Entenda por que o AZ-5, comando de desligamento emergencial do Reator 4 de Chernobyl, não salvou o reator: hastes de controle, deslocadores de grafite, ORM baixa, coeficiente de vazio positivo e falhas de projeto.

Confira!

Quando se fala no acidente do Reator 4 da usina nuclear de Chernobyl, uma das perguntas mais intrigantes é: por que o botão de emergência não salvou o reator?

O comando conhecido como AZ-5 deveria inserir as hastes de controle e proteção no núcleo, reduzir a reação nuclear e levar o reator a uma condição segura. Em uma leitura intuitiva, seria o equivalente ao “freio de emergência” do sistema.

Mas, na madrugada de 26 de abril de 1986, o AZ-5 foi acionado quando o Reator 4 já estava em uma condição extremamente vulnerável. Baixa potência, envenenamento por xenônio, muitas hastes retiradas, margem operacional de reatividade muito baixa, coeficiente de vazio positivo, aumento de vapor e uma característica problemática das hastes de controle criaram uma combinação crítica.

Este artigo aprofunda um ponto específico da série Chernobyl: como o sistema que deveria desligar o reator acabou fazendo parte da sequência que levou à sua destruição.

Antes de seguir, vale reforçar: o AZ-5 não deve ser tratado como causa única do acidente. Ele foi o último elemento de uma cadeia que já estava instável. A pergunta correta não é apenas “quem apertou o botão?”, mas por que um comando de emergência pôde ter efeito inicial contrário ao esperado?

O que era o AZ-5 em Chernobyl?

O AZ-5, também associado ao sistema de proteção emergencial do reator, era o comando de desligamento rápido. Ao ser acionado, deveria ordenar a inserção das hastes de controle e proteção no núcleo do RBMK.

A função esperada era simples no conceito: inserir material absorvedor de nêutrons no núcleo, reduzir a reatividade e interromper a reação nuclear em cadeia sustentada. Mesmo após o desligamento, o reator continuaria produzindo calor residual, mas a reação em cadeia deveria ser suprimida.

Portanto, o AZ-5 não era um comando operacional comum. Era uma barreira de segurança. Um sistema desse tipo precisa funcionar de forma previsível justamente quando o reator está em condição anormal.

O problema é que, no RBMK do Reator 4, a geometria das hastes e a condição operacional do núcleo permitiram que o primeiro efeito da inserção não fosse plenamente redutor de reatividade.

Como uma haste de controle deveria funcionar?

Em um reator nuclear, a potência depende do comportamento dos nêutrons. Quando um núcleo de urânio-235 sofre fissão, ele libera calor e novos nêutrons. Esses nêutrons podem provocar novas fissões, mantendo a reação em cadeia.

Uma haste de controle tem a função de interferir nesse processo. Ela contém material absorvedor de nêutrons, como boro ou carbeto de boro. Ao absorver nêutrons, reduz a quantidade de partículas disponíveis para provocar novas fissões.

Em termos simples:

  • mais nêutrons disponíveis tendem a aumentar ou sustentar a reação;
  • menos nêutrons disponíveis tendem a reduzir a reação;
  • hastes de controle inseridas absorvem nêutrons e reduzem reatividade;
  • hastes retiradas deixam mais nêutrons disponíveis e aumentam a reatividade disponível.

Essa é a lógica básica. Mas o RBMK tinha uma particularidade importante: suas hastes de controle não eram simplesmente barras absorvedoras contínuas.

O que havia de diferente nas hastes do RBMK?

O núcleo do RBMK era uma grande matriz de grafite atravessada por canais verticais. Alguns canais continham combustível nuclear e água de resfriamento. Outros continham hastes de controle e proteção. Outros eram usados para instrumentação.

As hastes de controle ficavam em canais próprios, separados dos canais de combustível. Elas se moviam verticalmente por mecanismos eletromecânicos do sistema de controle e proteção do reator.

O ponto crítico é que as hastes do RBMK possuíam uma parte absorvedora e também deslocadores de grafite. Esses deslocadores não eram o material de frenagem da reação. A função redutora vinha da parte absorvedora. O grafite tinha outra lógica de projeto.

Essa característica é uma das chaves para entender por que o AZ-5, em vez de reduzir imediatamente a reatividade em toda a condição do núcleo, pôde contribuir para um aumento inicial localizado de reatividade.

Por que havia grafite em uma haste de controle?

A dúvida é legítima: se a haste de controle serve para reduzir a reação, por que colocar grafite nela?

A resposta está no compromisso de projeto do RBMK. O grafite não foi colocado para “acelerar antes de frear”. Ele foi colocado como deslocador, para ocupar parte do canal quando a haste absorvedora estivesse retirada.

