Environ 1 500 MW de data centers ont quitté le réseau d'un coup. C'est leur propre protection qui l'a décidé, pas celle du réseau.

Vers 19 h, heure de l'Est, le 10 juillet 2024, un parafoudre a lâché sur une ligne de transport de 230 kV de l'Interconnexion de l'Est. Un brouillon ultérieur d'un groupe de travail de la NERC place la ligne sur le territoire de service de Dominion Energy, en Virginie. Le défaut était permanent, et les disjoncteurs de la ligne ont fait ce pour quoi ils sont configurés : se rouvrir, puis réessayer, trois fois à chaque extrémité, avant de verrouiller la ligne. Cela fait six défauts en 82 secondes. Le système de protection a détecté et éliminé chacun d'eux correctement, le plus long en 66 millisecondes.

Dans la même zone locale, environ 1 500 MW de charge ont disparu. Aucune n'a été déconnectée par un équipement du gestionnaire de réseau, et les opérateurs du réseau ne l'avaient pas anticipé. C'était entièrement de la charge de data centers, retirée du réseau par les protections et les automatismes de leurs propres clients.

La NERC, qui rédige et fait appliquer les normes de fiabilité du réseau sous la supervision de la FERC, a publié sa revue d'incident le 8 janvier 2025. Le 16 juillet 2026, la FERC a ordonné à la NERC de déposer les premières normes obligatoires pour les « charges de calcul » (computational loads) avant le 31 décembre 2026. Le 15 octobre, la NERC a annoncé que ses normes proposées avaient passé leur vote final auprès de l'industrie. Entre-temps, un événement plus important a frappé la même région.

J'ai lu la revue d'incident, l'ordre de la FERC, les projets de normes et les diapositives du gestionnaire de réseau sur l'événement de juillet 2026. À part le défaut matériel qui a déclenché chaque événement, aucun de ces documents ne décrit une défaillance de protection. Côté réseau, chaque défaut a été éliminé comme prévu. Côté clients, en 2024, la NERC a attribué l'essentiel de la perte à une règle qui fait ce pour quoi elle est construite.

Six défauts, trois creux, une règle

Le réenclenchement automatique est le « retry » du réseau : si le défaut était temporaire, la ligne revient toute seule. Pendant chacun des six défauts, la tension dans la zone de charge est tombée entre 0,25 et 0,40 par unité, soit de 25 à 40 % de la normale, pendant 42 à 66 millisecondes.

Les data centers traversent ces creux de tension grâce à des alimentations sans interruption (UPS). La NERC décrit trois architectures : des UPS centralisés de 2 à 5 MW, des unités au niveau du rack de 3 à 4 kW, et des UPS rotatifs diesel, un volant d'inertie qui porte la charge pendant le démarrage d'un moteur diesel. Un UPS à batterie rend la charge au réseau dès que la tension revient. Le type rotatif, non : le retour sur le réseau est typiquement manuel.

Il y a ensuite une règle au-dessus de tout cela. Des discussions avec les propriétaires de data centers, écrit la NERC, ont identifié un dispositif qui compte les perturbations de tension. Dans les mots de la NERC : « Le nombre typique de perturbations de tension qui déclenchent ce dispositif est de trois, et une durée typique est d'une minute. » Une fois déclenché, le site passe sur l'alimentation de secours et y reste jusqu'à ce que quelqu'un le reconnecte manuellement.

Regardons maintenant les horodatages. Le premier creux est survenu à 19:00:23,351. Le réenclenchement instantané aux deux extrémités a causé le deuxième à 19:00:23,883. Le deuxième réenclenchement à une extrémité a causé le troisième à 19:00:39,211, soit 15,86 secondes après le premier. Trois creux en moins de 16 secondes, largement à l'intérieur d'une fenêtre d'une minute.

Au troisième creux, environ 1 260 MW ont quitté le réseau « et ne sont pas revenus pendant des heures ». La NERC attribue la plus grande part de la perte de charge de l'événement à « l'interaction entre la séquence de réenclenchement automatique » et le dispositif de comptage des creux.

Ce que le réseau a ressenti

Quand de la charge disparaît, la production dépasse brièvement la demande et la fréquence monte. Avec moins de courant dans les lignes, la tension monte aussi. La fréquence a culminé à 60,047 Hz et est revenue à la normale en environ quatre minutes. La tension a atteint 1,07 par unité, 7 % au-dessus du nominal, et les opérateurs ont retiré des batteries de condensateurs shunt pour la ramener vers le bas.

