Entenda o que era o AZ-5, como o comando acionava as hastes do RBMK, o que ocorreu nos segundos finais e por que a função de segurança não conteve o transiente.
Confira!
O AZ-5 não impediu a perda do Reator 4 porque o comando foi acionado sobre um sistema que já havia consumido margens importantes e porque o mecanismo físico de desligamento possuía uma vulnerabilidade de projeto. Em determinadas configurações, o início do movimento das hastes podia produzir um efeito local contrário ao esperado antes que a seção absorvedora se tornasse dominante.
Isso não transforma o botão na causa única do acidente. A condição crítica foi formada por baixa ORM, distribuição espacial desfavorável, influência do xenônio, coeficiente de vazio positivo, alterações hidráulicas durante o teste e falhas de projeto e governança.
Também existe uma incerteza documental importante: parte das análises admite que a elevação de potência já podia estar se formando pela realimentação associada ao vapor antes do comando; outras atribuem ao efeito positivo das hastes o papel de gatilho decisivo. O ponto tecnicamente seguro é que a inserção das hastes agravou uma condição já vulnerável e contribuiu de forma central para a severidade do transiente.
Segundo a cronologia do INSAG-7, o teste começou às 01h23min04s, o sinal EPS-5/AZ-5 foi registrado às 01h23min40s e os sinais de excursão apareceram às 01h23min43s. Poucos segundos depois, os registros já indicavam falhas de medição, elevação de pressão e interrupção do movimento das hastes.
Este artigo separa três elementos frequentemente confundidos: o comando AZ-5, o mecanismo composto pelas hastes e seus acionamentos e a resposta física do núcleo. A distinção é essencial para compreender por que pressionar o botão correto não garantiu o resultado de segurança esperado.
O que era o AZ-5 em Chernobyl?
O AZ-5, também associado ao sistema de proteção emergencial do reator, era o comando de desligamento rápido. Ao ser acionado, deveria ordenar a inserção das hastes de controle e proteção no núcleo do RBMK.
A função esperada era simples no conceito: inserir material absorvedor de nêutrons no núcleo, reduzir a reatividade e interromper a reação nuclear em cadeia sustentada. Mesmo após o desligamento, o reator continuaria produzindo calor residual, mas a reação em cadeia deveria ser suprimida.
Portanto, o AZ-5 não era um comando operacional comum. Era uma barreira de segurança. Um sistema desse tipo precisa funcionar de forma previsível justamente quando o reator está em condição anormal.
O problema é que, no RBMK do Reator 4, a geometria das hastes e a condição operacional do núcleo permitiram que o primeiro efeito da inserção não fosse plenamente redutor de reatividade.
Do ponto de vista de engenharia de sistemas, o comando não era a função completa. Entre pressionar o botão e reduzir efetivamente a reatividade existia uma cadeia formada por lógica de proteção, alimentação elétrica, acionamentos, acoplamentos, movimento mecânico, posição inicial das hastes e resposta neutrônica do núcleo.
Uma indicação de comando emitido, portanto, não comprovava que a função de segurança havia produzido o resultado esperado. Era necessário correlacionar ordem, estado dos acionamentos, deslocamento real, posição atingida e comportamento do processo.
Sistemas Digitais de Supervisão e Controle
Funções críticas precisam apresentar ao operador a cadeia completa entre comando, permissivos, atuação física e resposta do processo, evitando que um simples sinal de acionamento seja confundido com o cumprimento da função.
Como uma haste de controle deveria funcionar?
Em um reator nuclear, a potência depende do comportamento dos nêutrons. Quando um núcleo de urânio-235 sofre fissão, ele libera calor e novos nêutrons. Esses nêutrons podem provocar novas fissões, mantendo a reação em cadeia.
Uma haste de controle tem a função de interferir nesse processo. Ela contém material absorvedor de nêutrons, como boro ou carbeto de boro. Ao absorver nêutrons, reduz a quantidade de partículas disponíveis para provocar novas fissões.
