La première alerte n'était pas une explosion mais un débordement. Dans les heures précédant l'aube du 11 décembre 2005, de l'essence continuait de s'écouler dans le réservoir 912 à Buncefield bien après qu'elle aurait dû s'arrêter. Les enquêteurs établirent plus tard que le manomètre du réservoir avait échoué et que l'alarme de niveau n'offrait pas la protection qu'elle était censée fournir. C'était le point crucial de la jonction humain-mécanique : une opération de remplissage qui dépendait d'instruments fiables a rencontré une défaillance instrumentale, et le système de secours qui aurait dû corriger l'erreur n'a pas arrêté le carburant entrant à temps.
La chronologie avait son importance car Buncefield n'était pas un endroit où le danger se manifestait de manière évidente. C'était un important terminal de stockage de carburant à la périphérie de Hemel Hempstead, un site industriel en activité qui, le jour, gérait les mouvements routiniers d'essence et d'autres carburants, et qui, la nuit, devenait suffisamment calme pour qu'un problème se développe sans être remarqué. Le débordement a commencé comme un événement opérationnel, pas comme un titre accrocheur. Mais les enquêtes officielles ont montré plus tard que l'ampleur de ce qui a suivi était déjà en train de se mettre en mouvement avant que quiconque à l'extérieur du terminal ait une indication visuelle que le site devenait instable.
Un réservoir de stockage n'a pas besoin d'éclater pour devenir dangereux. Si le liquide monte suffisamment haut, il peut déborder dans l'espace sous le toit de la coque et dans les structures environnantes ; si suffisamment de produit volatil s'échappe, il peut créer un nuage de vapeur inflammable qui se propage en fonction du vent, de la température, de la topographie et de la confinement. À Buncefield, l'environnement physique était l'air libre d'un froid matin de décembre, un cadre qui favorisait la propagation invisible de la vapeur plutôt que sa dissipation immédiate. Le danger n'était plus seulement à l'intérieur du réservoir. Il était dans l'air.
La vulnérabilité du dépôt s'était accumulée discrètement. Les opérations de remplissage dans de grands terminaux de carburant dépendent d'une mesure précise du niveau, de l'attention des opérateurs et de la fonctionnalité des dispositifs de sécurité. Dans ce cas, l'enquête officielle a révélé que le manomètre principal avait échoué et que l'alarme de haut niveau ne fonctionnait pas comme une seconde barrière fiable car elle n'était pas correctement connectée à un système indépendant de prévention des débordements. Cette constatation était importante car elle montrait que l'accident n'était pas un coup de tonnerre aléatoire mais une rupture dans une chaîne de barrières qui n'avaient pas été aussi indépendantes qu'elles le paraissaient sur le papier.
Cette chaîne de défaillance est devenue centrale dans le dossier d'expertise établi après la catastrophe. Le Health and Safety Executive, travaillant avec la police et d'autres agences, a ensuite documenté la séquence en détail, et le Buncefield Major Incident Investigation Board a exposé les conclusions dans une série de rapports qui ont transformé un débordement nocturne en une étude de cas sur la sécurité des processus. La question n'était pas simplement de savoir pourquoi un réservoir avait été rempli trop loin. C'était pourquoi le système avait permis à une défaillance de passer à la suivante. Les alarmes, le manomètre et les moyens de prévenir le débordement étaient censés être des couches. Au lieu de cela, ils se sont révélés plus poreux que ne le suggérait la paperasse.
Au moment où le débordement était en cours, la scène avait changé d'une routine à une course contre la physique. Le carburant déplacé du réservoir se déplaçait à travers et autour des structures de confinement. Le nuage de vapeur s'est formé et élargi. Les opérateurs du dépôt et les observateurs à proximité n'avaient aucun indice visuel à la hauteur de l'ampleur du danger ; la vapeur est presque l'ennemi industriel parfait car elle peut être présente longtemps avant d'être remarquée. Un site peut sembler normal tandis que son air devient combustible. Cette invisibilité a donné à l'événement son économie terrifiante : rien ne semblait se passer jusqu'à ce que tout se passe en même temps.
