Entenda a cronologia técnica da noite do acidente em Chernobyl: o teste da turbina, a baixa potência, o xenônio, as barras de controle, o AZ-5 e os segundos finais do Reator 4.

Confira!

A explosão do Reator 4 da usina nuclear de Chernobyl, em 26 de abril de 1986, não foi um evento isolado. Foi o desfecho de uma sequência técnica e operacional que começou horas antes, durante a preparação de um teste associado à segurança elétrica da unidade.

Nos artigos anteriores desta série, explicamos o contexto geral de Chernobyl, o funcionamento do reator RBMK e a história da usina antes do acidente. Agora, o foco é mais específico: acompanhar a noite do acidente, do início do teste no Reator 4 ao momento da explosão.

Este artigo não busca repetir toda a história da usina nem explicar novamente a física completa do RBMK. O objetivo é reconstruir a sequência dos eventos: a redução de potência, o atraso imposto pela rede elétrica, a queda para uma condição instável, o efeito do xenônio, a retirada das barras de controle, o início efetivo do teste, o aumento de vapor, o acionamento do AZ-5 e os segundos finais do Reator 4.

A pergunta central é simples: como um teste de segurança terminou na destruição de um reator nuclear?

O que estava programado para a noite no Reator 4?

Na noite de 25 para 26 de abril de 1986, o Reator 4 seria desligado para uma parada programada de manutenção. Essa condição criava uma oportunidade para repetir um teste que já havia sido realizado anteriormente, mas sem resultado satisfatório.

O teste tinha relação com a alimentação elétrica das bombas de circulação de água de resfriamento. Em uma usina nuclear, a remoção de calor do núcleo é uma função crítica. Mesmo quando o reator é desligado, o combustível continua produzindo calor residual, e esse calor precisa ser removido de forma controlada.

O problema que o teste buscava avaliar era o seguinte: em caso de perda de alimentação elétrica, a turbina ainda girando por inércia conseguiria fornecer energia temporária para manter bombas essenciais em funcionamento até a entrada dos geradores diesel de emergência?

Esse intervalo era curto, mas tecnicamente relevante. Os geradores diesel não assumiam instantaneamente a alimentação plena. Havia uma transição. E em sistemas críticos, transições são sempre momentos sensíveis.

O que era o teste da turbina?

O teste da turbina, também chamado em algumas fontes de teste de rundown, buscava verificar o comportamento do conjunto turbina-gerador durante a desaceleração.

Em operação normal, o vapor produzido pelo reator movimentava a turbina, e a turbina acionava o gerador. Durante o teste, a ideia era interromper o fornecimento de vapor para a turbina e observar se a energia mecânica residual da rotação ainda seria suficiente para manter, por alguns segundos, a alimentação elétrica de determinadas bombas.

Em termos simples:

  1. o reator seria reduzido de potência;
  2. o fornecimento de vapor para a turbina seria interrompido;
  3. a turbina continuaria girando por inércia;
  4. o gerador acoplado ainda produziria energia por um curto período;
  5. essa energia deveria alimentar bombas de circulação;
  6. os geradores diesel de emergência assumiriam depois.

O teste, portanto, não era uma experiência sem propósito. Ele tratava de uma questão essencial para qualquer infraestrutura crítica: como manter funções vitais durante a transição entre a perda de uma fonte de energia e a entrada de uma fonte emergencial?

Esse mesmo raciocínio vale para subestações, data centers, hospitais, centros de operação, telecomunicações, sistemas SCADA e instalações industriais críticas.

Por que esse teste importava para a segurança?

Em uma instalação nuclear, a continuidade do resfriamento é uma função de segurança. A perda de alimentação elétrica não pode significar perda imediata de capacidade de remoção de calor.

O teste do Reator 4 tentava validar uma condição intermediária: a energia residual da turbina poderia funcionar como ponte até os geradores diesel estabilizarem sua alimentação?

Do ponto de vista de engenharia, isso é um teste de transição operacional. Não se trata apenas de verificar se um equipamento liga ou desliga. Trata-se de comprovar se o sistema inteiro responde corretamente quando muda de um modo de operação para outro.

