À l'extrémité nord de Hemel Hempstead, le terminal de stockage de pétrole de Buncefield se trouvait dans la géométrie ordinaire de la Grande-Bretagne moderne tardive : clôtures, toits de réservoirs, racks de tuyaux, routes et les bas hangars industriels qui se forment là où les autoroutes et les banlieues se touchent presque. Au début de 2005, c'était l'un des principaux dépôts de carburant du pays, un endroit que la plupart des gens dans le Hertfordshire ne voyaient jamais de l'intérieur, bien que ses produits circulent chaque jour dans l'économie de la région. L'essence, le diesel, le carburant d'aviation et d'autres produits raffinés entraient et sortaient par pipeline et par tanker. La tâche du dépôt était simple en théorie et impitoyable en pratique : recevoir, stocker et expédier de grands volumes de liquides volatils sans perdre le contrôle des vapeurs invisibles qui flottaient toujours autour.
La ville environnante avait grandi à l'ombre du danger sans nécessairement le nommer ainsi. Hemel Hempstead n'était pas une ville de raffinerie au sens industriel ancien ; c'était un lieu de banlieue, un lieu de commerce, un endroit d'immeubles et de rocades. Des maisons, des bureaux et des entrepôts se trouvaient près de la limite du dépôt. Cette proximité était la première vulnérabilité, bien qu'il soit facile de la manquer car personne ne voit un risque chaque jour et le ressent encore comme un risque. Le terminal de carburant avait l'apparence de l'ordre : surfaces dures, voies marquées, accès contrôlé, réservoirs mesurés en milliers de mètres cubes. De tels sites invitent à la confiance parce qu'ils semblent conçus plutôt qu'accidentels.
Les systèmes censés protéger contre les catastrophes étaient superposés et techniques. Les réservoirs avaient des jauges ; des alarmes étaient censées signaler des niveaux élevés ; des systèmes de protection contre les débordements existaient comme une seconde ligne de défense ; les procédures opérationnelles présumaient que les opérateurs, une fois avertis, arrêteraient l'entrée de carburant avant qu'un réservoir n'atteigne le sommet. L'environnement environnant ajoutait une autre hypothèse : les vapeurs resteraient contenues, dispersées ou gérées par conception. Dans le langage de l'ingénierie de la sécurité, Buncefield aurait dû être un endroit où une barrière pouvait échouer et une autre tenir encore. Dans le langage de la vie réelle, ce genre de confiance est souvent ce que les gens appellent normal.
Cependant, il y avait un angle mort commun à de nombreux sites hautement conçus : la croyance que parce qu'un danger est compris en principe, il est donc contrôlé en réalité. Une ferme de réservoirs n'est pas dangereuse de la même manière visible qu'un pont qui s'effondre ou une falaise instable. Son danger est cumulatif, procédural et souvent ennuyeux jusqu'à ce qu'il ne le soit plus. Les routines quotidiennes du dépôt dépendaient de l'instrumentation, de la maintenance, de la planification et de la réponse des opérateurs. Toute faiblesse dans une couche pouvait être absorbée par la suivante — jusqu'à ce que plusieurs faiblesses s'alignent.
Le paysage environnant rendait le risque plus difficile à imaginer et plus facile à hériter. À l'œil nu, les réservoirs du site n'étaient qu'une partie de l'arrière-plan industriel d'un district anglais prospère. Pourtant, ce qu'ils contenaient était parmi les cargaisons commerciales les plus énergétiques de la vie moderne. L'essence s'évapore facilement ; sa vapeur, mélangée à l'air dans les bonnes proportions, peut s'enflammer de manière explosive. Ce fait physique n'est pas dramatique jusqu'à ce qu'il devienne local. Alors, un réservoir de stockage se transforme d'un conteneur en instrument, et l'atmosphère invisible au-dessus d'un dépôt devient le véritable champ de bataille.
Les enquêteurs officiels ont par la suite souligné que le dépôt n'était pas un cas isolé mais faisait partie d'un système de distribution de carburant plus large qui reposait sur un contrôle précis à chaque étape. Le terminal contenait des quantités très importantes, et le volume lui-même était une source d'exposition. Plus le stockage était grand, plus les conséquences étaient graves en cas d'échec de confinement. Autour de Buncefield, cela signifiait non seulement la ferme de réservoirs mais aussi les entreprises, les routes et les quartiers voisins qui avaient grandi en présence du dépôt sans être conçus autour de son comportement dans le pire des cas.
À l'intérieur de la culture opérationnelle d'un tel site, la normalité peut être trompeuse. Les livraisons sont planifiées, les réservoirs sont vérifiés, et la journée peut passer sans drame visible. Les gens font confiance aux jauges parce que les jauges fonctionnent généralement ; ils font confiance aux procédures parce que les procédures sont écrites pour fonctionner. Cette confiance est rationnelle jusqu'à ce qu'une défaillance mécanique ou humaine laisse un réservoir accepter du carburant après que son niveau approprié a été dépassé. La question n'est pas de savoir si le système a été conçu pour prévenir ce résultat. Il l'a été. La question est de savoir ce qui se passe lorsque le design rencontre la fatigue, l'erreur et un dispositif qui ne dit plus la vérité.
Ce qui a rendu Buncefield particulièrement vulnérable n'était pas un défaut mais la concentration des conséquences : un inventaire de carburant dense, des bâtiments occupés à proximité et un ensemble de mesures de sécurité qui devaient fonctionner correctement sous stress. L'efficacité même du terminal élargissait les enjeux. Un site qui peut écouler rapidement du carburant peut également accumuler rapidement des risques si un flux entrant ne parvient pas à s'arrêter. À la fin de l'automne 2005, alors que le dépôt poursuivait sa routine et que la ville environnante se préparait pour un ordinaire matin de décembre, ces conditions cachées étaient déjà en place.
Le calme avant la catastrophe n'était pas le calme du vide mais de la dépendance. Les gens empruntaient des routes construites à côté du terminal. Des travailleurs arrivaient dans des bureaux et des entrepôts voisins. Le carburant circulait à travers la Grande-Bretagne dans un système si intégré que son succès était presque invisible. À Buncefield, cette invisibilité était le problème. Un accident majeur là-bas ne commencerait pas par une menace externe évidente. Il commencerait à l'intérieur même de la machinerie de confiance, dans le petit écart entre ce que le système était censé savoir et ce qu'il savait réellement. Et puis, dans les heures sombres avant l'aube, les premiers signes que quelque chose n'allait pas commencèrent à apparaître.
Les problèmes de ce matin-là ne se sont pas annoncés comme une catastrophe. Ils sont d'abord entrés comme une défaillance technique, puis comme une série d'occasions manquées pour l'arrêter. Au moment où les jauges et les alarmes du dépôt avaient fait leur pire ou leur moindre, le système avait déjà dépassé la correction ordinaire.