ORM em Chernobyl: a margem de reatividade do Reator 4

Entenda o que era a ORM no RBMK, como essa margem era calculada, quais limites se aplicavam e por que sua redução tornou o Reator 4 menos tolerante a perturbações.

Confira!

Em sistemas críticos, o perigo nem sempre começa quando um componente quebra. Muitas vezes, ele começa quando as margens desaparecem.

No Reator 4 da usina nuclear de Chernobyl, uma das margens mais importantes era a ORM, sigla para Operational Reactivity Margin, ou margem operacional de reatividade.

No artigo anterior da série, explicamos por que as hastes de controle do RBMK tinham grafite. Mas aquele defeito de projeto só se tornou catastrófico porque o núcleo estava em uma condição extremamente desfavorável: poucas hastes efetivas disponíveis, baixa margem de controle, envenenamento por xenônio e alta sensibilidade ao vapor.

Essa condição tinha um indicador central: a ORM.

A ORM não era uma simples contagem física de hastes dentro do núcleo. Era uma medida da capacidade efetiva restante do sistema de controle para compensar reatividade. No Reator 4, essa margem caiu abaixo do limite seguro. Quando o teste começou, o reator ainda estava funcionando, mas já havia perdido boa parte da sua capacidade de ser controlado com segurança.

ORM era a margem operacional de reatividade usada no RBMK para representar a capacidade efetiva de controle ainda disponível diante das mudanças do núcleo.

Ela não correspondia a uma simples contagem visual. Era uma grandeza calculada, influenciada pela configuração do sistema de controle e pela distribuição da potência no grande núcleo do reator.

As reconstruções posteriores ao acidente produziram valores diferentes para os instantes finais, mas convergiram no aspecto essencial: a margem estava muito abaixo do limite previsto para uma condição aceitável.

O que significa ORM?

ORM significa Operational Reactivity Margin. Em português, podemos traduzir como margem operacional de reatividade.

Em um reator nuclear, reatividade é a medida de quanto o sistema tende a aumentar, reduzir ou manter a reação em cadeia. Se há nêutrons suficientes para manter a fissão de forma controlada, o reator está crítico. Se há reatividade positiva, a potência tende a subir. Se há reatividade negativa, a potência tende a cair.

A ORM representava a margem operacional disponível para controlar essa reatividade. O INSAG-7 descreve a ORM como uma característica física importante para controle e segurança do reator, expressa em número específico de hastes equivalentes totalmente inseridas do sistema de controle e proteção, dependente do campo axial de nêutrons.

Em termos práticos, a ORM indicava quanta capacidade efetiva de controle ainda restava ao reator.

ORM não era uma simples contagem de hastes

Esse é o ponto mais importante para evitar uma interpretação errada.

A ORM era expressa em “hastes”, mas não significava simplesmente contar quantas hastes estavam fisicamente dentro do núcleo. Era uma medida equivalente, calculada a partir da capacidade efetiva de absorção de reatividade, levando em conta a distribuição do fluxo de nêutrons no núcleo.

Isso acontece porque o RBMK era um reator grande, espacialmente complexo, com aproximadamente 7 metros de altura ativa e cerca de 12 metros de diâmetro. A potência não era perfeitamente uniforme em todo o núcleo. A distribuição axial e radial de nêutrons influenciava a eficácia real das hastes.

Por isso, duas configurações aparentemente semelhantes em número físico de hastes poderiam representar margens efetivas diferentes. A posição das hastes, a distribuição axial de potência, o xenônio, a temperatura, a presença de vapor e o estado do núcleo influenciavam a margem real disponível.

Uma forma simples de entender é esta:

• contar hastes indica posição física;
• calcular ORM indica capacidade efetiva de controle;
• em um núcleo complexo, essas duas coisas não são equivalentes.

Portanto, a ORM era medida em hastes equivalentes, mas era, na prática, uma medida da margem de segurança neutrônica que ainda restava ao operador e ao sistema de proteção.

A ORM era expressa em hastes equivalentes, mas isso não significava somar mecanicamente quantas hastes estavam parcialmente inseridas. A eficácia de uma haste variava conforme sua posição e conforme a distribuição de potência ao longo do núcleo.

O cálculo dependia do sistema computacional da usina e não estava disponível como uma variável contínua e instantânea no painel. O INSAG-7 registra que o processamento podia levar vários minutos e que o equipamento usado para obter o valor ficava afastado da posição principal de operação.