Em projetos modernos, esse tipo de validação pertence ao campo do comissionamento, da análise de risco, dos testes funcionais integrados e da governança técnica. Um teste crítico precisa ter premissas claras, limites definidos, responsabilidades estabelecidas, critérios de interrupção e autoridade para abortar a atividade se as condições se afastarem do planejado.

No Reator 4, a sequência da noite mostrou exatamente o risco de um teste crítico conduzido em um cenário operacional que se degradava progressivamente.

O atraso provocado pela demanda da rede elétrica

A preparação para o teste começou durante a redução de potência do Reator 4. No entanto, a unidade estava conectada a uma rede elétrica que ainda precisava de sua geração.

Durante o processo de redução, houve solicitação do controlador da rede para manter o reator operando por mais tempo. Isso adiou o teste por várias horas.

Esse detalhe é importante porque mostra que o acidente não ocorreu em um ambiente isolado de laboratório. O Reator 4 era parte de um sistema elétrico real, com demanda, despacho, necessidade de geração e restrições operacionais.

O atraso também alterou o contexto humano e operacional da atividade. O teste, que deveria ocorrer em uma condição planejada, acabou sendo realizado mais tarde, após mudança de turno e com o reator em uma condição diferente da originalmente esperada.

Em sistemas críticos, atrasos, mudanças de turno e alterações de condição operacional não são detalhes administrativos. Eles mudam o risco da atividade.

A redução de potência e a primeira condição crítica

Quando o teste foi retomado, o reator deveria ser estabilizado em uma faixa de potência adequada. No entanto, durante a redução, a potência caiu muito abaixo do previsto.

Essa queda levou o Reator 4 a uma condição difícil. Um RBMK operando em baixa potência, especialmente em determinadas condições de envenenamento por xenônio e distribuição irregular de potência, exigia controle delicado.

O INSAG-7, relatório da Agência Internacional de Energia Atômica que revisou as conclusões iniciais sobre o acidente, destaca que operar o RBMK em baixa potência, com determinadas condições de instrumentação e controle, impunha dificuldades relevantes aos operadores. Em baixa potência, a leitura da distribuição espacial de potência no núcleo era limitada, e o operador precisava lidar com um sistema grande, sensível e parcialmente desacoplado em regiões distintas do núcleo.

Esse ponto é essencial: o Reator 4 não era um equipamento simples respondendo de forma uniforme. Era um sistema físico complexo, com núcleo grande, distribuição espacial de nêutrons, variações locais de potência, água, vapor, grafite, barras de controle e efeitos de reatividade.

O papel do xenônio no reator 4

Depois de uma redução de potência, um dos fenômenos que afetam o comportamento de um reator nuclear é o acúmulo de xenônio-135.

O xenônio-135 é um produto de fissão que absorve nêutrons. Como os nêutrons são necessários para sustentar a reação em cadeia, o xenônio atua como um “veneno” para o reator, reduzindo a reatividade disponível.

Na prática, isso significa que, depois de uma queda de potência, o reator pode ter dificuldade para recuperar potência. Para compensar esse efeito, os operadores podem ser levados a retirar barras de controle, aumentando a reatividade disponível.

Foi isso que tornou a situação ainda mais delicada. A tentativa de recuperar e estabilizar potência ocorreu em uma condição na qual a margem operacional de reatividade foi reduzida.

O problema não era apenas a presença do xenônio. Era a combinação entre xenônio, baixa potência, configuração das barras, características do RBMK, distribuição de potência no núcleo e decisão de prosseguir com o teste.

A retirada das barras de controle

As barras de controle existem para absorver nêutrons e regular a reação nuclear. Quando são inseridas no núcleo, tendem a reduzir a reatividade. Quando são retiradas, deixam mais nêutrons disponíveis para manter ou aumentar a reação.

Durante a tentativa de recuperar potência após a queda, muitas barras foram retiradas. Isso reduziu a margem disponível para controle rápido e colocou o reator em uma configuração vulnerável.

O INSAG-7 trata esse ponto com especial atenção ao discutir a margem operacional de reatividade, conhecida pela sigla ORM. O relatório observa que a importância de segurança dessa margem não era plenamente compreendida pelos operadores. Ela não era apenas uma referência de manobra operacional; tinha impacto direto no comportamento do reator, inclusive sobre os coeficientes de reatividade.

Em outras palavras: a posição das barras não era apenas um detalhe de controle. Ela mudava a própria sensibilidade do reator a perturbações.

