Vue d’ensemble

Deux couches de protection, chacune servant d’excuse à l’autre

Un dimanche matin de décembre 2005, le Tank 912 du terminal Hertfordshire Oil Storage, près de Hemel Hempstead, s’est rempli au-delà de sa capacité et a déversé de l’essence le long de sa propre paroi pendant environ 24 minutes, jusqu’à ce que le nuage de vapeur atteigne une source d’inflammation. L’explosion fut la plus violente survenue en Europe en temps de paix. Personne n’a été tué — une question de chance et non de conception : c’était un dimanche, à six heures du matin.

Lorsque deux protections indépendantes servent mutuellement à justifier leur manque de fiabilité, l’installation ne dispose plus de deux couches de protection. Elle n’en a aucune.

Victimes

Aucun mort. 43 personnes ont été blessées, toutes légèrement. Environ 2 000 riverains ont été évacués ; l’incendie a brûlé pendant cinq jours.

Morts: 0un dimanche à 06:00
Blessés: 43toutes blessures légères
Essence relâchée: ≈ 250 000 L≈ 300 t — voir la note
Blocages de la jauge: 14en 14 semaines, jamais consignés
Inflammation: 06:01:3211.12.2005, heure locale UK
Coût total: ≈ £1 bnsinistres, intervention, dépollution

Ce qui s’est passé, en cinq lignes

Une livraison d’essence sans plomb a alimenté le Tank 912 toute la nuit. À 03:05, la jauge de niveau du réservoir s’est bloquée : la valeur affichée sur l’écran de la salle de contrôle a cessé de monter alors que le remplissage se poursuivait à environ 550 m³/h. Comme une valeur figée ne franchit jamais un seuil d’alarme, aucune alarme de niveau haut ou très haut n’a été déclenchée. Le détecteur de niveau très haut indépendant qui aurait dû intercepter la situation était mécaniquement désactivé depuis des mois. Vers 05:20, le réservoir était plein ; à partir de 05:37, l’essence s’est déversée en cascade par les évents de toit, s’atomisant dans sa chute et formant un nuage de vapeur froid et dense qui s’est répandu hors du site. Il s’est enflammé à 06:01:32.

Pourquoi cette fiche existe

Buncefield est habituellement raconté comme l’histoire d’une jauge bloquée. Ce n’en est pas une. La jauge a été l’élément déclencheur ; la cause profonde était une organisation qui avait perdu de vue les équipements dont dépendait sa sécurité. La conclusion officielle est sans détour : « Le blocage de la jauge et l’indisponibilité de l’IHLS ont constitué les causes techniques du sur-remplissage du Tank 912 et découlaient des défaillances de management exposées ci-après. » Cette fiche sépare volontairement élément déclencheur et cause profonde — c’est en section 5 que se trouvent les véritables enseignements.

Élément déclencheur et cause profonde. L’élément déclencheur est ce qui a bougé en premier. La cause profonde est ce qui a rendu ce premier mouvement catastrophique. Confondre les deux est l’erreur la plus fréquente des retours d’expérience — et la raison pour laquelle le même événement se reproduit dans une autre installation.

Vous arrivez ici depuis le poster ?

Le poster 40 présenté à WOS 2026 décrit un mode de travail dans lequel une IA, alimentée exclusivement par ces deux rapports publics, a produit la première version du nœud papillon (bow-tie) que vous pouvez ouvrir en section 4, et où un ingénieur en sécurité des procédés a vérifié chacun de ses éléments par rapport aux sources. La section 6 restitue cette vérification en intégralité : chaque élément, la phrase du rapport sur laquelle il repose, et les points sur lesquels les chiffres publics ne concordent pas entre eux.

01 · Site et équipements

Un réservoir, deux couches de protection, un écran

Le terminal Hertfordshire Oil Storage Ltd (HOSL) West stockait plus de 35 millions de litres d’essence, de diesel et de carburant aviation. Le Tank 912 se trouvait dans le Bund A. Cliquez sur une pastille pour voir à quoi servait chaque composant et comment il s’est comporté cette nuit-là.