Em termos simples:
- mais nêutrons disponíveis tendem a aumentar ou sustentar a reação;
- menos nêutrons disponíveis tendem a reduzir a reação;
- hastes de controle inseridas absorvem nêutrons e reduzem reatividade;
- hastes retiradas deixam mais nêutrons disponíveis e aumentam a reatividade disponível.
Essa é a lógica básica. Mas o RBMK tinha uma particularidade importante: suas hastes de controle não eram simplesmente barras absorvedoras contínuas.
O que havia de diferente nas hastes do RBMK?
O núcleo do RBMK era uma grande matriz de grafite atravessada por canais verticais. Alguns canais continham combustível nuclear e água de resfriamento. Outros continham hastes de controle e proteção. Outros eram usados para instrumentação.
As hastes de controle ficavam em canais próprios, separados dos canais de combustível. Elas se moviam verticalmente por mecanismos eletromecânicos do sistema de controle e proteção do reator.
O ponto crítico é que as hastes do RBMK possuíam uma parte absorvedora e também deslocadores de grafite. Esses deslocadores não eram o material de frenagem da reação. A função redutora vinha da parte absorvedora. O grafite tinha outra lógica de projeto.
Essa característica é uma das chaves para entender por que o AZ-5, em vez de reduzir imediatamente a reatividade em toda a condição do núcleo, pôde contribuir para um aumento inicial localizado de reatividade.
Por que havia grafite em uma haste de controle?
A dúvida é legítima: se a haste de controle serve para reduzir a reação, por que colocar grafite nela?
A resposta está no compromisso de projeto do RBMK. O grafite não foi colocado para “acelerar antes de frear”. Ele foi colocado como deslocador, para ocupar parte do canal quando a haste absorvedora estivesse retirada.
Por quê? Porque, quando uma haste absorvedora estava retirada, o canal de controle não ficava neutronicamente igual ao restante do núcleo. Ele podia conter água. E a água, além de participar do resfriamento, absorvia parte dos nêutrons.
No RBMK, o moderador principal era o grafite. Sua função era desacelerar nêutrons rápidos, aumentando a probabilidade de novas fissões no urânio-235. A água tinha outro papel: removia calor e também absorvia parte dos nêutrons.
Então, do ponto de vista de eficiência neutrônica, um canal de controle preenchido por água quando a haste estava retirada funcionava como uma absorção parasita. O deslocador de grafite reduzia esse efeito, tornando o canal mais parecido com o restante da matriz moderadora de grafite.
Em operação normal, essa solução fazia sentido para performance do reator. Menos absorção parasita significava melhor aproveitamento dos nêutrons gerados pela fissão, maior eficiência neutrônica e operação mais favorável dentro da lógica do projeto.
Mas uma solução boa para eficiência operacional pode ser inaceitável se comprometer uma função de segurança em condição-limite.
Por que não fazer a haste toda de boro?
Essa é uma das perguntas mais importantes para entender o problema de projeto.
Se a função da haste é absorver nêutrons, por que ela não era totalmente absorvedora? Por que não substituir a água por boro ou carbeto de boro, garantindo que qualquer inserção reduzisse imediatamente a reatividade?
Do ponto de vista de segurança, essa pergunta faz todo sentido. Uma haste de emergência deveria reduzir reatividade desde o primeiro movimento.
Mas, do ponto de vista da lógica de projeto do RBMK, uma haste com absorção excessiva em toda sua extensão imporia outro compromisso. Ela manteria uma absorção neutrônica muito elevada em condições nas quais o reator deveria operar em potência. Isso exigiria compensações no projeto do núcleo, no enriquecimento do combustível, nos absorvedores fixos, na distribuição de potência e na estratégia de controle.
O deslocador de grafite foi uma escolha de projeto para preservar eficiência neutrônica quando a haste não deveria atuar como freio principal. Essa escolha reduzia perdas por absorção de nêutrons em operação normal, mas criou um comportamento transitório perigoso durante a inserção em determinadas condições.
Aqui está a lição de engenharia: otimizações de performance não podem degradar a função de segurança. Se a segurança depende de um comando de desligamento rápido, esse comando não pode ter um primeiro efeito ambíguo em nenhum cenário operacional razoavelmente previsível.
