フランスのデータセンターが燃えた。データの一部は、二度と戻らなかった

2021年3月10日、午前0時を少し回った頃、フランス・ストラスブールのデータセンター群で火災警報が鳴りました。数時間のうちに、敷地に並ぶ4棟のうちの1棟——SBG2、サーバーで埋め尽くされた5階建てのコンクリートの建物——が、制御できない炎に包まれました。地域一帯から消防隊が集まり、一晩中消火にあたりました。しかし夜明けには、SBG2は廃墟になっていました。

これは怪しげな零細ホスティング業者の話ではありません。欧州最大級のクラウド事業者、OVHcloudです。顧客は数百万。創業者のオクターヴ・クラバは、プレスリリースでは到底間に合わない速さで事態が動く中、一晩中Twitterで状況を投稿し続けました。彼の言葉は飾り気がありませんでした。「災害復旧計画を発動してください」。朝には何百万ものウェブサイトが止まっていました——政府のサービス、ゲームサーバー、小さな会社のホームページ、個人のプロジェクト。そして少なからぬ顧客にとっては、それよりもっと悪いことが起きていました。データが、ただ消えてしまったのです。一時的に届かなくなったのではありません。消えたのです。

クラウドは、雲ではなかった。建物だったのです。そして建物は燃えます。

クラウドは建物である

私たちは「クラウド」を天気のように語ります——拡散していて、どこにでもあって、局地的な災害には無縁のものとして。その比喩は、業界のために静かに働いています。触れられないものは、壊れもしない、と思わせるからです。しかしあなたが「クラウドに置いた」ファイルはすべて、特定の部屋の、特定の建物の、特定の通りの住所にある、回転するディスクかフラッシュチップの上にあります。その建物には屋根があり、電源の引き込みがあり、バッテリー室があり——そしてストラスブールが示した通り——燃える条件も揃っているのです。

データセンターは火災に対して並外れた注意で設計されています。ガス消火設備、防火区画、冗長化された電源経路、停電時に負荷を支えるバッテリー。OVHの施設も例外ではなく、近代的でよく管理された施設でした。それでも火は出た。それでも燃え広がった。それでも建物が一棟、失われました。調査は数か月にわたって原因を追い、建物の電気系統に焦点を当てました——サーバーを生かしているその仕組みが、悪い時間帯にはサーバーを殺すものにもなる。この皮肉はOVHだけのものではありません。すべてのデータセンターは、莫大な電力を一か所に集中させています。大規模な計算にはそれが必要だからです。集中こそビジネスモデルであり、集中こそリスクなのです。

焼けたものと、戻らなかったもの

ここを多くの人が誤解しています。データを永久に失った顧客が失ったのは、OVHが不注意だったからではありません。多くの場合、バックアップが同じ建物の中にあったからです。

原本と同じ施設にあるバックアップは、バックアップではありません。同じ火を待つ、二つ目のコピーです。SBG2が燃えたとき、「SBG2内の別のラック」に冗長化していた顧客は、冗長化と複製は別物だと知りました。本当の複製は分離を意味します——別の建物、別の電力網、別の壊れ方。OVHの顧客の少なからぬ数が、その分離を一度もしていませんでした。事業者が「考えなくていい」ようにしてくれていたからです。ダッシュボードは一つ、請求も一つ、場所も一つ。利便性が、いつの間にか回復力に取って代わっていたのです。

この事件の不快な真実は、ほとんどの人にとって技術は設計通り働いた、ということです。同じ敷地のSBG3とSBG4は予防的に停止され、後に復旧しました。オフサイトにコピーを持っていた顧客は再建できました。すべてを失った人々が失ったのは、バグのせいではなく、前提のせいでした。「専門の施設にあれば、それ自体が保証になる」という前提です。

そんな保証は存在しません。保証とは場所ではなく、工程なのです。

3-2-1ルールと、誰もやらない「1」

ストレージ業界には、まさにこの事態のための決まり文句があります。3-2-1——データを3つ持ち、2種類の異なる媒体に置き、1つをオフサイトに。業界の人間なら誰でも唱えられます。しかし個人で本当に実行している人は、ほとんどいません。