Por quê? Porque, quando uma haste absorvedora estava retirada, o canal de controle não ficava neutronicamente igual ao restante do núcleo. Ele podia conter água. E a água, além de participar do resfriamento, absorvia parte dos nêutrons.

No RBMK, o moderador principal era o grafite. Sua função era desacelerar nêutrons rápidos, aumentando a probabilidade de novas fissões no urânio-235. A água tinha outro papel: removia calor e também absorvia parte dos nêutrons.

Então, do ponto de vista de eficiência neutrônica, um canal de controle preenchido por água quando a haste estava retirada funcionava como uma absorção parasita. O deslocador de grafite reduzia esse efeito, tornando o canal mais parecido com o restante da matriz moderadora de grafite.

Em operação normal, essa solução fazia sentido para performance do reator. Menos absorção parasita significava melhor aproveitamento dos nêutrons gerados pela fissão, maior eficiência neutrônica e operação mais favorável dentro da lógica do projeto.

Mas uma solução boa para eficiência operacional pode ser inaceitável se comprometer uma função de segurança em condição-limite.

Por que não fazer a haste toda de boro?

Essa é uma das perguntas mais importantes para entender o problema de projeto.

Se a função da haste é absorver nêutrons, por que ela não era totalmente absorvedora? Por que não substituir a água por boro ou carbeto de boro, garantindo que qualquer inserção reduzisse imediatamente a reatividade?

Do ponto de vista de segurança, essa pergunta faz todo sentido. Uma haste de emergência deveria reduzir reatividade desde o primeiro movimento.

Mas, do ponto de vista da lógica de projeto do RBMK, uma haste com absorção excessiva em toda sua extensão imporia outro compromisso. Ela manteria uma absorção neutrônica muito elevada em condições nas quais o reator deveria operar em potência. Isso exigiria compensações no projeto do núcleo, no enriquecimento do combustível, nos absorvedores fixos, na distribuição de potência e na estratégia de controle.

O deslocador de grafite foi uma escolha de projeto para preservar eficiência neutrônica quando a haste não deveria atuar como freio principal. Essa escolha reduzia perdas por absorção de nêutrons em operação normal, mas criou um comportamento transitório perigoso durante a inserção em determinadas condições.

Aqui está a lição de engenharia: otimizações de performance não podem degradar a função de segurança. Se a segurança depende de um comando de desligamento rápido, esse comando não pode ter um primeiro efeito ambíguo em nenhum cenário operacional razoavelmente previsível.

Por que “acelerar antes de frear” é uma boa analogia?

A expressão “acelerar antes de frear” não descreve a intenção dos projetistas, mas descreve bem o efeito que pôde ocorrer no Reator 4.

Quando muitas hastes estavam muito retiradas e o AZ-5 foi acionado, o primeiro movimento de inserção colocou os deslocadores de grafite em regiões onde havia água nos canais. Como a água absorvia nêutrons e o grafite moderava nêutrons, essa substituição podia aumentar localmente a reatividade antes que a parte absorvedora da haste entrasse em uma região realmente eficaz do núcleo.

Em uma situação normal, esse efeito poderia ser pequeno ou compensado pelo restante do sistema. Mas no Reator 4, a condição não era normal. O núcleo já estava em baixa potência, com forte influência do xenônio, muitas hastes retiradas, ORM muito abaixo do mínimo, distribuição de potência anormal e formação crescente de vapor.

Por isso, o efeito inicial do deslocador de grafite deixou de ser detalhe de projeto e se tornou um fator decisivo na sequência final do acidente.

O que era ORM e por que isso agravou o AZ-5?

ORM significa Operational Reactivity Margin, ou margem operacional de reatividade. Ela não era simplesmente o número físico de hastes no núcleo. Era uma margem calculada de controle, expressa como número equivalente de hastes totalmente inseridas.

No RBMK, a ORM era fundamental porque indicava quanta capacidade efetiva de controle ainda existia no núcleo. Quanto menor a ORM, menor a reserva de controle e maior a vulnerabilidade do reator a perturbações.

Segundo o INSAG-7, em potência nominal e regime estável, a ORM deveria estar na faixa de 26 a 30 hastes equivalentes. Se caísse para 15, o reator deveria ser desligado imediatamente. Antes da sequência final do acidente, cálculos posteriores indicaram uma ORM muito abaixo desse limite, com valores da ordem de 6 a 8 hastes equivalentes, dependendo da reconstrução utilizada.

Isso significava que muitas hastes haviam sido retiradas para recuperar potência após a queda para cerca de 30 MWt. O reator ficou com pouca reserva efetiva de absorção de nêutrons e com uma configuração especialmente perigosa para o acionamento do AZ-5.