A decisão deveria ter sido analisada por uma matriz de estados: potência nominal, baixa potência, diferentes distribuições axiais, ORM reduzida, posições extremas das hastes e perturbações hidráulicas. Uma solução aceitável no ponto nominal pode se tornar incompatível com a função de proteção quando variáveis independentes convergem para uma condição-limite.
Owner’s Engineering
A revisão independente de premissas, interfaces e cenários degradados ajuda a identificar decisões de projeto que melhoram o desempenho nominal, mas comprometem barreiras críticas em condições excepcionais.
Por que “acelerar antes de frear” é uma boa analogia?
A expressão “acelerar antes de frear” não descreve a intenção dos projetistas, mas descreve bem o efeito que pôde ocorrer no Reator 4.
Quando muitas hastes estavam muito retiradas e o AZ-5 foi acionado, o primeiro movimento de inserção colocou os deslocadores de grafite em regiões onde havia água nos canais. Como a água absorvia nêutrons e o grafite moderava nêutrons, essa substituição podia aumentar localmente a reatividade antes que a parte absorvedora da haste entrasse em uma região realmente eficaz do núcleo.
Em uma situação normal, esse efeito poderia ser pequeno ou compensado pelo restante do sistema. Mas no Reator 4, a condição não era normal. O núcleo já estava em baixa potência, com forte influência do xenônio, muitas hastes retiradas, ORM muito abaixo do mínimo, distribuição de potência anormal e formação crescente de vapor.
Por isso, o efeito inicial do deslocador de grafite deixou de ser detalhe de projeto e se tornou um fator decisivo na sequência final do acidente.
O que era ORM e por que isso agravou o AZ-5?
ORM significa Operational Reactivity Margin, ou margem operacional de reatividade. Ela não era simplesmente o número físico de hastes no núcleo. Era uma margem calculada de controle, expressa como número equivalente de hastes totalmente inseridas.
No RBMK, a ORM era fundamental porque indicava quanta capacidade efetiva de controle ainda existia no núcleo. Quanto menor a ORM, menor a reserva de controle e maior a vulnerabilidade do reator a perturbações.
Segundo o INSAG-7, em potência nominal e regime estável, a ORM deveria estar na faixa de 26 a 30 hastes equivalentes. Se caísse para 15, o reator deveria ser desligado imediatamente. Antes da sequência final do acidente, cálculos posteriores indicaram uma ORM muito abaixo desse limite, com valores da ordem de 6 a 8 hastes equivalentes, dependendo da reconstrução utilizada.
Isso significava que muitas hastes haviam sido retiradas para recuperar potência após a queda para cerca de 30 MWt. O reator ficou com pouca reserva efetiva de absorção de nêutrons e com uma configuração especialmente perigosa para o acionamento do AZ-5.
O INSAG-7 destaca que a importância de segurança da ORM foi mal compreendida. Ela era vista principalmente como uma margem para controle da distribuição de potência, mas seu impacto sobre o coeficiente de vazio positivo e sobre a eficácia do desligamento emergencial era muito mais grave.
O coeficiente de vazio positivo também estava na cadeia
O AZ-5 não atuou em um núcleo estável. Ele foi acionado depois que o teste da turbina já havia alterado a dinâmica hidráulica do sistema.
Durante o teste, o fechamento das válvulas de vapor da turbina iniciou a desaceleração do conjunto turbina-gerador. Isso afetou as bombas associadas ao teste, alterou vazões e contribuiu para a formação de vapor nos canais do reator.
No RBMK, mais vapor significava menos água líquida absorvendo nêutrons. Como o grafite continuava moderando os nêutrons, a reatividade podia aumentar. Esse é o chamado coeficiente de vazio positivo.
Portanto, quando o AZ-5 foi acionado, o núcleo já estava sujeito a uma realimentação perigosa: mais vapor aumentava reatividade, mais reatividade aumentava potência, mais potência gerava mais calor e mais vapor.
O efeito inicial das hastes, somado à reatividade associada ao aumento de vapor, foi suficiente para produzir um transiente severo de potência.
O que ocorreu entre 01h23min04s e 01h23min49s?
