Sull'orlo settentrionale di Hemel Hempstead, il terminal di stoccaggio di petrolio di Buncefield si trovava nella geometria ordinaria della Gran Bretagna tardo-moderna: recinzioni, tetti dei serbatoi, scaffalature per tubi, strade e i bassi capannoni industriali che si raccolgono dove le autostrade e i sobborghi si sfiorano. All'inizio del 2005, era uno dei principali depositi di carburante del paese, un luogo che la maggior parte delle persone in Hertfordshire non vedeva mai dall'interno, anche se i suoi prodotti si muovevano ogni giorno attraverso l'economia della regione. Benzina, diesel, carburante per aviazione e altri prodotti raffinati arrivavano e partivano tramite condotte e autocisterne. Il compito del deposito era semplice in teoria e implacabile nella pratica: ricevere, immagazzinare e spedire grandi volumi di liquido volatile senza perdere il controllo dei vapori invisibili che aleggiavano sempre attorno ad esso.
La città circostante era cresciuta all'ombra del pericolo senza necessariamente nominarlo in quel modo. Hemel Hempstead non era una città di raffinerie nel senso industriale tradizionale; era un luogo di pendolari, un luogo commerciale, un luogo di complessi residenziali, strade circolari e parchi industriali. Case, uffici e magazzini si trovavano vicino al confine del deposito. Quella prossimità era la prima vulnerabilità, anche se era facile non accorgersene perché nessuno percepisce un rischio ogni giorno e continua a sentirlo come tale. Il terminal di carburante aveva l'aspetto dell'ordine: superfici dure, corsie segnate, accesso controllato, serbatoi misurati in migliaia di metri cubi. Tali siti invitano alla fiducia perché sembrano ingegnerizzati piuttosto che accidentali.
I sistemi destinati a proteggere contro i disastri erano stratificati e tecnici. I serbatoi avevano manometri; gli allarmi erano progettati per segnalare livelli elevati; esistevano sistemi di protezione contro il traboccamento come seconda linea di difesa; le procedure operative presumevano che gli operatori, una volta avvisati, avrebbero fermato l'afflusso prima che un serbatoio raggiungesse il massimo. L'ambiente circostante aggiungeva un'altra assunzione: i vapori sarebbero rimasti contenuti, dispersi o gestiti per design. Nel linguaggio dell'ingegneria della sicurezza, Buncefield avrebbe dovuto essere un luogo in cui una barriera poteva fallire e un'altra poteva comunque reggere. Nella lingua della vita reale, quel tipo di fiducia è spesso ciò che le persone chiamano normale.
C'era, tuttavia, un punto cieco comune a molti siti altamente ingegnerizzati: la convinzione che, poiché un pericolo è compreso in linea di principio, sia quindi controllato nella realtà. Una fattoria di serbatoi non è pericolosa nello stesso modo visibile di un ponte in crollo o di una scogliera instabile. Il suo pericolo è cumulativo, procedurale e spesso noioso fino al momento in cui non lo è. Le routine quotidiane del deposito dipendevano da strumentazione, manutenzione, programmazione e risposta degli operatori. Qualsiasi debolezza in uno strato poteva essere assorbita dal successivo — fino a quando diverse debolezze non si allineavano.
Il paesaggio circostante rendeva il rischio più difficile da immaginare e più facile da ereditare. A un occhio distratto, i serbatoi del sito erano solo parte dello sfondo industriale di un prospero distretto inglese. Eppure ciò che si trovava all'interno era tra i carichi commerciali più energetici della vita moderna. La benzina evapora facilmente; il suo vapore, mescolato con aria nelle giuste proporzioni, può accendersi in modo esplosivo. Questo fatto fisico non è drammatico fino a quando non diventa locale. Allora un serbatoio di stoccaggio si trasforma da contenitore a strumento, e l'atmosfera invisibile sopra un deposito diventa il vero campo di battaglia.
Gli investigatori ufficiali hanno successivamente sottolineato che il deposito non era un'anomalia fuori controllo, ma parte di un sistema più ampio di distribuzione di carburante che si basava su un controllo preciso in ogni fase. Il terminal deteneva quantità molto grandi, e il volume stesso era una fonte di esposizione. Maggiore era lo stoccaggio, maggiori erano le conseguenze se il contenimento falliva. Intorno a Buncefield, ciò significava non solo la fattoria di serbatoi, ma anche le attività, le strade e i quartieri vicini che erano cresciuti in presenza del deposito senza essere progettati attorno al suo comportamento peggiore.
All'interno della cultura operativa di un tale sito, la normalità può essere ingannevole. Le consegne sono programmate, i serbatoi vengono controllati e la giornata può passare senza dramma visibile. Le persone si fidano dei manometri perché di solito funzionano; si fidano delle procedure perché le procedure sono scritte per funzionare. Quella fiducia è razionale fino a quando un guasto meccanico o umano lascia un serbatoio accettare carburante dopo che il suo livello corretto è stato superato. La questione non è se il sistema fosse progettato per prevenire quel risultato. Lo era. La questione è cosa succede quando il design incontra la fatica, l'errore e un dispositivo che non dice più la verità.
Ciò che rese Buncefield particolarmente vulnerabile non fu un difetto, ma la concentrazione delle conseguenze: un inventario di carburante denso, edifici occupati nelle vicinanze e un insieme di misure di sicurezza che dovevano funzionare correttamente sotto stress. L'efficienza stessa del terminal ampliava le scommesse. Un sito che può smaltire rapidamente carburante può anche accumulare rapidamente rischio se un flusso in entrata non riesce a fermarsi. Nella tarda autunno del 2005, mentre il deposito continuava la sua routine e la città circostante si preparava per una normale mattina di dicembre, quelle condizioni nascoste erano già in atto.
Il silenzio prima del disastro non era il silenzio del vuoto, ma della dipendenza. Le persone percorrevano strade costruite accanto al terminal. I lavoratori arrivavano negli uffici e nei magazzini vicini. Il carburante si muoveva attraverso la Gran Bretagna in un sistema così integrato che il suo successo era quasi invisibile. A Buncefield, quell'invisibilità era il problema. Un grave incidente lì non sarebbe iniziato con una minaccia esterna ovvia. Sarebbe iniziato all'interno della macchina stessa della fiducia, nel piccolo divario tra ciò che il sistema doveva sapere e ciò che sapeva realmente. E poi, nelle ore buie prima dell'alba, i primi segnali che qualcosa non andava cominciarono a comparire.
Il problema di quella mattina non si annunciò come una catastrofe. Entrò prima come un guasto tecnico, poi come una serie di occasioni mancate per arrestarlo. Quando i manometri e gli allarmi del deposito avevano fatto il loro peggio o il minimo, il sistema era già andato oltre la correzione ordinaria.