy dans la presse spécialisée. Six techniciens de GE Energy, épaulés par des consultants du cabinet KEMA, se sont penchés sur le problème pendant des mois avant d’en percer le mécanisme précis.

Le comble ? Le système XA/21 ne reposant pas sur Windows, il ne pouvait pas avoir été infecté par le ver informatique Blaster qui circulait à l’époque, une piste envisagée un temps, puis écartée. Le coupable était bien plus prosaïque : une erreur de conception, une « race condition » dans le jargon informatique, qui a fait dérailler l’ensemble du dispositif d’alerte au pire moment possible.

Quand l’aveuglement se propage plus vite que le courant

Les opérateurs de la salle de contrôle n’ont commis aucune faute de jugement. Ils ont simplement pris des décisions rationnelles à partir d’informations fausses. Occupés à essayer de comprendre les défaillances multiples, les contrôleurs du réseau dans l’Ohio n’ont pas prévenu leurs homologues des États voisins, tout simplement parce qu’ils ignoraient qu’il y avait quoi que ce soit à signaler.

La suite s’est jouée en quelques minutes seulement. La panne a entraîné l’arrêt de 21 centrales électriques en seulement trois minutes, provoquant la plus grande défaillance électrique jamais observée en Amérique du Nord. À 16h13, 508 unités de production réparties dans 265 centrales électriques étaient hors ligne. New York, Détroit, Toronto, Ottawa : des millions de foyers plongés dans le noir en l’espace d’un claquement de doigt, ou presque.

L’enquête officielle, menée conjointement par les autorités américaines et canadiennes, a confirmé que le scénario aurait pu être évité. Elle a pointé trois causes principales, dont une « conscience situationnelle inadéquate » de la part de FirstEnergy et de l’opérateur régional MISO, qui n’ont pas réalisé assez tôt qu’il y avait un problème. L’élagage insuffisant des arbres n’apparaît qu’en second lieu dans le rapport, loin derrière l’aveuglement numérique qui a empêché toute réaction à temps. Le coût économique total de l’incident a été estimé entre 6 et 10 milliards de dollars, et certains quartiers de New York et de Toronto sont restés privés d’électricité pendant deux jours.

Ce qui frappe, avec le recul, c’est la disproportion totale entre la cause et l’effet. Trois branches, un logiciel figé, une heure de silence : voilà tout ce qu’il aura fallu pour paralyser une bonne partie du continent nord-américain. FirstEnergy a depuis renforcé ses protocoles de surveillance et de maintenance forestière, et le régulateur américain FERC a imposé de nouvelles normes obligatoires, notamment sur l’entretien des lignes à proximité de la végétation. Vingt-trois ans plus tard, le réseau électrique nord-américain reste pourtant vulnérable au même type de scénario : une défaillance minuscule, invisible, qui se propage bien plus vite que les techniciens chargés de la repérer.

Sources : ebsco.com | crainscleveland.com | renewableenergyworld.com