O início efetivo do teste

O teste começou de fato por volta de 01h23, já na madrugada de 26 de abril.

Nesse momento, o fornecimento de vapor para a turbina foi interrompido. A turbina começou a desacelerar. Como parte das bombas era alimentada pelo gerador associado à turbina, a queda de rotação reduziu progressivamente a alimentação dessas bombas.

Com menor desempenho das bombas, a vazão de água de resfriamento no núcleo começou a mudar. A água, ao receber calor, passou a formar mais vapor nos canais do reator.

Em um reator comum, a formação de vapor pode tender a reduzir a moderação e, em muitos projetos, atuar como efeito estabilizador. No RBMK, porém, em certas condições, a situação era diferente.

Água, vapor e aumento de reatividade

No RBMK, a água tinha dupla influência. Ela removia calor do núcleo, mas também absorvia nêutrons. O grafite, por sua vez, atuava como moderador, desacelerando os nêutrons.

Quando mais vapor se formava nos canais, havia menos água líquida presente. Isso reduzia a absorção de nêutrons pela água. Como o grafite continuava moderando os nêutrons, o resultado podia ser aumento de reatividade.

Esse fenômeno é conhecido como coeficiente de vazio positivo.

Na condição da madrugada do acidente, esse efeito foi particularmente perigoso. A sequência pode ser entendida assim:

  1. a vazão de água se alterou;
  2. mais vapor se formou nos canais;
  3. a reatividade aumentou;
  4. a potência subiu;
  5. mais calor foi produzido;
  6. mais água virou vapor;
  7. a reatividade aumentou ainda mais.

Esse é um ciclo de realimentação positiva. Em sistemas críticos, realimentações positivas são perigosas porque amplificam rapidamente uma perturbação inicial.

O que era o AZ-5?

Nesse ponto entra um termo frequentemente citado quando se fala de Chernobyl: AZ-5.

O AZ-5 era o comando de desligamento emergencial do reator. Sua função esperada era inserir as barras de controle no núcleo para reduzir a reação nuclear e levar o reator a uma condição segura.

Em uma leitura simplificada, alguém poderia imaginar que o AZ-5 seria o “botão de emergência” que deveria salvar o reator. Mas o caso do Reator 4 mostra por que sistemas críticos não podem ser analisados com base em procedimentos simples.

Na condição em que o reator 4 se encontrava, com menos água refrigerando os canais, muito vapor, e muitas hastes de controle fora do núcleo do reator, houve um aumento grane da pressão dentro dos canais devido ao acúmulo de vapor de água, além disso outro fator muito decisivo foi o formato construtivo das barras de controle do RBMK, que tinham uma característica problemática: suas extremidades inferiores possuíam deslocadores de grafite. Ao iniciar a inserção, essas extremidades deslocavam água em uma região do núcleo antes que a parte absorvedora de neutrons da barra exercesse plenamente seu efeito. (Reduzir a reação nuclear)

Sempre que inseridas para reduzir a potência do Reator, inicialmente aumentavam a reação porque o grafite atua como moderador, e só quando o Boro entrava totalmente no núcleo é que as hastes de controle efetivamente reduziam a potência. Em situações de operação normal, com toda a proteção automática ligada, esse efeito era controlado, porém no dia do acidente as condições extremas de temperatura, coeficiente de vazio positivo, envenenamento por xenônio criaram um cenário que a equipe nunca havia enfrentado anteriormente. Nesse momento o Reator 4 já estava condenado, era questão de tempo para a explosão, porém ao acionar o botão de emergência, o AZ-5, inserindo várias hastes de controle ao mesmo tempo (primeiro entrou a parte da haste com grafite que acelera a Reação) aumentou exponencialmente a reatividade gerando mais vapor e elevando a temperatura a níveis que a estrutura do Reator não suportou e explodiu.

O INSAG-7 aponta que esse chamado “efeito positivo de desligamento” ou efeito positivo de scram foi um fator decisivo na análise posterior do acidente. O relatório também indica que esse fenômeno já havia sido identificado anteriormente em outro RBMK, mas não havia sido corrigido de forma suficiente antes do acidente.

Portanto, o AZ-5 não deve ser tratado como causa única. Ele foi o último elemento de uma cadeia que já estava instável.