O INSAG-7 destaca que a importância de segurança da ORM foi mal compreendida. Ela era vista principalmente como uma margem para controle da distribuição de potência, mas seu impacto sobre o coeficiente de vazio positivo e sobre a eficácia do desligamento emergencial era muito mais grave.

O coeficiente de vazio positivo também estava na cadeia

O AZ-5 não atuou em um núcleo estável. Ele foi acionado depois que o teste da turbina já havia alterado a dinâmica hidráulica do sistema.

Durante o teste, o fechamento das válvulas de vapor da turbina iniciou a desaceleração do conjunto turbina-gerador. Isso afetou as bombas associadas ao teste, alterou vazões e contribuiu para a formação de vapor nos canais do reator.

No RBMK, mais vapor significava menos água líquida absorvendo nêutrons. Como o grafite continuava moderando os nêutrons, a reatividade podia aumentar. Esse é o chamado coeficiente de vazio positivo.

Portanto, quando o AZ-5 foi acionado, o núcleo já estava sujeito a uma realimentação perigosa: mais vapor aumentava reatividade, mais reatividade aumentava potência, mais potência gerava mais calor e mais vapor.

O efeito inicial das hastes, somado à reatividade associada ao aumento de vapor, foi suficiente para produzir um transiente severo de potência.

O AZ-5 causou o acidente?

Não como causa única.

O AZ-5 foi acionado quando o sistema já estava em condição crítica. A cadeia que preparou o acidente envolveu a queda para baixa potência, o efeito do xenônio, a retirada de hastes, a redução da ORM, o início do teste em condição inadequada, o coeficiente de vazio positivo e a geometria problemática das hastes de controle.

Mas também não é correto dizer que o AZ-5 foi irrelevante. O INSAG-7 considera que o efeito positivo de inserção das hastes, somado ao aumento de reatividade por formação de vapor, foi decisivo na severidade do transiente que destruiu o reator.

A formulação mais correta é:

O AZ-5 não criou sozinho a condição perigosa, mas o projeto das hastes fez com que o comando de emergência contribuísse para agravar uma condição que já estava instável.

O que o INSAG-7 mudou nessa interpretação?

A interpretação inicial do acidente enfatizava fortemente violações de procedimento e ações dos operadores. O INSAG-7, publicado depois com novas informações e análises, revisou parte dessa leitura.

O relatório passou a dar muito mais peso a fatores de projeto, especialmente:

  • coeficiente de vazio positivo;
  • projeto das hastes de controle e segurança;
  • efeito positivo de desligamento emergencial;
  • baixa ORM e sua importância de segurança;
  • falta de informação conveniente ao operador;
  • ausência de proteção automática adequada contra determinadas configurações perigosas;
  • falhas de comunicação entre projetistas, operadores, reguladores e organizações responsáveis.

Esse ponto é essencial: Chernobyl não pode ser reduzido a uma história de operadores pressionando um botão errado. A documentação técnica posterior mostra um quadro muito mais complexo, envolvendo projeto, operação, cultura de segurança e governança técnica.

Uma otimização de performance virou falha de segurança

O deslocador de grafite fazia sentido dentro de uma lógica de eficiência neutrônica. Ele reduzia a presença de água absorvedora nos canais de controle quando as hastes estavam retiradas. Isso melhorava o aproveitamento dos nêutrons e contribuía para a performance do reator.

Mas essa otimização tinha uma consequência perigosa: em determinadas condições, o primeiro movimento de inserção das hastes podia aumentar localmente a reatividade antes de reduzi-la.

Do ponto de vista de engenharia de segurança, esse é o ponto central. Uma função de emergência não pode depender de o sistema estar em uma condição favorável para funcionar corretamente. Ela precisa ser robusta justamente quando o sistema está degradado.

Em outras palavras: uma decisão de projeto voltada à eficiência operacional não pode comprometer a confiabilidade da barreira de segurança.

O que isso ensina para sistemas críticos modernos?

A lição de Chernobyl vai muito além da energia nuclear. Em qualquer sistema crítico, é preciso avaliar como uma solução se comporta não apenas em operação normal, mas em condição degradada, em transição, em falha parcial e sob pressão operacional.

Isso vale para:

  • usinas;
  • subestações;
  • data centers;
  • centros de operação;
  • sistemas SCADA;
  • telecomunicações críticas;
  • automação industrial;
  • sistemas de segurança eletrônica;
  • instalações teleassistidas.