Tank 912

Réservoir de stockage vertical à toit fixe, Bund A

Il recevait de l’essence sans plomb depuis le réseau de pipelines durant la nuit du 10 au 11 décembre. Le calcul situe le remplissage complet vers 05:20 ; à partir de 05:37, l’essence est sortie par les évents du toit et a ruisselé sur la face extérieure de la robe.

En tombant de cette hauteur, le jet s’est fragmenté et s’est mélangé à l’air froid de décembre. Environ un dixième de la quantité échappée s’est transformé en vapeur — de quoi former un nuage de 80 000–120 000 m² en projection au sol.

Capacité: 6 000 m³
Emplacement: Bund A
Produit: essence sans plomb

Capacité selon WDH § 11. Le diamètre et la hauteur ne figurent dans aucun des rapports publics.

Les rapports ne publient ni le diamètre ni la hauteur du Tank 912. Seule sa capacité est documentée ; aucune dimension n’est donc représentée ici.

02 · Substance et physique

Pourquoi un déversement de réservoir est devenu un nuage au-dessus d’un parking

De l’essence relâchée en cascade libre n’a rien à voir avec de l’essence formant une nappe. C’est la part de Buncefield que les méthodes prédictives de l’époque ont manquée de plus d’un ordre de grandeur.

En une phrase : une essence qui tombe de dix mètres le long de la paroi extérieure d’un réservoir se fragmente en gouttelettes, entraîne de l’air pendant sa chute et s’évapore bien plus vite qu’une nappe ne le ferait — produisant un nuage froid, plus dense que l’air, qui reste plaqué au sol, suit la pente du site et demeure inflammable à des centaines de mètres du réservoir.

La cascade, et non la nappe

L’essence a quitté le réservoir par les évents du toit et est tombée le long de la paroi extérieure. Le jet en chute s’est fragmenté en gouttelettes et a entraîné de l’air. La modélisation réalisée plus tard par le HSE (RR936) situe le débit entre 19 et 33 litres par seconde et par évent, et la vapeur produite à la source entre 173 000 et 215 000 m³ en une demi-heure environ — bien plus que ce que l’évaporation d’une nappe dans la cuvette pouvait expliquer à elle seule.

Essence d’hiver, matinée froide

L’essence automobile sans plomb est formulée en hiver avec une tension de vapeur plus élevée, pour permettre le démarrage des moteurs. Par une matinée de décembre proche de zéro, les fractions légères s’évaporent aisément et la vapeur qui se forme est froide, donc lourde. Environ 10 % de la quantité échappée s’est transformée en vapeur.

Un nuage qui se comporte comme un liquide

Plus dense que l’air, le nuage ne s’est pas dispersé vers le haut. Il s’est écoulé. La vidéosurveillance le montre épais d’environ 1 m à 05:38 et de 2 m à 05:46, débordant du Bund A dans toutes les directions, et atteignant 5–7 m dans la dépression de Three Cherry Trees Lane. La surface au sol touchée par la combustion était de l’ordre de 80 000–120 000 m².

Les arbres, et la surpression que personne n’avait prévue

Dans les parkings situés entre les bâtiments Northgate et Fuji, le nuage a brûlé avec une surpression aujourd’hui estimée à 700–1 000 mbar. Les méthodes employées à l’époque pour évaluer le danger d’un nuage de vapeur non confiné auraient prédit 20–50 mbar. L’encombrement — les voitures en stationnement, les haies et les arbres le long des voies — est considéré comme le moteur de l’accélération de la flamme. La conséquence pour la maîtrise de l’urbanisation fut immédiate : les bases d’implantation de tels dépôts avaient été calculées à partir d’un chiffre erroné.

Ce que disaient les modèles admis

Un nuage de vapeur non confiné à l’air libre produirait des surpressions de l’ordre de 20–50 mbar — destructrices pour les vitrages, survivables sur un parking.

Ce qui a été mesuré et recalculé

700–1 000 mbar dans les parkings Northgate et Fuji, décroissant à 7–10 mbar à deux kilomètres. L’explosion a été enregistrée par les sismographes au Royaume-Uni et aux Pays-Bas.

