Teste do Reator 4: cronologia dos segundos finais de Chernobyl

Acompanhe a cronologia entre 01h23min04s e 01h24: turbogerador, bombas, vapor, AZ-5, sinais de excursão, falhas de registro e ruptura do Reator 4.

Confira!

O teste do turbogerador no Reator 4 de Chernobyl começou formalmente às 01h23min04s de 26 de abril de 1986, quando as válvulas de parada do turbogerador 8 foram fechadas. Cerca de 36 segundos depois, às 01h23min40s, foi registrado o comando EPS-5, associado ao AZ-5. Às 01h23min43s, os sistemas já sinalizavam crescimento rápido da potência.

Este artigo reconstrói esse intervalo entre o início do ensaio e a destruição do reator. Os acontecimentos das horas anteriores — atraso imposto pelo sistema elétrico, queda de potência, xenônio, baixa ORM e configuração das hastes — aparecem apenas como condições de entrada.

A resposta não cabe na frase “um teste elétrico saiu errado”. O ensaio interferia na alimentação de bombas principais e, portanto, conectava turbina, geração elétrica, vazão de refrigerante, pressão, formação de vapor e reatividade. Também não é tecnicamente rigoroso afirmar que um único evento explica sozinho os segundos finais.

Os registros disponíveis têm lacunas e ciclos de amostragem diferentes. Por isso, a cronologia distingue três níveis: eventos registrados, interpretações sustentadas por modelos e pontos que permanecem controversos. O objetivo é mostrar como uma condição vulnerável evoluiu rapidamente para perda de controle, falhas de processo e ruptura estrutural.

O que estava programado para a noite no Reator 4?

Na noite de 25 para 26 de abril de 1986, o Reator 4 seria desligado para uma parada programada de manutenção. Essa condição criava uma oportunidade para repetir um teste que já havia sido realizado anteriormente, mas sem resultado satisfatório.

O teste tinha relação com a alimentação elétrica das bombas de circulação de água de resfriamento. Em uma usina nuclear, a remoção de calor do núcleo é uma função crítica. Mesmo quando o reator é desligado, o combustível continua produzindo calor residual, e esse calor precisa ser removido de forma controlada.

O problema que o teste buscava avaliar era o seguinte: em caso de perda de alimentação elétrica, a turbina ainda girando por inércia conseguiria fornecer energia temporária para manter bombas essenciais em funcionamento até a entrada dos geradores diesel de emergência?

Esse intervalo era curto, mas tecnicamente relevante. Os geradores diesel não assumiam instantaneamente a alimentação plena. Havia uma transição. E em sistemas críticos, transições são sempre momentos sensíveis.

O que era o teste da turbina?

O teste da turbina, também chamado em algumas fontes de teste de rundown, buscava verificar o comportamento do conjunto turbina-gerador durante a desaceleração.

Em operação normal, o vapor produzido pelo reator movimentava a turbina, e a turbina acionava o gerador. Durante o teste, a ideia era interromper o fornecimento de vapor para a turbina e observar se a energia mecânica residual da rotação ainda seria suficiente para manter, por alguns segundos, a alimentação elétrica de determinadas bombas.

Em termos simples:

1. o reator seria reduzido de potência;
2. o fornecimento de vapor para a turbina seria interrompido;
3. a turbina continuaria girando por inércia;
4. o gerador acoplado ainda produziria energia por um curto período;
5. essa energia deveria alimentar bombas de circulação;
6. os geradores diesel de emergência assumiriam depois.

O teste, portanto, não era uma experiência sem propósito. Ele tratava de uma questão essencial para qualquer infraestrutura crítica: como manter funções vitais durante a transição entre a perda de uma fonte de energia e a entrada de uma fonte emergencial?

Esse mesmo raciocínio vale para subestações, data centers, hospitais, centros de operação, telecomunicações, sistemas SCADA e instalações industriais críticas.

Por que esse teste importava para a segurança?

O ensaio buscava verificar uma transição de energia: após a perda da alimentação principal, a energia cinética do turbogerador em desaceleração deveria sustentar temporariamente cargas selecionadas até a entrada dos geradores diesel. A questão era legítima, porque funções de circulação não podem desaparecer durante a transferência entre fontes.

Entretanto, a classificação do ensaio como atividade essencialmente elétrica ocultava suas interfaces. A redução de tensão e frequência alterava o desempenho das bombas conectadas ao turbogerador; o comportamento das bombas influenciava vazão, pressão e formação de vapor; e essas variáveis interagiam com a física do núcleo.