最初の二つは簡単です。コピー3つ、媒体2種類——ハードディスクとクラウド同期、あるいはNASと外付けドライブで足ります。そこまではみんなやる。静かに省略されるのは、最後の「1」——物理的に離れた、できればオフラインのオフサイトコピーです。省略される理由は、それが継続的な手間を要求する唯一の部分だからです。第二の場所、定期的な手入れ、あなたが考えていないときにコピーを世話する誰か。

ストラスブールが罰したのは、まさにその省略された「1」でした。持っていた顧客は数日で再建しました。持っていなかった顧客は、できなかった。脅威が火災だろうと、洪水だろうと、ランサムウェアだろうと、光ファイバーを切る重機だろうと、このルールは気にしません。気にするのは、あなたのコピーが運命を共にするかどうかだけです。

「事業者がやってくれているはず」

私たちが最もよく聞く反論は、こういうものです。「まともな事業者ならリージョンをまたいで複製しているはずだから、自分で考える必要はない」。それが真実のこともあります——あなたがその料金を払い、設定し、検証していれば。しかし多くの人はデフォルトのプランにいて、そこでの複製は「キャンパス内」を意味します。そしてキャンパスは、先に述べた通り、建物です。

思考そのものを外部委託することには、もっと深い問題があります。事業者が全部やってくれると、あなたは問いをやめてしまいます——どのバージョンがどこにあるのか、オフサイトのコピーはどれくらい古いのか、今年は誰かが復元テストをしたのか。事業者のダッシュボードは緑です。だから大丈夫なはずだ。しかしダッシュボードは、緑でなくなる瞬間まで緑なのです。火災のあと、一部のOVH顧客は、自分たちの「地理的冗長」構成が、思い込んでいたものでは一度もなかったと知りました。人々が「自分の構成はこうなっている」と信じているものと、実際になっているものの隙間——データが死ぬのは、そこです。

だからこそ、ストレージ業界の古参は「検証」について退屈なほどに口うるさいのです。事業者の建物は信じていい。しかし自分のコピーは確かめる。職人の言い方をすれば、一度の火災が届かない場所にコピーがあることを自分の目で確かめていないなら、それはバックアップではありません。希望です。

誰かが「覚えている人」でなければならない

セネカは書きました。不運は予期し、備えるべきだ——悲観からではなく、備えこそが災厄を「終わり」から「中断」に変えるからだ、と。OVHの火災は、その区別をめぐる事例研究です。本物のオフサイトコピーを持っていた顧客にとって、3月10日はひどい一週間で、それで終わりました。持っていなかった顧客にとっては、終わりそのものでした。

教訓は「クラウドを使うな」ではありません。クラウドはアクセスと共同作業のための立派な道具です。教訓はこうです。失うわけにいかないものには、原本と運命を共にしないコピーが必要だ——別の建物、別の電力網、別の脅威モデル。そしてそのコピーを生かし続ける定期的な手入れが必要です。時折電源を入れ、検証し、媒体が寿命を迎える前に交換する。

その手入れを自分でやる人はほとんどいません。なぜならバックアップの目的は、考えなくて済むことだからです。それが逆説であり、保管という仕事が存在する理由です。ダッシュボードでも同期クライアントでもなく、あなたが行ったことのない建物にいる一人の人間。その仕事のすべては、地味な世話です。番号付け、封印、写真撮影、年に二度の封印の目視点検と記録——そしてメディア自体の検証は、所有者が書面で依頼したときに限る。3-2-1の「1」を、それ以外何もしない誰かがやる。それがこの仕事です。

火災は、古参がすでに知っていたことをストラスブールの顧客に教えました。クラウドは建物です。建物は燃えます。そう思って備えてください。

Everkeepは、お客様ご自身が所有・暗号化したドライブのオフライン保管サービスです。各スロットには年2回の状態点検が含まれます——封印の目視確認、写真撮影、記録。ドライブに電源を入れるのは、お客様が書面で依頼された場合のみです。二つのコピーを、二つの離れた場所に。1デバイススロットあたり年額199米ドル。