Essence automobile sans plomb — classification

Liquide et vapeurs extrêmement inflammables · peut être mortel en cas d’ingestion et de pénétration dans les voies respiratoires · provoque une irritation cutanée · peut provoquer somnolence ou vertiges · peut induire des anomalies génétiques et un cancer · susceptible de nuire à la fertilité ou à l’enfant à naître · toxique pour les organismes aquatiques, entraîne des effets néfastes à long terme.

GHS02Inflammable

GHS08Danger pour la santé

GHS07Irritant

GHS09Environnement

Pictogrammes dessinés pour cette fiche dans les formes prescrites par le SGH ; ils sont illustratifs et ne remplacent pas la fiche de données de sécurité d’un produit donné.

Ce qu’il faut en retenir. Le danger n’a pas été mal mesuré — il a été mal modélisé. Une quantité d’essence que tout le monde aurait qualifiée de déversement important a produit une explosion qu’aucune méthode admise de l’époque n’aurait prédite. D’où proviennent vos modèles de conséquences, et que supposent-ils sur l’encombrement : la question vaut d’être posée avant que la réponse ne devienne nécessaire.

03 · Déroulement

Onze heures, un chiffre qui a cessé de bouger

Parcourez la nuit pas à pas. L’indicateur de gauche est ce que voyait la salle de contrôle ; celui de droite, ce qu’il y avait réellement dans le réservoir. Observez leur séparation à 03:05 — et notez, à chaque étape, ce qui pouvait encore être fait.

--:--

1 / 13

Ce qui pouvait encore être fait à cet instant

Affichage ATG · salle de contrôle

–

0 %100 %

Niveau réel dans le réservoir

–

0 %100 %

reconstitution — voir la note ci-dessous

Débit de livraison

–

01 000 m³/h

Comment l’indicateur de droite a été reconstitué. Les rapports donnent deux points fermes et aucune courbe de niveau : l’affichage s’est figé « aux deux tiers environ » à 03:05, et le calcul situe le réservoir complètement plein vers 05:20. Les valeurs intermédiaires sont une interpolation linéaire et sont signalées comme estimation tout au long de la fiche. Notez la tension entre les chiffres publics : à partir des deux tiers de 6 000 m³ et au débit documenté de 550 m³/h, il faudrait environ 3 h 40 min pour atteindre le haut du réservoir, et non les 2 h 15 min qu’impliquent les deux points de repère. Les rapports ne tranchent pas. Si vous utilisez ces chiffres, dites lesquels sont mesurés et lesquels sont déduits.

04 · Analyse par barrières

Huit barrières, aucune efficace

Le nœud papillon (bow-tie) de l’événement redouté central (top event) « Débordement du Tank 912 ». Cliquez sur une barrière pour voir ce qu’elle devait faire, pourquoi elle ne l’a pas fait, et ce qui en découle pour d’autres sites. Rien dans ce schéma n’est une surprise a posteriori — tout était connaissable avant.

Barrières de prévention

ÉVÉNEMENT REDOUTÉ CENTRAL

Débordement du Tank 912

Barrières d’atténuation

✕DÉFAILLANTE▲SOUS-DIMENSIONNÉE○ABSENTE●EFFICACE

Sélectionnez une barrière pour lire l’analyse.

La couleur n’est jamais le seul vecteur de sens : chaque statut porte aussi un symbole et un mot.

Le constat qui porte le plus loin. Le rapport l’énonce sans détour : « Les défaillances du système ATG faisaient que l’on dépendait davantage de l’IHLS ; et comme l’IHLS était fréquemment laissé hors service, on s’appuyait davantage sur l’ATG. » Deux couches dégradées, chacune servant à justifier que l’on tolère l’autre. Personne n’a examiné leur manque de fiabilité combiné — ce qui est précisément l’objet d’une LOPA.