Um teste integrado precisa declarar condições iniciais, sistemas participantes, funções indisponíveis, limites operacionais, critérios de interrupção, instrumentos de registro e responsáveis pela decisão de prosseguir. Quando uma premissa deixa de ser verdadeira, o programa deve ser formalmente reavaliado — não apenas continuado com adaptações locais.

O atraso provocado pela demanda da rede elétrica

A redução de potência começou em 25 de abril, mas foi interrompida por solicitação do controlador do sistema elétrico, que precisava manter a geração da unidade. O adiamento prolongou a operação em potência intermediária e transferiu a execução do ensaio para outro turno.

O atraso não foi apenas uma mudança de horário. Ele modificou o histórico térmico e neutrônico do reator, alterou o estado das equipes e afastou a atividade das condições temporais originalmente previstas. Quando a redução foi retomada, o sistema já não estava no mesmo estado que existia no início do programa.

A passagem de turno também deveria transferir premissas, alterações, condições indisponíveis, pontos de atenção e autoridade para interromper o teste. Em sistemas críticos, a informação operacional faz parte da configuração do sistema tanto quanto equipamentos e lógicas de controle.

A redução de potência e a primeira condição crítica

Quando o teste foi retomado, o reator deveria ser estabilizado em uma faixa de potência adequada. No entanto, durante a redução, a potência caiu muito abaixo do previsto.

Essa queda levou o Reator 4 a uma condição difícil. Um RBMK operando em baixa potência, especialmente em determinadas condições de envenenamento por xenônio e distribuição irregular de potência, exigia controle delicado.

O INSAG-7, relatório da Agência Internacional de Energia Atômica que revisou as conclusões iniciais sobre o acidente, destaca que operar o RBMK em baixa potência, com determinadas condições de instrumentação e controle, impunha dificuldades relevantes aos operadores. Em baixa potência, a leitura da distribuição espacial de potência no núcleo era limitada, e o operador precisava lidar com um sistema grande, sensível e parcialmente desacoplado em regiões distintas do núcleo.

Esse ponto é essencial: o Reator 4 não era um equipamento simples respondendo de forma uniforme. Era um sistema físico complexo, com núcleo grande, distribuição espacial de nêutrons, variações locais de potência, água, vapor, grafite, barras de controle e efeitos de reatividade.

O papel do xenônio no reator 4

Depois de uma redução de potência, um dos fenômenos que afetam o comportamento de um reator nuclear é o acúmulo de xenônio-135.

O xenônio-135 é um produto de fissão que absorve nêutrons. Como os nêutrons são necessários para sustentar a reação em cadeia, o xenônio atua como um “veneno” para o reator, reduzindo a reatividade disponível.

Na prática, isso significa que, depois de uma queda de potência, o reator pode ter dificuldade para recuperar potência. Para compensar esse efeito, os operadores podem ser levados a retirar barras de controle, aumentando a reatividade disponível.

Foi isso que tornou a situação ainda mais delicada. A tentativa de recuperar e estabilizar potência ocorreu em uma condição na qual a margem operacional de reatividade foi reduzida.

O problema não era apenas a presença do xenônio. Era a combinação entre xenônio, baixa potência, configuração das barras, características do RBMK, distribuição de potência no núcleo e decisão de prosseguir com o teste.

A retirada das barras de controle

As barras de controle existem para absorver nêutrons e regular a reação nuclear. Quando são inseridas no núcleo, tendem a reduzir a reatividade. Quando são retiradas, deixam mais nêutrons disponíveis para manter ou aumentar a reação.

Durante a tentativa de recuperar potência após a queda, muitas barras foram retiradas. Isso reduziu a margem disponível para controle rápido e colocou o reator em uma configuração vulnerável.

O INSAG-7 trata esse ponto com especial atenção ao discutir a margem operacional de reatividade, conhecida pela sigla ORM. O relatório observa que a importância de segurança dessa margem não era plenamente compreendida pelos operadores. Ela não era apenas uma referência de manobra operacional; tinha impacto direto no comportamento do reator, inclusive sobre os coeficientes de reatividade.

Em outras palavras: a posição das barras não era apenas um detalhe de controle. Ela mudava a própria sensibilidade do reator a perturbações.

O início efetivo do teste

O ensaio começou às 01h23min04s, com o fechamento das válvulas de parada do turbogerador 8. A partir desse instante, o conjunto iniciou a desaceleração e as bombas conectadas ao gerador em rundown passaram a receber tensão e frequência progressivamente menores.