Les signes d'alerte seraient plus tard lus dans une séquence d'expertise : défaillance du manomètre, défaillance de l'alarme, débordement, formation du nuage de vapeur. À l'époque, ils existaient comme de petits événements séparés, dont chacun aurait pu être contenu si la couche suivante avait tenu. La tension résidait dans l'écart entre un dysfonctionnement corrigeable et une réaction en chaîne irréversible. Une catastrophe industrielle grave n'est souvent pas une seule catastrophe mais de nombreuses défaillances ordinaires arrivant plus vite que les gens ne peuvent y répondre.
La logique de l'enquête reflétait cette même accumulation. Buncefield n'a pas été compris à travers un seul moment dramatique mais à travers des documents, des enregistrements de systèmes et des dépendances mécaniques. La question du débordement était liée à la performance d'un manomètre de réservoir et à la manière dont l'alarme de haut niveau était agencée. Le fait que l'alarme n'ait pas fourni la protection attendue est devenu l'une des constatations les plus conséquentes de toute l'enquête, car il a exposé un écart entre la sécurité supposée et la protection réelle. Dans des opérations critiques pour la sécurité, cette différence peut être mesurée en minutes ; à Buncefield, elle a été mesurée en catastrophe.
Puis vint la météo et l'atmosphère autour du terminal, qui n'étaient pas dramatiques en elles-mêmes mais décisives dans leur effet. Une masse d'air suffisamment calme a permis à la vapeur de s'accumuler et de dériver vers des endroits où l'ignition devenait plus probable. Le nuage s'est étendu au-delà de la zone immédiate du réservoir vers des structures voisines et des terrains ouverts, franchissant la frontière entre un problème opérationnel interne et un danger public plus large. Le dépôt n'était plus seulement un lieu de travail ; c'était une source de danger pour la ville environnante.
Cette transition d'un site industriel à une menace pour la communauté est l'une des raisons pour lesquelles Buncefield reste si important dans l'histoire des catastrophes technologiques. Hemel Hempstead était à proximité ; des routes, des entreprises et d'autres installations se trouvaient sur le chemin des conséquences une fois que le nuage de vapeur avait échappé au contrôle immédiat du terminal. Le danger n'était pas contenu par des clôtures ou des frontières administratives. Une fois que le carburant a quitté le réservoir 912 et s'est répandu sous forme de vapeur, la question a cessé d'être simplement un dysfonctionnement du terminal et est devenue une urgence de sécurité publique attendant une ignition.
Ce qui rend cette phase de la catastrophe si difficile à saisir, c'est qu'elle est restée, pendant un temps, presque ordinaire en apparence. La nuit ne s'était pas encore transformée en chaos. Il n'y avait pas de boule de feu, pas de bâtiment s'effondrant, pas de signal audible que le pays était sur le point d'assister à la plus grande explosion en temps de paix en Europe. Au lieu de cela, un réservoir acceptait du carburant au-delà de sa limite prévue tandis qu'un système conçu pour empêcher exactement cela échouait à interrompre l'écoulement. Dans une catastrophe industrielle, le moment le plus dangereux est souvent celui qui ressemble encore à un problème technique.
Le dossier officiel a ensuite centré cette période de temps car le mécanisme de défaillance importait autant que l'explosion elle-même. Ce n'était pas un mystère de motif ou de malice mais une question de processus et de résilience. Combien de dispositifs de sécurité existaient, à quel point étaient-ils indépendants et pourquoi n'ont-ils pas arrêté la séquence ? Ces questions allaient guider l'enquête pendant des années. Le matin même, cependant, rien de tout cela n'était visible pour les quartiers environnants qui se réveillaient dans l'obscurité. Ce qu'ils approchaient n'était pas un dimanche routinier mais le point où la vapeur, l'air et l'ignition étaient sur le point de se rencontrer.
Les dernières minutes avant l'explosion étaient donc un silence sous pression. Le dépôt était déjà déséquilibré ; seul le déclencheur restait. Les enquêteurs identifieraient plus tard ce déclencheur comme une source d'ignition dans ou près du nuage de vapeur, mais pour les personnes vivant et travaillant à proximité, le déclencheur est arrivé comme un instant unique qui a ouvert le matin. À cet instant, l'invisible est devenu violemment visible.
Lorsque le nuage s'est enflammé, Buncefield a cessé d'être un terminal de stockage et est devenu un fournaise de soufflage sur une frange urbaine. Le prochain chapitre commence dans ce flash, lorsque la tempête de feu a déchiré vers le haut et vers l'extérieur et que l'air lui-même semblait se briser.