05 · Niveaux de causes

La cause est rarement là où l’événement a eu lieu

Une AcciMap se lit du terrain vers le haut. Chaque niveau est rempli à partir des constats officiels. Si un niveau reste vide dans votre propre analyse, l’analyse n’est pas terminée.

proche de l’événementsystémique

6Terrain — la salle de contrôle5

Un seul écran pour de nombreux réservoirs ; la fenêtre du Tank 912 se trouvait au fond ou presque au fond d’une pile de cinq.
Cette nuit-là, les chefs de quart ne savaient plus avec certitude quel pipeline remplissait quel réservoir.
Postes de 12 heures, cinq d’affilée, avec des heures supplémentaires atteignant parfois 84 heures en sept jours ; aucune pause fixe.
Le « stowing » de la jauge était devenu la solution de contournement admise pour un défaut hebdomadaire.
Le personnel s’était inventé ses propres aides — des réveils pour suivre les interfaces entre lots — et avait demandé un détecteur de niveau très haut de secours.

5Installation et équipements5

La jauge servo s’est bloquée 14 fois en 14 semaines après l’intervention d’août 2005 ; la cause n’a jamais été identifiée.
La disponibilité de l’IHLS dépendait d’un cadenas, sans retour de position ni signalisation de défaillance.
Le bouton d’arrêt d’urgence de l’écran ATG n’avait jamais été raccordé au système.
Aucune alarme sur incohérence entre débit de remplissage et montée du niveau, alors que la gamme ATG le permettait.
Joints de cuvette sans arrêts d’eau, mastics non résistants au feu, tuyauteries traversant les voiles ; aucune rétention tertiaire.

4Management du site6

Aucune inscription au registre des défauts pour les blocages de la jauge ; le responsable d’exploitation ignorait qu’ils s’étaient produits 14 fois.
Aucun système de remplissage des réservoirs : trois seuils d’alarme, huit chefs de quart, huit pratiques différentes.
L’exploitation de la salle de contrôle n’avait jamais fait l’objet d’une analyse de risques.
La liste des pièces critiques pour la sécurité était inexacte et inutilisable pour entretenir les équipements essentiels.
La gestion des modifications n’a été appliquée ni au remplacement du détecteur en 2004 ni aux projets de cuvettes ; les défaillances de cuvettes n’étaient pas traitées comme des presque-accidents.
Une recommandation d’audit de 2004 sur la compétence des prestataires n’a pas été suivie d’effet.

3Société et coentreprise6

HOSL disposait d’un conseil d’administration mais d’aucun salarié, et le conseil se réunissait deux fois par an.
Le rapport de sécurité COMAH avait été rédigé par un prestataire et n’a jamais été examiné par le conseil ; certaines parties relevaient de l’intention plutôt que de la description du site.
Le soutien du siège que le site aurait dû recevoir « faisait défaut » ; le responsable d’exploitation comme le coordinateur du terminal avaient trop de tâches.
Aucun cadre pour les indicateurs de sécurité des procédés ; le système de gestion de la sécurité était centré sur la sécurité des personnes.
Des décisions du conseil ont retardé l’embauche d’un neuvième chef de quart et refusé le financement d’une rétention tertiaire.
Le personnel considérait que les lignes UKOP étaient prioritaires, par crainte d’une pénalité financière.

2Branche et chaîne d’approvisionnement4

Le fabricant du détecteur savait que son matériel était utilisé dans des installations à hauts risques, mais n’a communiqué la criticité du cadenas ni à l’installateur, ni au mainteneur, ni à l’utilisateur.
Le prestataire de maintenance installait et testait un équipement dont il ne comprenait pas le mode de défaillance.
L’exploitant n’a pas agi en « client averti » et ne pouvait pas s’assurer de ce qu’il achetait.
Aucune norme britannique en vigueur en 2005 n’exigeait une protection anti-débordement de haute intégrité, conçue de façon indépendante, pour le stockage de carburants.