Os registros indicam que, durante aproximadamente os primeiros 30 segundos, os parâmetros acompanhados permaneceram dentro do intervalo esperado para aquela condição. Isso é importante: a destruição não ocorreu no mesmo instante em que as válvulas foram fechadas, e a simples abertura do teste não explica sozinha o transiente.

Por que o ensaio não era apenas elétrico?

A desaceleração do turbogerador alterava a alimentação de quatro bombas principais. A mudança elétrica interferia na rotação das bombas; a rotação influenciava a circulação; a circulação condicionava temperatura, pressão e fração de vapor; e a fração de vapor afetava a reatividade por meio do coeficiente de vazio positivo.

Portanto, o objeto real do ensaio era um sistema integrado, não apenas o gerador. A classificação inadequada reduziu a atenção dedicada às interfaces entre energia elétrica, hidráulica, automação, proteção e física do núcleo.

Cronologia dos segundos finais

1. 01h23min04s: fechamento das válvulas do turbogerador 8 e início formal do ensaio.
2. 01h23min40s: registro do sinal EPS-5, associado ao acionamento do AZ-5, e início do movimento das hastes de proteção e controle.
3. 01h23min43s: sinais de crescimento rápido da potência e atuação das proteções de período e sobrepotência; o valor registrado ultrapassou 530 MWt.
4. 01h23min46s a 01h23min47s: desligamento dos pares de bombas em rundown, alterações abruptas de vazão e aumento de pressão e nível nos separadores de vapor.
5. 01h23min49s: sinal de aumento de pressão no espaço do reator, compatível com ruptura de canal, perda da alimentação de 48 V e falhas em acionamentos.
6. Por volta de 01h24: o registro operacional menciona choques severos e hastes interrompidas antes de alcançar os limites inferiores.

O que os registros não mostram diretamente?

O DREG registrava centenas de sinais, mas não armazenava continuamente parâmetros centrais como potência, reatividade e vazão em cada canal. Das 211 hastes, apenas uma pequena amostra de posições era registrada. Outros cálculos, como os do PRIZMA, tinham ciclos de vários minutos e sofreram interrupções durante reinicializações do SKALA.

O sistema de oscilografia instalado para o teste possuía boa resolução para variáveis elétricas, mas não estava perfeitamente sincronizado com os registros do reator. A cronologia pode ser aproximada com boa confiança para eventos discretos, porém a evolução espacial do núcleo depende de modelos posteriores.

O que permanece controverso?

As análises posteriores concordam que a baixa ORM, o grande efeito de vazio e o projeto das hastes tornaram o núcleo vulnerável. A controvérsia está no peso relativo dos mecanismos durante os segundos imediatamente anteriores ao AZ-5.

Uma linha de interpretação atribui o início da excursão principalmente ao aumento de vapor durante a desaceleração das bombas. Outra considera o efeito positivo de inserção das hastes, após o comando de desligamento, como fator decisivo para a subida abrupta. O INSAG-7 conclui que a combinação dos dois mecanismos era suficiente para produzir o transiente severo observado.

A formulação mais rigorosa é que o AZ-5 não criou sozinho a condição vulnerável, mas o projeto das hastes de controle podia agravar o transiente justamente quando a função de segurança deveria dominá-lo.

Do AZ-5 aos segundos finais

Após o sinal de desligamento, as hastes começaram a se mover, mas não completaram o curso. A elevação rápida da potência aumentou a geração de vapor e a pressão; canais começaram a falhar; os próprios danos físicos comprometeram o movimento das hastes e a disponibilidade dos acionamentos.

A progressão passou de um transiente de reatividade para falhas múltiplas de processo e estrutura. A pressão gerada pela ruptura simultânea de vários canais superou a capacidade do confinamento localizado e deslocou estruturas superiores do reator. A cobertura superior, descrita em fontes técnicas como uma estrutura da ordem de 2.000 toneladas, perdeu sua função de barreira.

O ponto central não é a imagem isolada de uma “tampa lançada”, mas a perda encadeada das barreiras: combustível, canais de pressão, circuito de refrigeração, estruturas do núcleo, confinamento e sistemas de controle deixaram de cumprir suas funções em poucos segundos.

O momento da explosão

O momento da explosão marcou a transição entre uma instabilidade de reator e uma crise nuclear, ambiental, operacional, política e humana.

A partir dali, a sala de controle já não lidava apenas com um teste que saiu do controle. O Reator 4 havia sido destruído. Sistemas físicos essenciais deixaram de existir como barreiras de contenção. Materiais radioativos foram liberados. Incêndios começaram. Equipes locais, bombeiros, operadores e autoridades passaram a enfrentar uma situação sem precedentes.

