Am nördlichen Rand von Hemel Hempstead lag das Öl-Lagerterminal Buncefield in der gewöhnlichen Geometrie des späten modernen Großbritannien: Zäune, Tankdächer, Rohrgestelle, Straßen und die niedrigen Industriegebäude, die sich dort sammeln, wo Autobahnen und Vororte fast aufeinandertreffen. Zu Beginn des Jahres 2005 war es eines der größten Treibstoffdepots des Landes, ein Ort, den die meisten Menschen in Hertfordshire von innen nie gesehen hatten, obwohl seine Produkte täglich durch die Wirtschaft der Region flossen. Benzin, Diesel, Flugbenzin und andere raffinierte Produkte wurden über Pipelines und Tanker transportiert. Die Aufgabe des Depots war in der Theorie einfach und in der Praxis unerbittlich: große Mengen flüchtiger Flüssigkeiten empfangen, lagern und versenden, ohne die Kontrolle über die unsichtbaren Dämpfe zu verlieren, die immer um es herum schwebten.
Die Stadt um das Depot hatte sich im Schatten dieser Gefahr entwickelt, ohne sie notwendigerweise so zu benennen. Hemel Hempstead war keine Raffineriestadt im alten industriellen Sinne; es war ein Pendlerort, ein Einzelhandelsort, ein Ort mit Wohnsiedlungen, Umgehungsstraßen und Gewerbeparks. Wohnhäuser, Büros und Lagerhäuser standen in der Nähe der Depotgrenze. Diese Nähe war die erste Verwundbarkeit, auch wenn es leicht zu übersehen war, denn niemand sieht ein Risiko jeden Tag und empfindet es dennoch als Risiko. Das Treibstoffterminal hatte das Aussehen von Ordnung: harte Oberflächen, markierte Fahrspuren, kontrollierter Zugang, Tanks, die in Tausenden von Kubikmetern gemessen wurden. Solche Standorte laden zum Vertrauen ein, weil sie konstruiert und nicht zufällig erscheinen.
Die Systeme, die dazu gedacht waren, gegen Katastrophen zu schützen, waren vielschichtig und technisch. Die Tanks hatten Messgeräte; Alarme sollten hohe Füllstände signalisieren; Überfüllschutzsysteme existierten als zweite Verteidigungslinie; die Betriebsverfahren gingen davon aus, dass die Betreiber, einmal gewarnt, den Zufluss stoppen würden, bevor ein Tank den oberen Rand erreichte. Die umgebende Umwelt fügte eine weitere Annahme hinzu: Dämpfe würden enthalten, dispergiert oder durch Design kontrolliert bleiben. In der Sprache der Sicherheitsingenieure hätte Buncefield ein Ort sein sollen, an dem eine Barriere versagen kann und eine andere dennoch hält. In der Sprache des tatsächlichen Lebens ist dieses Vertrauen oft das, was die Menschen als normal bezeichnen.
Es gab jedoch einen blinden Fleck, der vielen hochgradig konstruierten Standorten gemeinsam ist: der Glaube, dass, weil eine Gefahr prinzipiell verstanden wird, sie daher in der Realität kontrolliert ist. Eine Tankfarm ist nicht auf die gleiche sichtbare Weise gefährlich wie eine einstürzende Brücke oder eine instabile Klippe. Ihre Gefahr ist kumulativ, prozedural und oft langweilig bis zu dem Moment, an dem sie es nicht mehr ist. Die täglichen Routinen des Depots hingen von Instrumentierung, Wartung, Planung und der Reaktion der Betreiber ab. Jede Schwäche in einer Schicht konnte von der nächsten absorbiert werden – bis mehrere Schwächen zusammenkamen.