1Réglementation et maîtrise de l’urbanisation4

Un site à hauts risques relevant de COMAH jouxtait une zone d’activités de 630 entreprises employant quelque 16 500 personnes.
La maîtrise de l’urbanisation reposait sur des méthodes de conséquences qui sous-estimaient la surpression d’un ordre de grandeur.
Le rapport de 2011 examine les exploitants, non la performance du régulateur lui-même — c’est l’objet des rapports distincts du MIIB sur la maîtrise de l’urbanisation et sur les politiques et procédures du HSE.
Après Buncefield : le BSTG (2007) a exigé que la protection anti-débordement soit évaluée selon BS EN 61511, le PSLG (2009) a énoncé les principes de leadership en sécurité des procédés, et l’autorité compétente a publié en 2008 une politique de rétention à trois niveaux.

06 · Méthode et vérification

Comment cette analyse a été construite — et comment la vérifier

C’est la section vers laquelle pointe le poster 40. Sa promesse est « vérifiez vous-même » ; voici donc ce qu’il y a à vérifier : d’où vient chaque élément du bow-tie, ce qu’a apporté une IA, ce qu’a décidé un humain, et là où les chiffres publics se contredisent.

Quatre principes

01

Fournir les preuves, pas l’internet

Les deux rapports d’enquête publics sont le seul matériau admis dans l’analyse. Aucune recherche web, aucun autre cas historique, aucun souvenir du modèle. Rien ne peut entrer dans le bow-tie qui ne figure dans ces documents.

02

Exiger la page pour chaque réponse

L’interrogation augmentée par la recherche documentaire ne répond à chaque question qu’à partir de ces pages et désigne le passage utilisé. Chaque affirmation est traçable : l’invention n’a nulle part où se cacher.

03

Mettre la méthode dans le prompt, pas dans le modèle

Le prompt porte la discipline du bow-tie : menace, événement redouté central, couches de barrières, statut, conséquences. Le modèle remplit une structure qui lui a été donnée. Le savoir d’ingénierie reste chez l’ingénieur, modifiable et réutilisable.

04

L’ingénieur valide

Chaque élément est vérifié par rapport aux rapports avant d’être utilisé, et cette vérification est consignée — c’est le tableau ci-dessous. L’IA rédige la structure ; l’humain conserve le jugement et la responsabilité.

Traçabilité élément par élément

Chaque ligne associe une affirmation de cette fiche au passage qui la porte. Les deux rapports sources sont référencés en section 9 ; les numéros de paragraphe renvoient aux documents imprimés.

Élément	Affirmation dans cette fiche	Source
Élément déclencheur	La cause immédiate a été le défaut de fonctionnement de l’ATG et de l’IHLS lors de la montée du niveau.	WDH § 18, p. 13
Barrière 1	La jauge s’est bloquée 14 fois entre le 31 août et le 11 décembre 2005 ; l’enregistrement des défauts et la réponse de la maintenance sont désignés comme des défaillances de management de type cause profonde.	WDH § 26, p. 14
Barrière 2	Le levier de contrôle de l’IHLS est resté non immobilisé parce que le cadenas — élément de sécurité essentiel — n’avait pas été remis en place ; sa criticité n’a jamais été communiquée.	WDH § 24–25, p. 14 · App. 1
Interface homme-machine	Un seul écran ; la fenêtre du Tank 912 se trouvait au fond ou presque au fond d’une pile de quatre autres fenêtres de réservoirs.	WDH § 29, pp. 14–15
Barrière 3	Aucune visibilité SCADA sur les lignes UKOP ; un changement de débit de 550 à 900 m³/h est survenu à l’insu des chefs de quart ; aucun système de planification anticipée.	WDH § 35–36, p. 16
Barrière 4	« Il n’existait pas de système de remplissage des réservoirs digne de ce nom … il s’agissait là d’une grave défaillance de management. »	WDH § 48, p. 17
Manque de fiabilité combiné	« Les défaillances du système ATG faisaient que l’on dépendait davantage de l’IHLS ; et comme l’IHLS était fréquemment laissé hors service, on s’appuyait davantage sur l’ATG. »	WDH § 57, p. 19
Barrière 6	Joints de cuvette sans arrêts d’eau, mastic non résistant au feu, rupture catastrophique des voiles au droit des traversées de tuyauteries.	WDH § 63–71, pp. 21–23
Barrière 7	« À Buncefield, il n’existait pratiquement aucune rétention tertiaire. »	WDH § 73–74, p. 24
Niveaux 3 et 4	Aucun cadre pour les indicateurs de sécurité des procédés ; le conseil se réunissait deux fois par an et n’a jamais examiné le rapport de sécurité ; le financement d’une rétention tertiaire a été refusé.	WDH § 87–91, pp. 28–29
Chronologie	Livraison à partir de 18:50 environ à 550 m³/h ; affichage figé à 03:05 ; réservoir calculé plein vers 05:20 ; vapeur visible à 05:38 ; inflammation à 06:01:32.	MIIB-IR § 10 · MIIB-3PR
Quantités	Plus de 250 000 litres échappés ; jusqu’à 300 tonnes, dont environ 10 % transformés en vapeur ; 43 blessés, aucun mort.	MIIB-V1 § 16, 18 · WDH § 14
Nuage de vapeur	Nuage de 1 m d’épaisseur à 05:38 et de 2 m à 05:46, de 5–7 m dans Three Cherry Trees Lane ; 173 000–215 000 m³ de vapeur produits à la source.	MIIB-3PR · RR936 p. 23