La NERC est claire : aucun de ces niveaux n'était un risque pour la fiabilité cette fois. Son inquiétude porte sur l'échelle : le réseau « a historiquement été planifié pour de fortes pertes de production, mais pas pour des pertes de charge simultanées aussi importantes ». Elle signale aussi le trajet retour : « Les rampes de connexion de la charge sont tout aussi critiques pour l'exploitation du réseau que les rampes de production. »

Le 22 juillet 2026 : la même forme, en plus grand

À 07 h 56 le 22 juillet 2026, une ligne de 230 kV a eu un défaut dans la zone Dominion de PJM, le gestionnaire régional du réseau. Les conclusions préliminaires de Dominion, présentées au comité d'exploitation de PJM le 6 août, indiquent qu'un sous-conducteur s'est arraché d'un manchon de compression, la cause apparente étant la surchauffe du manchon due à des boulons mal serrés. Le défaut et chaque réenclenchement ont été éliminés en 2 à 3 cycles, soit environ 33 à 50 millisecondes à 60 Hz. « Tous les systèmes de protection ont fonctionné comme prévu, en isolant la ligne en défaut. »

Une première vague d'environ 2 970 MW est passée sur l'alimentation de secours. La diapositive de PJM décrit l'étape suivante : « Le transfert de charge a provoqué des conditions de haute tension et déclenché le transfert de charge supplémentaire vers la production de secours. » Une seconde vague de 1 099 MW a suivi. PJM a chiffré le total à environ 3 800 MW en août et à environ 3 900 MW dans ses diapositives du 6 octobre : dans les deux cas, le plus grand transfert de charge qu'il ait connu. La charge de son système est passée de 99 984 MW à 96 205 MW, soit environ 3,8 %. La fréquence a atteint 60,092 Hz. PJM a ramené son erreur d'équilibrage dans les limites en 9 minutes, contre une exigence de 30 minutes, et la charge est revenue en moins de 30 minutes.

Ces conclusions sont préliminaires, et les chiffres des vagues ne s'additionnent pas exactement au total. La chronologie de Dominion place la première vague au milieu de la séquence de réenclenchement. PJM qualifie le transfert de « probablement dû à la tenue aux creux de tension (voltage ride-through) » ; les diapositives ne disent pas qu'un compteur de creux était en cause. Ce qu'elles montrent, c'est une boucle de rétroaction : un groupe de sites qui se protégeait a créé la surtension qui a fait déclencher le groupe suivant. « C'était un défaut normalement éliminé », a déclaré Emanuel Bernabeu, président du comité d'exploitation de PJM. « Ils ne devraient pas se déconnecter du réseau. »

Ce que font les premières normes, et ce qu'elles laissent de côté

L'ordre de la FERC demande à la NERC des normes d'« actions essentielles » et des critères d'enregistrement avant le 31 décembre 2026, et un plan de travail pour une deuxième phase avant le 1er mars 2027, « avec plus de certitude que ne le permettent des calendriers volontaires ».

Le paquet, dont le vote final s'est clos le 14 octobre, créerait trois nouvelles normes, CLO-001-1, CLO-002-1 et CLO-003-1, pour des sites de 50 MW ou plus raccordés à 100 kV ou plus. La FAQ de la NERC indique qu'elle demandera l'approbation de son conseil d'administration en décembre, puis déposera auprès de la FERC. CLO-001-1 fait entrer la logique de déclenchement dans le modèle de planification : les données de modélisation doivent inclure « les paramètres, réglages et capacités relatifs à la cessation, au déclenchement, à la tenue aux perturbations (ride-through) et à la récupération après perturbation », et les propriétaires doivent revérifier leurs modèles dans les 180 jours suivant un changement matériel, logiciel, de firmware ou de réglage qui modifie la réponse dynamique du site. CLO-003-1 exige des enregistreurs de perturbations au transformateur principal du site, un enregistrement continu échantillonné au moins 960 fois par seconde, et des horloges à moins de 1 milliseconde de l'UTC. Les sites existants disposent de 36 mois après la date d'entrée en vigueur pour les enregistreurs.

Ce que le paquet ne fixe pas, c'est un ride-through minimal à l'échelle de l'industrie. La FAQ de la NERC dit qu'elle « ne traite aucune exigence de tenue minimale en tension et en fréquence à l'échelle de l'industrie ». Une demande en brouillon du groupe de travail sur les grandes charges de la NERC, publiée pour commentaires le 26 août, propose une enveloppe de performance (par exemple, tenir au moins 0,5 seconde à 0,5 à 0,8 par unité) et contient une phrase qui se lit comme une réponse à juillet 2024 : le « seuil » d'un compteur de creux « devrait tenir compte de la séquence de réenclenchement automatique attendue sur le réseau de transport qui dessert le site ». Elle note aussi que des sites sur le même poste, frappés par des creux presque identiques, se sont comportés différemment, si bien que les planificateurs « ne peuvent pas actuellement prédire quelle quantité de charge un défaut crédible retirera du service ». La mise à jour du troisième trimestre de la NERC indique que le groupe prévoyait de porter une version finale à ses comités les 20 et 21 octobre ; les mots cités ici viennent du brouillon d'août. PJM a proposé ses propres exigences de ride-through le 8 septembre.