A cronologia precisa ser lida com cautela porque os sistemas disponíveis não registravam todas as variáveis com o mesmo intervalo. O DREG possuía boa resolução para centenas de sinais, mas não registrava diretamente potência, reatividade, vazão por canal nem a posição de todas as 211 hastes. Outros cálculos tinham ciclos de aproximadamente cinco minutos e sofreram interrupções.
- 01h23min04s: fechamento das válvulas de parada do turbogerador 8 e início formal do teste de desaceleração.
- 01h23min40s: registro do sinal EPS-5/AZ-5 e início do movimento das hastes de proteção e controle.
- 01h23min43s: sinais de proteção por crescimento rápido de potência; os registros indicam potência acima de 530 MWt.
- 01h23min47s: alterações abruptas de vazão, pressão e nível, acompanhadas de sinais de falha dos sistemas de medição.
- 01h23min49s: sinal de aumento de pressão no espaço do reator, perda de alimentação de acionamentos e falhas dos controladores.
A proximidade temporal demonstra que comando, resposta neutrônica, alterações hidráulicas e degradação dos equipamentos evoluíram quase simultaneamente. Entretanto, a ausência de algumas medições impede atribuir cada variação a um único mecanismo com precisão absoluta.
Sistemas SCADA
Historiadores, sequência de eventos, sincronismo de tempo e correlação entre sinais elétricos, mecânicos e de processo são essenciais para reconstruir transientes rápidos e distinguir comando, efeito e consequência.
O AZ-5 causou o acidente?
Não como causa única.
O AZ-5 foi acionado quando o sistema já estava em condição crítica. A cadeia que preparou o acidente envolveu a queda para baixa potência, o efeito do xenônio, a retirada de hastes, a redução da ORM, o início do teste em condição inadequada, o coeficiente de vazio positivo e a geometria problemática das hastes de controle.
Mas também não é correto dizer que o AZ-5 foi irrelevante. O INSAG-7 considera que o efeito positivo de inserção das hastes, somado ao aumento de reatividade por formação de vapor, foi decisivo na severidade do transiente que destruiu o reator.
A formulação mais correta é:
O AZ-5 não criou sozinho a condição perigosa, mas o projeto das hastes fez com que o comando de emergência contribuísse para agravar uma condição que já estava instável. Essa formulação evita dois erros: atribuir toda a sequência ao botão ou, no extremo oposto, tratá-lo como irrelevante.
Uma função de desligamento deve especificar não apenas que as hastes se movimentem, mas que a reatividade seja reduzida desde o início, dentro de um tempo máximo e em todas as configurações operacionais previstas. O projeto antigo não transformava esse resultado em uma garantia independente do estado do núcleo.
Gestão de Requisitos, Evidências e Critérios de Aceite
Requisitos de proteção precisam declarar o resultado físico esperado, os estados cobertos, o tempo máximo de resposta e as evidências necessárias para demonstrar que a função permanece eficaz em condições normais e degradadas.
O que o INSAG-7 mudou nessa interpretação?
A interpretação inicial do acidente enfatizava fortemente violações de procedimento e ações dos operadores. O INSAG-7, publicado depois com novas informações e análises, revisou parte dessa leitura.
O relatório passou a dar muito mais peso a fatores de projeto, especialmente:
- coeficiente de vazio positivo;
- projeto das hastes de controle e segurança;
- efeito positivo de desligamento emergencial;
- baixa ORM e sua importância de segurança;
- falta de informação conveniente ao operador;
- ausência de proteção automática adequada contra determinadas configurações perigosas;
- falhas de comunicação entre projetistas, operadores, reguladores e organizações responsáveis.
Esse ponto é essencial: Chernobyl não pode ser reduzido a uma história de operadores pressionando um botão errado. A documentação técnica posterior mostra um quadro muito mais complexo, envolvendo projeto, operação, cultura de segurança e governança técnica.
O efeito positivo era conhecido antes de 1986?
O INSAG-7 registra que o fenômeno havia sido identificado na usina de Ignalina em 1983. A organização responsável pelo projeto comunicou a existência do efeito a outras instalações RBMK e indicou que mudanças de projeto seriam realizadas.