Là où les chiffres publics divergent

Masse contre volume. Le rapport de 2011 indique « plus de 250 000 litres » ; le rapport final du MIIB indique « jusqu’à 300 tonnes ». À la masse volumique de l’essence, ces deux valeurs ne représentent pas la même quantité. Les deux sont citées ici ; aucune n’est convertie dans l’autre.
Le début du débordement. 05:20 est l’heure calculée du remplissage complet ; 05:37 est l’heure à laquelle il a été établi que l’essence sortait des évents. Ce sont deux événements distincts, souvent cités comme un seul.
La valeur figée. « Aux deux tiers environ » à 03:05 et « complètement plein vers 05:20 » ne peuvent être conciliés tous deux avec un débit constant de 550 m³/h. C’est la raison pour laquelle la reconstitution de la section 3 est signalée comme une estimation.
La magnitude sismique. La valeur de 2,4 ML est largement reprise, mais elle n’est pas énoncée par le British Geological Survey dans sa propre analyse de l’événement, ni retrouvée dans les rapports du MIIB ; le BGS donne un équivalent d’environ 29,5 t de TNT, avec une incertitude pouvant atteindre un ordre de grandeur. Elle n’est donc pas utilisée dans cette fiche.
Réservoirs impliqués. Le volume 1 du MIIB emploie à la fois « plus de 20 » et « 23 » selon les paragraphes.

Limites de la méthode

Les rapports sources contiennent déjà une analyse aboutie. Un modèle qui les lit peut reproduire des conclusions plutôt que les établir — c’est la réserve la plus forte que l’on puisse faire sur un cas rétrospectif.
Les rapports d’enquête comportent un biais rétrospectif, et ce biais se propage à tout ce qui en est dérivé.
Le mode de travail n’a pas été éprouvé sur des données rares, contradictoires ou commercialement sensibles, qui sont la condition normale du travail réel.
Une seule exécution ne fournit aucune statistique de reproductibilité. Le résultat dépend autant de l’ossature du prompt que du modèle.
Rien de ce qui figure ici ne remplace une visite de site, un P&ID, ou les personnes qui exploitent l’installation.

Outils utilisés et responsabilité

Une recherche documentaire ancrée sur les sources (NotebookLM, Google) a servi à interroger les deux sources primaires ; un grand modèle de langage (Claude, Anthropic) a servi à la génération structurée selon un cadre de bow-tie fourni dans le prompt. Aucun affinage de modèle, aucune donnée propriétaire et aucun accès au site n’ont été utilisés à quelque étape que ce soit.

La libération technique de cette fiche relève de la responsabilité d’un ingénieur en sécurité des procédés nommément désigné chez rhysafe AG. Lorsqu’une affirmation ne pouvait pas être rattachée à une source, elle a été supprimée plutôt qu’atténuée.