É importante notar que a destruição do Reator 4 não foi consequência de um único ato isolado. Ela resultou de uma cadeia de eventos:

1. teste planejado em uma parada programada;
2. atraso operacional por demanda de energia elétrica;
3. mudança de turno e alteração do contexto do teste;
4. queda excessiva de potência;
5. envenenamento por xenônio;
6. retirada de barras de controle;
7. redução da margem operacional de reatividade;
8. início do teste em condição vulnerável;
9. alteração da vazão de resfriamento;
10. aumento de vapor;
11. coeficiente de vazio positivo;
12. acionamento do AZ-5;
13. efeito inicial indesejado das barras;
14. subida abrupta de potência;
15. ruptura estrutural e explosão.

Essa sequência é mais importante do que qualquer explicação simplista.

O que a noite do acidente revela sobre sistemas críticos?

A sequência mostra que grandes falhas raramente pertencem a uma única disciplina. O teste tinha origem elétrica, mas dependia de bombas, hidráulica, automação, instrumentação, proteção, operação e física do núcleo. A ausência de uma leitura integrada permitiu que cada parte fosse tratada separadamente enquanto o risco surgia das interfaces.

A primeira lição é que condições iniciais fazem parte do teste. Um procedimento validado para determinada potência, configuração, disponibilidade de sistemas e equipe não permanece automaticamente válido depois de horas de atraso, mudança de turno e alteração do estado do processo.

A segunda é que margens técnicas precisam estar visíveis e associadas a decisões. Não basta calcular uma variável como ORM; é necessário apresentar seu significado, atualizar o valor no tempo adequado e impedir automaticamente configurações incompatíveis com a segurança.

A terceira é que uma função de emergência deve ser verificada ponta a ponta. O comando, a alimentação, os acionamentos, o movimento dos elementos, o tempo de resposta e o efeito produzido no processo precisam ser comprovados em condições normais e degradadas.

A quarta é que dados de alta resolução são parte da segurança. Sem sincronismo, qualidade, cobertura e retenção adequada, a equipe perde consciência situacional durante a ocorrência e capacidade de aprender depois dela.

Governança do teste e revisão independente

Um teste que interfere em sistemas de segurança deve ter um responsável técnico único pelo conjunto, revisão independente, matriz de responsabilidades, análise de riscos, critérios de suspensão e aprovação formal das alterações. Pressões de produção ou despacho não podem modificar silenciosamente as premissas de segurança.

A revisão independente também precisa questionar classificações simplificadoras. Chamar o ensaio de “elétrico” não eliminava suas consequências nucleares; da mesma forma, em subestações, data centers ou instalações industriais, uma mudança em telecomunicações, software ou alimentação auxiliar pode afetar proteção e continuidade operacional.

O paralelo com infraestruturas críticas atuais

Em uma subestação, uma transferência entre fontes pode envolver serviços auxiliares, proteção, telecomunicações, sincronismo e supervisão. Em um data center, pode envolver UPS, geradores, climatização, automação e distribuição elétrica. Em ambos os casos, a instalação só está pronta quando as transições e falhas combinadas foram ensaiadas e documentadas.

O princípio é o mesmo: equipamentos isoladamente aprovados não garantem o comportamento do sistema. Segurança e disponibilidade dependem das interfaces, das condições reais de operação e da capacidade de reconhecer quando uma atividade deixou de cumprir as premissas que justificavam sua execução.

Conclusão

Entre 01h23min04s e aproximadamente 01h24, o Reator 4 passou do início de um ensaio de rundown para a perda das funções essenciais de controle, refrigeração e barreira estrutural. A velocidade da progressão mostra por que os segundos finais não podem ser explicados apenas por uma decisão isolada na sala de controle.

O teste interferia em um sistema acoplado: turbogerador, bombas, circulação, pressão, vapor, reatividade, hastes e proteção. A condição inicial já reunia baixa ORM, distribuição espacial desfavorável, xenônio e grande sensibilidade ao vazio. Quando o AZ-5 foi acionado, a função de segurança dependia de uma geometria de hastes capaz de produzir resposta inicial indesejada em determinadas configurações.

Os registros confirmam a sequência dos principais eventos, mas não medem continuamente todas as variáveis necessárias para atribuir um mecanismo único ao primeiro aumento de potência. A interpretação mais consistente é sistêmica: formação de vapor e efeito positivo de inserção atuaram sobre um núcleo vulnerável, produzindo um transiente rápido seguido por falhas múltiplas.

O próximo capítulo amplia a análise para além dos segundos finais: Chernobyl: falha de projeto, pressão política ou falha de governança?. Nele, a questão deixa de ser apenas “o que aconteceu” e passa a ser “por que tantas barreiras técnicas e institucionais falharam juntas”.