Um intertravamento, uma lógica de proteção, um sistema de backup ou um comando de emergência não pode funcionar apenas no cenário ideal. Precisa funcionar no cenário em que será mais necessário: quando variáveis estão fora do normal, operadores estão sob pressão, a sequência operacional mudou e as margens estão reduzidas.

É por isso que práticas como comissionamento, auditoria técnica, Owner’s Engineering, FEL, EPCM e due diligence técnica são tão relevantes em projetos de infraestrutura crítica.

Em sistemas modernos, também é indispensável ter supervisão confiável, registro de eventos, instrumentação adequada, procedimentos claros e comunicação técnica entre projeto, operação e gestão. Esse é o papel de soluções como SCADA no setor elétrico, teleassistência em subestações e monitoramento de chaves seccionadoras.

Conclusão: o botão não era o problema isolado

O AZ-5 entrou para a história porque foi acionado nos segundos finais antes da destruição do Reator 4. Mas o problema não estava apenas no botão. Estava no sistema que o botão comandava, na geometria das hastes, na física do RBMK, na baixa ORM, na condição operacional do núcleo e na cultura de segurança que permitiu que vulnerabilidades conhecidas permanecessem sem correção suficiente.

O deslocador de grafite foi uma otimização de eficiência neutrônica. Em operação normal, fazia sentido para reduzir absorção parasita de nêutrons pela água nos canais de controle. Mas, em condição extrema, essa solução criou um efeito transitório perigoso: antes de frear, o sistema podia aumentar localmente a reatividade.

No Reator 4, essa característica encontrou exatamente o cenário em que poderia se tornar decisiva: baixa potência, xenônio, hastes retiradas, ORM abaixo do mínimo, coeficiente de vazio positivo e início de um teste em condição vulnerável.

A grande lição de engenharia é direta: uma solução de performance nunca deve comprometer a função de segurança. Em sistemas críticos, o freio de emergência precisa frear desde o primeiro instante.

No próximo artigo da série, vamos aprofundar outro ponto essencial: o que era ORM e por que a margem de reatividade condenou o Reator 4?

Fale com um especialista da A3A Engenharia

Perguntas frequentes sobre o AZ-5 em Chernobyl

O que era o AZ-5 em Chernobyl?

AZ-5 era o comando de desligamento emergencial do reator. Sua função era inserir as hastes de controle e proteção no núcleo para reduzir a reação nuclear em cadeia.

O AZ-5 causou o acidente de Chernobyl?

Não como causa única. O AZ-5 foi acionado quando o Reator 4 já estava instável. Porém, devido ao desenho das hastes de controle do RBMK, sua inserção inicial contribuiu para aumentar a reatividade em parte do núcleo.

Por que as hastes de controle do RBMK tinham grafite?

O grafite atuava como deslocador para evitar que, com a haste absorvedora retirada, o canal ficasse preenchido por água absorvendo nêutrons. Era uma solução de eficiência neutrônica, mas criou um efeito transitório perigoso durante a inserção das hastes.

Por que não fazer a haste toda de boro?

Uma haste totalmente absorvedora imporia maior absorção de nêutrons em condições de operação normal, exigindo outro compromisso de projeto. O problema é que a solução adotada para eficiência operacional comprometeu a função de segurança em condição-limite.

O grafite absorvia nêutrons?

O papel principal do grafite no RBMK era moderar nêutrons, ou seja, desacelerá-los para aumentar a probabilidade de fissão no urânio-235. A água, além de resfriar, absorvia parte dos nêutrons.

O que era ORM?

ORM era a margem operacional de reatividade, uma medida calculada de reserva de controle do reator, expressa em número equivalente de hastes totalmente inseridas.

Por que a baixa ORM agravou o acidente?

Porque indicava pouca reserva efetiva de controle. Com muitas hastes retiradas, o primeiro movimento do AZ-5 podia não reduzir imediatamente a reatividade de forma suficiente e, em certas regiões, podia aumentá-la inicialmente.

Referências Técnicas

IAEA — INSAG-7, The Chernobyl Accident: Updating of INSAG-1, Safety Series No. 75-INSAG-7, 1992.

U.S. Nuclear Regulatory Commission — NUREG-1250, Report on the Accident at the Chernobyl Nuclear Power Station, 1987.

PMI — Guia PMBOK®, 7ª edição: princípios de gerenciamento de projetos, governança, riscos, partes interessadas, qualidade, complexidade e incerteza.

ASHRAE Guideline 0-2019 — The Commissioning Process: requisitos do proprietário, base de projeto, plano de comissionamento, testes funcionais e documentação.

Materiais Técnicos Complementares

Conteúdos da série Chernobyl

Conteúdos A3A relacionados

Serviços relacionados