À compléter après l’exécution de l’analyse pour WOS 2026 : identifiant du modèle et date d’exécution, temps écoulé jusqu’à la première version complète, nombre d’éléments de barrière proposés par le modèle, et nombre d’éléments modifiés, ajoutés ou supprimés par l’ingénieur vérificateur. Ces chiffres sont délibérément laissés en blanc plutôt que repris d’une exécution antérieure.

07 · Autotest

Sept questions avant de passer à la suite

Chaque réponse peut être déduite de cette fiche. Répondez d’abord, révélez ensuite.

01Pourquoi aucune alarme de niveau haut n’a-t-elle retenti, alors que le réservoir a dépassé tous les seuils ?

Parce que les alarmes étaient des seuils issus de la mesure même qui avait défailli. La jauge s’est bloquée aux deux tiers environ ; une valeur qui ne bouge plus ne franchit jamais un seuil. C’est toute la différence entre une défaillance à sécurité positive et une défaillance silencieuse — et c’est pourquoi une alarme issue de la mesure de conduite n’est pas une couche de protection indépendante.section 4, barrière 1

02Le détecteur de niveau très haut indépendant était installé, testé et entretenu. Pourquoi était-il mort ?

Son levier de contrôle doit être immobilisé en position horizontale par un cadenas. Après un essai de fonctionnement, le cadenas n’a pas été remis en place : le levier est resté — ou est retombé — dans la position qui désactive le détecteur. Personne, du fabricant au site, n’avait été informé que le cadenas était critique pour la sécurité, et la position du levier n’est signalée nulle part.section 4, barrière 2

03Quelle vérification de routine, avec des données déjà disponibles sur le site, aurait mis fin à l’événement ?

Comparer le volume livré par le pipeline avec la montée de niveau dans le réservoir. À partir de 03:05, les deux divergent de plus de 500 m³ par heure. Aucun système de rapprochement n’existait, et pour deux des trois pipelines le site ne pouvait même pas voir le débit.section 4, barrière 3

04Pourquoi la distance de séparation est-elle classée « sous-dimensionnée » et non « défaillante » ?

Parce qu’elle a fonctionné exactement comme conçue. C’est la base de conception qui était fausse : les méthodes admises de l’époque prédisaient 20–50 mbar pour un nuage de vapeur non confiné, et la surpression dans les parkings a été de 700–1 000 mbar. Une barrière qui fonctionne conformément à sa spécification et n’empêche pourtant pas l’issue met en cause la spécification, ce qui est un constat plus grave qu’un composant cassé.section 4, barrière 8

05La jauge a défailli 14 fois en 14 semaines et a été réparée chaque fois. Pourquoi est-ce pire qu’une longue indisponibilité ?

Parce que chaque réparation refermait le symptôme et que personne n’additionnait les événements. Les défaillances n’étaient pas inscrites au registre des défauts, le responsable d’exploitation en ignorait la fréquence, et la cause n’a jamais été identifiée. Une barrière réparée à répétition défaille de manière systématique — mais elle ne produit aucun événement assez important pour déclencher une revue.section 4, barrière 5

06Qu’entend le rapport par la dépendance accrue de chaque couche envers l’autre ?

La jauge peu fiable rendait le détecteur plus important, et le détecteur fréquemment désactivé rendait la jauge plus importante. Chacun servait de raison pour tolérer l’autre. Personne n’a évalué le manque de fiabilité combiné des deux — ce qui est précisément l’objet d’une analyse des couches de protection.section 4, note

07Où, dans l’AcciMap, se situe la décision qui a le plus directement coûté au site sa rétention tertiaire ?

Au niveau de la société et de la coentreprise. Le conseil se réunissait deux fois par an, n’a jamais examiné le rapport de sécurité et a refusé le financement d’une rétention tertiaire — le même organe dont les atermoiements ont privé la salle de contrôle d’un chef de quart.section 5, niveau 3

08 · Transposition à votre site

Huit questions à poser lundi

Pas « améliorer la culture sécurité ». Des questions dont la réponse est soit oui, avec preuve, soit non.