Do AZ-5 aos segundos finais

Após o início do teste, a combinação entre baixa margem de controle, formação de vapor, coeficiente de vazio positivo, distribuição irregular de potência e efeito inicial das barras levou o reator a uma subida abrupta de potência.

A potência aumentou em escala extremamente rápida. Canais de combustível foram rompidos. A pressão no interior do sistema cresceu violentamente. A estrutura superior do reator foi submetida a forças muito além de sua capacidade.

A explosão foi forte o suficiente para levantar a placa superior de cobertura do reator, associada ao escudo biológico superior. Segundo a descrição técnica do INSAG-7, essa placa tinha cerca de 2.000 toneladas, ou aproximadamente 2.000.000 kg.

Esse dado dá a escala física do evento. Não foi uma falha localizada. Foi a destruição estrutural do Reator 4.

Com a ruptura do núcleo e da estrutura superior, houve exposição do grafite, destruição de canais, liberação de materiais radioativos e início de uma emergência que ultrapassaria rapidamente os limites da usina.

O momento da explosão

O momento da explosão marcou a transição entre uma instabilidade de reator e uma crise nuclear, ambiental, operacional, política e humana.

A partir dali, a sala de controle já não lidava apenas com um teste que saiu do controle. O Reator 4 havia sido destruído. Sistemas físicos essenciais deixaram de existir como barreiras de contenção. Materiais radioativos foram liberados. Incêndios começaram. Equipes locais, bombeiros, operadores e autoridades passaram a enfrentar uma situação sem precedentes.

É importante notar que a destruição do Reator 4 não foi consequência de um único ato isolado. Ela resultou de uma cadeia de eventos:

  1. teste planejado em uma parada programada;
  2. atraso operacional por demanda de energia elétrica;
  3. mudança de turno e alteração do contexto do teste;
  4. queda excessiva de potência;
  5. envenenamento por xenônio;
  6. retirada de barras de controle;
  7. redução da margem operacional de reatividade;
  8. início do teste em condição vulnerável;
  9. alteração da vazão de resfriamento;
  10. aumento de vapor;
  11. coeficiente de vazio positivo;
  12. acionamento do AZ-5;
  13. efeito inicial indesejado das barras;
  14. subida abrupta de potência;
  15. ruptura estrutural e explosão.

Essa sequência é mais importante do que qualquer explicação simplista.

O que a noite do acidente revela sobre sistemas críticos?

A noite do acidente no Reator 4 é uma das maiores demonstrações históricas de que sistemas críticos não falham apenas por defeito de equipamento. Eles falham pela interação entre projeto, operação, testes, comunicação, cultura, supervisão, governança e decisões humanas.

Algumas lições são diretas.

A primeira é que testes críticos precisam de condições controladas. Se as condições mudam, o teste precisa ser reavaliado.

A segunda é que limites operacionais precisam ser compreendidos, não apenas obedecidos formalmente. Um operador precisa saber por que um procedimento existe e qual é sua função de segurança.

A terceira é que sistemas de proteção precisam ser analisados dentro do contexto real de operação. Um comando de emergência não pode ter comportamento ambíguo em uma condição crítica.

A quarta é que mudanças de turno, atrasos, pressão por continuidade e comunicação deficiente aumentam risco.

A quinta é que governança técnica é uma barreira de segurança. Em sistemas críticos, deve estar claro quem tem autoridade para interromper, quem aprova exceções, quem registra riscos, quem valida o plano de teste e quem responde pela segurança da operação.

Essas lições valem para usinas, subestações, data centers, centros de operação, sistemas industriais, redes de telecomunicações, plataformas SCADA, sistemas de segurança eletrônica e qualquer infraestrutura na qual uma falha possa gerar consequências relevantes.

O paralelo com engenharia consultiva e comissionamento

Do ponto de vista da engenharia consultiva, Chernobyl demonstra a importância de integrar projeto, operação e validação.

Um sistema crítico não deve ser considerado seguro apenas porque foi construído. Ele precisa ser testado, comissionado, documentado, operado por equipes treinadas e supervisionado com critérios técnicos claros.

É por isso que práticas como FEL, Owner’s Engineering, EPCM, auditoria técnica, due diligence técnica, comissionamento, SCADA, teleassistência e monitoramento operacional têm papel estratégico em ambientes de infraestruturas críticas.