Referências técnicas

[1] INTERNATIONAL ATOMIC ENERGY AGENCY. The Chernobyl Accident: Updating of INSAG-1. Safety Series No. 75-INSAG-7. Vienna: IAEA, 1992.

[2] SHTEYNBERG, N. A. et al. Causes and circumstances of the accident at Unit 4 of the Chernobyl Nuclear Power Plant. In: INTERNATIONAL ATOMIC ENERGY AGENCY. INSAG-7, Annex I. Vienna: IAEA, 1992.

[3] ABAGYAN, A. A. et al. Causes and circumstances of the accident and measures to improve the safety of plants with RBMK reactors. In: INTERNATIONAL ATOMIC ENERGY AGENCY. INSAG-7, Annex II. Vienna: IAEA, 1992.

[4] UNITED STATES NUCLEAR REGULATORY COMMISSION. Report on the Accident at the Chernobyl Nuclear Power Station. NUREG-1250. Washington, DC: NRC, 1987.

[5] UNITED STATES NUCLEAR REGULATORY COMMISSION. Implications of the Accident at Chernobyl for Safety Regulation. NUREG-1251. Washington, DC: NRC, 1987.

[6] CHERNOBYL NUCLEAR POWER PLANT. Sequence of Events: Chernobyl Accident. Cronologia técnica consolidada a partir de registros operacionais.

[7] INTERNATIONAL NUCLEAR SAFETY ADVISORY GROUP. Safety Culture. INSAG-4. Vienna: IAEA, 1991.

[8] INTERNATIONAL ATOMIC ENERGY AGENCY. RBMK Reactors. Descrição técnica e características de segurança dos reatores moderados a grafite.

[9] MUELLNER, Nikolaus. Three Decades after Chernobyl: Technical and Institutional Lessons. Vienna: University of Natural Resources and Life Sciences.

[10] WORLD NUCLEAR ASSOCIATION. RBMK Reactors and Chernobyl. Technical overview and subsequent safety modifications.

Perguntas frequentes

O que estava sendo testado no Reator 4?

O teste verificava se a energia residual do turbogerador em desaceleração poderia alimentar temporariamente bombas selecionadas até a entrada dos geradores diesel.

Quando o teste começou de fato?

O início formal ocorreu às 01h23min04s, com o fechamento das válvulas de parada do turbogerador 8.

Quando o AZ-5 foi acionado?

O sinal do sistema EPS-5, associado ao AZ-5, foi registrado às 01h23min40s, iniciando o movimento das hastes de proteção e controle.

A potência já estava aumentando antes do AZ-5?

Há controvérsia técnica. Os registros disponíveis não permitem reconstruir todos os parâmetros do núcleo com resolução suficiente, e análises posteriores atribuem pesos diferentes à formação de vapor e ao efeito positivo de inserção.

Por que o teste não era apenas elétrico?

Porque a desaceleração do turbogerador alterava a alimentação de bombas principais e, portanto, interagia com vazão, temperatura, pressão, formação de vapor e reatividade do núcleo.

Qual foi o papel do coeficiente de vazio positivo?

O aumento da fração de vapor reduzia a absorção de nêutrons pela água e podia elevar a reatividade, criando realimentação positiva em uma condição já vulnerável.

Por que os registros não permitem uma reconstrução perfeita?

Os sistemas tinham ciclos de amostragem diferentes, não registravam todos os parâmetros relevantes e sofreram interrupções, além de os registros elétricos não estarem perfeitamente sincronizados com os dados do reator.

O acidente resultou de uma causa única?

Não. A destruição do Reator 4 decorreu da interação entre condições operacionais, características físicas do RBMK, projeto das hastes, baixa ORM, teste, supervisão e falhas de governança.

Materiais técnicos complementares

Soluções

• Sistemas SCADA
• Sistemas Digitais de Supervisão e Controle
• Gestão de Requisitos, Evidências e Critérios de Aceite

Serviços de engenharia

• Comissionamento e Aceite Técnico
• Owner’s Engineering
• Auditoria Técnica
• Projeto de Telecomunicações

Jornada sobre Chernobyl

• Chernobyl: o que aconteceu e por que o Reator 4 explodiu
• Queda de potência do Reator 4
• Iodo, xenônio e envenenamento do núcleo
• ORM e margem de reatividade
• Coeficiente de vazio positivo
• Hastes de controle do RBMK
• AZ-5 e desligamento emergencial
• Falha de projeto, pressão política e governança