Pour chaque déclenchement sur niveau haut de notre site : sa mesure provient-elle d’un capteur indépendant de celui utilisé pour la conduite — et agirait-il si ce capteur se figeait au lieu de dériver ?Lesquels de nos dispositifs de protection peuvent être désactivés silencieusement par un seul oubli pendant un essai de fonctionnement, et qu’est-ce qui l’indique à la salle de contrôle ?Combien de fois chaque instrument critique pour la sécurité a-t-il été réarmé, ponté ou contourné au cours des douze derniers mois — et qui voit ce chiffre ?Pour chaque transfert en vrac vers notre installation : existe-t-il un bilan volumique ou massique indépendant confronté au niveau, et est-il vérifié par quelqu’un qui en subira les conséquences s’il est faux ?Tous les postes conduisent-ils la même opération critique pour la sécurité de la même façon — et sinon, l’écart est-il documenté ou simplement toléré ?Quand le dimensionnement de détail de nos cuvettes de rétention a-t-il été vérifié pour la dernière fois au regard du code dont le rapport de sécurité affirme le respect : joints, traversées, tenue au feu ?Lors d’un incendie de longue durée avec une cuvette défaillante, où vont les eaux d’extinction, et pendant combien d’heures pouvons-nous les retenir ?Quels indicateurs de sécurité des procédés parviennent à notre conseil, à quelle fréquence celui-ci les examine-t-il, et auraient-ils montré une jauge défaillant une fois par semaine ?

traitées0 sur huit

09 · Sources

Sources et lectures complémentaires

Cette fiche repose sur deux rapports publics. Tout le reste de cette liste relève du contexte.

Sources primaires

Buncefield Major Incident Investigation Board (MIIB): The Buncefield Incident, 11 December 2005 — The final report of the Major Incident Investigation Board, Volume 1. HSE, 2008. ISBN 978 0 7176 6270 8. PDF
COMAH Competent Authority (HSE / Environment Agency): Buncefield: Why did it happen? The underlying causes of the explosion and fire at the Buncefield oil storage depot, Hemel Hempstead, Hertfordshire, 11 December 2005. HSE, February 2011. PDF

Contexte et évolutions ultérieures

MIIB: Buncefield Investigation — Initial Report, 13 July 2006. PDF
MIIB: Third Progress Report, 9 May 2007. PDF
Buncefield Standards Task Group: Safety and environmental standards for fuel storage sites — Final report, 24 July 2007. PDF
Process Safety Leadership Group: Principles of Process Safety Leadership, 2009 (relaunched 2025). PDF
HSE Research Report RR936: Buncefield explosion mechanism — liquid flow and vapour production. PDF
HSE Research Report RR716: LOPA of fuel storage tank overfill. PDF
MIIB: Recommendations on land use planning and the control of societal risk around major hazard sites, 15 July 2008. PDF
HSE: COMAH / Buncefield document index. PDF

Localisation du site

Hemel Hempstead, Hertfordshire — localisation approximative de l’ancien terminal HOSL West. 51.7621 N, 0.4243 W

Droits et images

Buncefield: Why did it happen? est sous Crown copyright 2011 et publié sous l’Open Government Licence ; plusieurs photographies qu’il contient portent des crédits de tiers et échappent à cette licence. Le rapport final du MIIB est sous Crown copyright, tous droits réservés. Pour cette raison, la présente fiche ne reproduit aucune photographie de l’un ou l’autre rapport ; le schéma de la section 1 est un dessin original réalisé pour cette fiche à partir des descriptions contenues dans les deux rapports.

Consulté le 26 août 2026.

Ce Learning Sheet vise à susciter la prise de conscience et la discussion en matière de sécurité des procédés. Il constitue une lecture condensée de deux rapports d’enquête officiels, ne les remplace pas et ne formule aucune accusation à l’encontre de quiconque. Lorsque les sources divergent, la divergence est montrée plutôt que tranchée. Établi par rhysafe AG ; libération technique par un ingénieur en sécurité des procédés. Version pilote d’une nouvelle série de Learning Sheet : remarques et corrections à martina.scotton@rhysafe.ch.

rhysafe AG · Sandgrubenstrasse 44 · 4058 Basel · www.rhysafe.ch · Confidence in Safety