Em uma subestação, por exemplo, a continuidade de operação depende de telecomunicações, proteção, supervisão, registro de perturbações, alimentação auxiliar, redundância e procedimentos. Em um data center, depende de energia crítica, climatização, automação, redundância elétrica, UPS, geradores, ensaios integrados e planos de contingência. Em ambos os casos, testar transições é tão importante quanto instalar equipamentos.

A grande lição é que sistemas críticos precisam ser governados tecnicamente.

Conclusão

A noite do acidente no Reator 4 da usina nuclear de Chernobyl mostra como uma sequência de decisões, condições físicas e fragilidades de projeto pode transformar um teste de segurança em uma catástrofe.

O teste da turbina tinha uma finalidade técnica legítima: avaliar se a energia residual da turbina poderia manter bombas essenciais até a entrada dos geradores diesel. Mas a execução ocorreu em um contexto progressivamente desfavorável: atraso, baixa potência, xenônio, retirada de barras, baixa margem operacional, formação de vapor, coeficiente de vazio positivo e comportamento problemático do desligamento emergencial.

O AZ-5, que deveria desligar o reator, entrou em cena quando o sistema já estava em uma condição extremamente vulnerável. Nos segundos finais, a potência subiu violentamente, canais se romperam, a pressão aumentou e a placa superior de cerca de 2.000 toneladas foi levantada pela explosão.

O próximo artigo da série deve aprofundar a pergunta que naturalmente surge depois dessa cronologia: Chernobyl foi erro humano, falha de projeto ou falha de governança?

A resposta, como quase sempre em grandes acidentes de engenharia, não cabe em uma explicação única.

Fale com um especialista da A3A Engenharia

Perguntas frequentes sobre a noite do acidente em Chernobyl

O que estava sendo testado no Reator 4 de Chernobyl?

Estava sendo testado se a turbina em desaceleração conseguiria fornecer energia elétrica temporária para manter bombas essenciais em funcionamento até a entrada dos geradores diesel de emergência.

O que era o teste da turbina em Chernobyl?

Era um teste de rundown da turbina. O objetivo era avaliar a energia residual produzida pelo conjunto turbina-gerador enquanto a turbina ainda girava por inércia após a interrupção do vapor.

Por que o reator ficou instável?

O reator entrou em condição instável por uma combinação de baixa potência, envenenamento por xenônio, retirada excessiva de barras de controle, baixa margem operacional de reatividade, formação de vapor e coeficiente de vazio positivo.

O que era o AZ-5?

AZ-5 era o comando de desligamento emergencial do reator. Sua função esperada era inserir as barras de controle no núcleo para reduzir a reação nuclear.

O AZ-5 causou o acidente?

Não como causa única. O AZ-5 foi acionado quando o reator já estava em uma condição extremamente instável. Devido ao desenho das barras de controle do RBMK, sua inserção inicial contribuiu para um aumento de reatividade em parte do núcleo.

Qual era a massa da tampa lançada pela explosão?

O termo mais adequado é placa superior de cobertura ou escudo biológico superior do reator. O INSAG-7 descreve essa estrutura como tendo cerca de 2.000 toneladas, aproximadamente 2.000.000 kg.

O acidente foi apenas erro dos operadores?

Não. A análise posterior, especialmente no INSAG-7, mostrou que o acidente envolveu fatores humanos, deficiências de projeto, falhas de comunicação, baixa cultura de segurança, problemas de governança e características específicas do RBMK.

Referências Técnicas

IAEA — INSAG-7, The Chernobyl Accident: Updating of INSAG-1, Safety Series No. 75-INSAG-7, 1992.

U.S. Nuclear Regulatory Commission — NUREG-1250, Report on the Accident at the Chernobyl Nuclear Power Station, 1987.

PMI — Guia PMBOK®, 7ª edição: princípios de gerenciamento de projetos, governança, riscos, partes interessadas, qualidade, complexidade e incerteza.

ASHRAE Guideline 0-2019 — The Commissioning Process: requisitos do proprietário, base de projeto, plano de comissionamento, testes funcionais e documentação.

Materiais Técnicos Complementares

Conteúdos da série Chernobyl

Conteúdos A3A relacionados

Serviços relacionados