As alterações, entretanto, não foram implementadas antes do acidente, e as medidas procedimentais recomendadas não foram incorporadas de forma suficiente às instruções de operação. Prevaleceu a ideia de que a combinação de condições necessária para tornar o efeito relevante dificilmente ocorreria.
O acidente reproduziu justamente essa combinação: muitas hastes retiradas, ORM baixa, distribuição espacial desfavorável, formação crescente de vapor e acionamento do desligamento em uma condição degradada. O problema, portanto, não foi apenas descobrir uma vulnerabilidade, mas falhar em convertê-la em correção, restrição, treinamento e evidência de eficácia.
Uma otimização de performance virou falha de segurança
O deslocador de grafite fazia sentido dentro de uma lógica de eficiência neutrônica. Ele reduzia a presença de água absorvedora nos canais de controle quando as hastes estavam retiradas. Isso melhorava o aproveitamento dos nêutrons e contribuía para a performance do reator.
Mas essa otimização tinha uma consequência perigosa: em determinadas condições, o primeiro movimento de inserção das hastes podia aumentar localmente a reatividade antes de reduzi-la.
Do ponto de vista de engenharia de segurança, esse é o ponto central. Uma função de emergência não pode depender de o sistema estar em uma condição favorável para funcionar corretamente. Ela precisa ser robusta justamente quando o sistema está degradado.
Em outras palavras: uma decisão de projeto voltada à eficiência operacional não pode comprometer a confiabilidade da barreira de segurança.
O que isso ensina para sistemas críticos modernos?
A lição de Chernobyl vai muito além da energia nuclear. Em qualquer sistema crítico, é preciso avaliar como uma solução se comporta não apenas em operação normal, mas em condição degradada, em transição, em falha parcial e sob pressão operacional.
Isso vale para:
- usinas;
- subestações;
- data centers;
- centros de operação;
- sistemas SCADA;
- telecomunicações críticas;
- automação industrial;
- sistemas de segurança eletrônica;
- instalações teleassistidas.
Um intertravamento, uma lógica de proteção, um sistema de backup ou um comando de emergência não pode funcionar apenas no cenário ideal. Precisa funcionar no cenário em que será mais necessário: quando variáveis estão fora do normal, operadores estão sob pressão, a sequência operacional mudou e as margens estão reduzidas.
A verificação deve cobrir a cadeia ponta a ponta: detecção da condição, geração do comando, disponibilidade das fontes auxiliares, atuação dos acionamentos, tempo de percurso, confirmação de posição e efeito produzido sobre a variável protegida. Testar apenas o botão ou apenas o componente final deixa interfaces críticas sem comprovação.
Comissionamento e Aceite Técnico
Ensaios integrados demonstram se uma função de proteção produz o resultado esperado dentro do tempo requerido, inclusive diante de estados degradados, falhas auxiliares e combinações críticas de variáveis.
É por isso que práticas como comissionamento, auditoria técnica, Owner’s Engineering, FEL, EPCM e due diligence técnica são tão relevantes em projetos de infraestrutura crítica.
Em sistemas modernos, também é indispensável ter supervisão confiável, registro de eventos, instrumentação adequada, procedimentos claros e comunicação técnica entre projeto, operação e gestão. Esse é o papel de soluções como SCADA no setor elétrico, teleassistência em subestações e monitoramento de chaves seccionadoras.
Conclusão: o botão não era o problema isolado
O AZ-5 entrou para a história porque foi acionado nos segundos finais antes da destruição do Reator 4. Mas o problema não estava apenas no botão. Estava no sistema que o botão comandava, na geometria das hastes, na física do RBMK, na baixa ORM, na condição operacional do núcleo e na cultura de segurança que permitiu que vulnerabilidades conhecidas permanecessem sem correção suficiente.
O deslocador de grafite foi uma otimização de eficiência neutrônica. Em operação normal, fazia sentido para reduzir absorção parasita de nêutrons pela água nos canais de controle. Mas, em condição extrema, essa solução criou um efeito transitório perigoso: antes de frear, o sistema podia aumentar localmente a reatividade.