Die umgebende Landschaft machte das Risiko schwerer vorstellbar und leichter vererbbar. Für das ungeübte Auge waren die Tanks des Standorts nur Teil des industriellen Hintergrunds eines wohlhabenden englischen Stadtteils. Doch was sich in ihnen befand, gehörte zu den energischsten kommerziellen Ladungen des modernen Lebens. Benzin verdampft leicht; sein Dampf, mit Luft in den richtigen Proportionen gemischt, kann explosiv entzündet werden. Diese physikalische Tatsache ist nicht dramatisch, bis sie lokal wird. Dann verwandelt sich ein Lagertank von einem Behälter in ein Instrument, und die unsichtbare Atmosphäre über einem Depot wird zum eigentlichen Schlachtfeld.
Offizielle Ermittler betonten später, dass das Depot kein abweichender Ausreißer war, sondern Teil eines umfassenderen Systems der Treibstoffverteilung, das auf präziser Kontrolle in jeder Phase beruhte. Das Terminal hielt sehr große Mengen, und das Volumen selbst war eine Quelle der Exposition. Je größer der Vorrat, desto größer die Konsequenzen, wenn die Eindämmung versagt. Rund um Buncefield bedeutete dies nicht nur die Tankfarm, sondern auch die Geschäfte, Straßen und Nachbarschaften in der Nähe, die in der Präsenz des Depots gewachsen waren, ohne auf dessen schlimmste Verhaltensweisen ausgelegt zu sein.
Innerhalb der Betriebskultur eines solchen Standorts kann Normalität täuschen. Lieferungen sind geplant, Tanks werden überprüft, und der Tag kann ohne sichtbares Drama vergehen. Menschen vertrauen Messgeräten, weil Messgeräte normalerweise funktionieren; sie vertrauen Verfahren, weil Verfahren so geschrieben sind, dass sie funktionieren. Dieses Vertrauen ist rational, bis ein mechanisches oder menschliches Versagen dazu führt, dass ein Tank Treibstoff annimmt, nachdem sein ordnungsgemäßer Füllstand überschritten wurde. Die Frage ist nicht, ob das System so entworfen wurde, dass es dieses Ergebnis verhindert. Das war es. Die Frage ist, was passiert, wenn Design auf Ermüdung, Fehler und ein Gerät trifft, das nicht mehr die Wahrheit sagt.
Was Buncefield besonders verwundbar machte, war nicht ein Defekt, sondern die Konzentration der Konsequenzen: ein dichter Treibstoffvorrat, nahegelegene bewohnte Gebäude und eine Reihe von Sicherheitsvorkehrungen, die unter Stress korrekt funktionieren mussten. Die Effizienz des Terminals vergrößerte die Einsätze. Ein Standort, der Treibstoff schnell umschlagen kann, kann auch schnell Risiken ansammeln, wenn ein eingehender Strom nicht stoppt. Im späten Herbst 2005, als das Depot seinen Routinebetrieb fortsetzte und die umliegende Stadt sich auf einen gewöhnlichen Dezembermorgen vorbereitete, waren diese verborgenen Bedingungen bereits gegeben.
Die Stille vor der Katastrophe war nicht die Stille der Leere, sondern der Abhängigkeit. Menschen fuhren Straßen, die neben dem Terminal gebaut wurden. Arbeiter kamen in nahegelegene Büros und Lagerhäuser. Treibstoff bewegte sich durch Großbritannien in einem System, das so integriert war, dass sein Erfolg fast unsichtbar war. Bei Buncefield war diese Unsichtbarkeit das Problem. Ein schwerer Unfall dort würde nicht mit einer offensichtlichen externen Bedrohung beginnen. Er würde im Inneren der Maschine des Vertrauens selbst beginnen, in der kleinen Lücke zwischen dem, was das System wissen sollte, und dem, was es tatsächlich wusste. Und dann, in den dunklen Stunden vor der Dämmerung, begannen die ersten Anzeichen, dass etwas nicht stimmte, sichtbar zu werden.
Die Probleme an diesem Morgen kündigten sich nicht als Katastrophe an. Sie traten zunächst als technisches Versagen auf, dann als eine Reihe verpasster Gelegenheiten, es zu stoppen. Bis die Messgeräte und Alarme des Depots ihr Schlimmstes oder Wenigstes getan hatten, war das System bereits über die gewöhnliche Korrektur hinausgegangen.