Ce que j'en retiens

Je ne conçois pas de postes électriques. Comme CTO d'une LegalTech construite sur Claude, je livre des logiciels qui dépendent des services d'autres personnes, et la forme m'est familière. Par analogie seulement : le réenclenchement est une politique de retry, le compteur de creux est un circuit breaker côté client. Chacun est raisonnable seul. Détenus et réglés par des parties différentes, le retry a satisfait la condition de déclenchement du breaker en moins de 16 secondes, sur tous les sites qui l'utilisaient et voyaient les mêmes creux.

Ce que je copierais :

1. Mets les chiffres côte à côte. Écris le calendrier de retry de chaque dépendance à côté de ton propre seuil de déclenchement. Le brouillon du groupe de travail demande exactement cela : dimensionner le compteur sur la séquence de réenclenchement.
2. Teste la flotte, pas l'unité. L'alerte de la NERC du 4 mai 2026 demandait aux planificateurs de trouver les contingences crédibles où la perte agrégée de charge de calcul, déclenchements décidés par les clients compris, violerait les critères de planification. En logiciel, rejoue la vraie séquence de panne d'une dépendance contre tous les clients à la fois.
3. Traite les réglages comme du code. CLO-001-1 traite un changement de réglage comme un changement d'équipement. Un timeout mérite la même relecture qu'un commit.
4. Enregistre à la frontière, sur une seule horloge. En 2024, la cause est sortie de discussions avec les propriétaires de data centers. Des enregistreurs synchronisés à l'interface permettraient à la prochaine revue de vérifier la séquence sur des données.
5. Prévois le retour. Les UPS rotatifs et les compteurs de creux demandent typiquement un retour manuel, et la NERC met en garde sur les rampes de reconnexion. Tous les clients qui se reconnectent en même temps, c'est un incident à part entière.

Les preuves ont des limites. La revue de la NERC ne nomme aucun opérateur et ne publie les réglages d'aucun site, et les conclusions de Dominion pour 2026 sont préliminaires : ses diapositives annonçaient une analyse formelle des causes profondes pour septembre 2026. PJM dit que le réseau n'a subi aucun impact significatif sur la fiabilité le 22 juillet 2026. Le risque, c'est la tendance : environ 1 500 MW en juillet 2024, environ 1 800 MW en février 2025 et environ 3 900 MW en juillet 2026 selon le décompte d'octobre de PJM, et des sites existants, pas futurs, derrière chaque événement documenté à ce jour, selon la demande en brouillon.

Le réseau a tenu sa promesse de réessayer. Les data centers ont tenu leur promesse de se protéger. Personne côté réseau n'avait anticipé ce que les deux promesses feraient ensemble.

Sources

• NERC, « Incident Review: Considering Simultaneous Voltage-Sensitive Load Reductions » (8 janvier 2025)
• FERC, « Order Directing the North American Electric Reliability Corporation to File Reliability Standard(s) Pertaining to Computational Load Integration », Docket No. RD26-7-000 (16 juillet 2026)
• NERC, « Level 3 Alert, Essential Action to Industry: Computational Load Modeling, Studies, Instrumentation, Commissioning, Operations, Protection, and Control » (4 mai 2026)
• NERC, « NERC's Computational Loads Standards Pass Final Ballot, Advance to Board Adoption » (15 octobre 2026)
• NERC, « CLO-001-1, Computational Load Interconnection, Studies, & Modeling Data, final draft » (octobre 2026)
• NERC, « CLO-003-1, Computational Load Protection Coordination & Disturbance Monitoring, final draft » (octobre 2026)
• NERC, « CLO-003-1 Implementation Plan » (octobre 2026)
• NERC, « Project 2026-02 Computational Loads FAQ » (octobre 2026)
• NERC Large Loads Working Group, « Standard Authorization Request: Reliability Standards to Address Computational Load Disturbance Performance (draft) » (publié le 26 août 2026)
• NERC, « Large Loads Action Plan, Q3 2026 Update » (14 octobre 2026)
• PJM, « PJM Large Computational Load (LCL) Operational Review », Planning Committee (6 octobre 2026)
• PJM, « July 22, 2026 Dominion Load Transfer Event » (avec les conclusions préliminaires de Dominion Energy) (6 août 2026)
• PJM Inside Lines, « PJM, Dominion Review Large Load Transfer Event » (11 août 2026)
• PJM Inside Lines, « PJM Proposes Reliability Standards to Manage Large Load Disconnection Events » (10 septembre 2026)