No Reator 4, essa característica encontrou exatamente o cenário em que poderia se tornar decisiva: baixa potência, xenônio, hastes retiradas, ORM abaixo do mínimo, coeficiente de vazio positivo e início de um teste em condição vulnerável.
A grande lição de engenharia é direta: uma solução de performance nunca deve comprometer a função de segurança. Em sistemas críticos, o freio de emergência precisa frear desde o primeiro instante.
Para continuar a jornada, aprofunde a ORM e a margem de reatividade, o coeficiente de vazio positivo, a geometria das hastes de controle e a cronologia completa do teste. Esses capítulos mostram como as condições acumuladas convergiram nos segundos finais.
Referências técnicas
[1] INTERNATIONAL ATOMIC ENERGY AGENCY. The Chernobyl Accident: Updating of INSAG-1. Safety Series No. 75-INSAG-7. Vienna: IAEA, 1992.
[2] SHTEYNBERG, N. A. et al. Causes and circumstances of the accident at Unit 4 of the Chernobyl Nuclear Power Plant. In: INTERNATIONAL ATOMIC ENERGY AGENCY. INSAG-7, Annex I. Vienna: IAEA, 1992.
[3] ABAGYAN, A. A. et al. Causes and circumstances of the accident and measures to improve the safety of plants with RBMK reactors. In: INTERNATIONAL ATOMIC ENERGY AGENCY. INSAG-7, Annex II. Vienna: IAEA, 1992.
[4] UNITED STATES NUCLEAR REGULATORY COMMISSION. Report on the Accident at the Chernobyl Nuclear Power Station. NUREG-1250. Washington, DC: NRC, 1987.
[5] UNITED STATES NUCLEAR REGULATORY COMMISSION. Implications of the Accident at Chernobyl for Safety Regulation. NUREG-1251. Washington, DC: NRC, 1987.
[6] INTERNATIONAL NUCLEAR SAFETY ADVISORY GROUP. Safety Culture. INSAG-4. Vienna: IAEA, 1991.
[7] INTERNATIONAL ATOMIC ENERGY AGENCY. RBMK Reactors. Technical description and safety characteristics of pressure-tube graphite-moderated reactors.
[8] CHERNOBYL NUCLEAR POWER PLANT. Sequence of events at Unit 4 on 25–26 April 1986. Technical chronology compiled from operating and instrumentation records.
[9] MUELLNER, Nikolaus. Three Decades after Chernobyl: Technical and Institutional Lessons. Vienna: University of Natural Resources and Life Sciences.
[10] WORLD NUCLEAR ASSOCIATION. RBMK Reactors and Chernobyl. Technical overview and subsequent safety modifications.
Perguntas frequentes
AZ-5 era o comando do sistema de desligamento emergencial do RBMK. Ao ser acionado, ordenava o movimento das hastes de controle e proteção para reduzir a reatividade.
Porque o comando atuou sobre um núcleo já vulnerável e sobre hastes cuja geometria podia produzir um efeito inicial desfavorável em determinadas configurações.
Não. O comando ocorreu no final de uma cadeia formada por baixa ORM, xenônio, distribuição de potência desfavorável, coeficiente de vazio positivo e falhas de projeto e governança.
O AZ-5 era o comando. As hastes, seus acionamentos e o núcleo constituíam o mecanismo físico responsável por executar o desligamento.
O INSAG-7 registra o sinal do sistema de desligamento emergencial às 01h23min40s de 26 de abril de 1986.
Há incerteza sobre o início exato. As análises reconhecem a influência do aumento de vapor e consideram que o efeito positivo das hastes agravou decisivamente o transiente.
A ORM baixa indicava pouca margem efetiva de controle e uma configuração menos tolerante a perturbações e ao efeito inicial das hastes.
Foram modificados o desenho das hastes, os limites de ORM, a velocidade de inserção, as proteções, a instrumentação e as restrições operacionais dos RBMK.
Materiais técnicos complementares
Soluções
- Sistemas SCADA
- Sistemas Digitais de Supervisão e Controle
- Gestão de Requisitos, Evidências e Critérios de Aceite
Serviços de engenharia
Jornada sobre Chernobyl