Isso criava uma diferença importante entre o estado físico do sistema e a informação efetivamente disponível para decisão. A equipe podia alterar a configuração mais rapidamente do que recebia uma estimativa consolidada da margem resultante.

Quais eram os limites seguros de ORM?

O INSAG-7 registra valores importantes para a operação das Unidades 3 e 4 de Chernobyl.

• Em potência nominal e regime estável, a ORM deveria estar entre 26 e 30 hastes equivalentes.
• Operação com ORM abaixo de 26 hastes exigia autorização do engenheiro-chefe da usina.
• Se a ORM caísse para 15 hastes, o reator deveria ser desligado imediatamente.
• Durante subida de potência após desligamento curto, a margem deveria permanecer em pelo menos 15 hastes.

Esses números mostram que a ORM já era reconhecida como uma barreira operacional importante. Não era um detalhe secundário nem uma variável acadêmica. Era um limite de segurança.

Quando a margem caía demais, o reator não deveria continuar operando normalmente. Muito menos deveria ser submetido a um teste complexo envolvendo sistemas elétricos, hidráulicos, operacionais e de proteção.

O que aconteceu com a ORM antes do acidente?

A cronologia do INSAG-7 mostra que a ORM variou bastante durante a redução de potência e a preparação do teste.

• 25 de abril, 01:06 — início da redução de potência da unidade; ORM igual a 31 hastes.
• 25 de abril, 07:10 — ORM igual a 13,2 hastes.
• 25 de abril, 15:20 — ORM igual a 16,8 hastes.
• 25 de abril, 23:10 — continuação da redução de potência; ORM igual a 26 hastes.
• 26 de abril, 01:22:30 — após reconstrução posterior, a ORM foi estimada em 1,9 hastes usando a curva axial padrão no programa PRIZMA, ou 6 a 8 hastes usando dados reais da distribuição axial de potência.

O valor exato reconstruído depende do método de cálculo e da distribuição axial usada. Mas a conclusão técnica não muda: a ORM estava abaixo do limite seguro de 15 hastes equivalentes.

Esse é um dos pontos mais importantes da sequência de Chernobyl. O reator não estava apenas em baixa potência. Ele estava operando com uma margem efetiva de controle gravemente reduzida.

Por que a ORM caiu tanto?

A queda da ORM foi resultado de uma sequência operacional e física.

Durante a preparação do teste, a potência do reator foi reduzida. A operação em potência reduzida se prolongou por causa da demanda da rede elétrica. Depois, durante a transferência do controle local de potência para os controladores automáticos principais, a potência caiu de forma não planejada para cerca de 30 MWt.

Essa queda foi crítica. Em baixa potência, o comportamento do xenônio se tornou decisivo. O xenônio-135 é um forte absorvedor de nêutrons. Depois de uma redução de potência, ele pode se acumular e dificultar a recuperação da potência do reator.

Para recuperar a potência, os operadores retiraram muitas hastes de controle. Ao retirar hastes, aumentaram a reatividade disponível, mas consumiram a margem operacional de reatividade. Em outras palavras: conseguiram fazer o reator voltar a produzir potência, mas às custas da margem de controle que deveria protegê-lo.

Esse processo foi tratado em detalhe no artigo Chernobyl: por que a potência do Reator 4 caiu de 500 MWt para 30 MWt?. Aqui, o foco é a consequência: a tentativa de recuperar potência levou o núcleo a uma configuração de baixa ORM.

A evolução da ORM ao longo de 25 e 26 de abril mostra que a margem não desapareceu em um único instante. O INSAG-7 registra cerca de 31 hastes equivalentes no início da redução, 13,2 pela manhã, 16,8 durante a tarde e aproximadamente 26 quando a redução foi retomada às 23h10.

Depois da nova redução de potência, da queda para cerca de 30 MWt e da recuperação para aproximadamente 200 MWt, a margem voltou a diminuir. Para o período imediatamente anterior ao acidente, cálculos posteriores produziram estimativas de 1,9 e de 6 a 8 hastes equivalentes, conforme os dados e o modelo adotados.

A divergência entre os valores não elimina a conclusão comum: a condição estava abaixo do limite operacional e com pouca tolerância para novas perturbações.

O que significa operar com ORM baixa?

Operar com ORM baixa significa operar com pouca reserva efetiva de controle. O reator ainda pode responder a comandos, ainda pode produzir vapor e ainda pode alimentar turbinas. Mas sua capacidade de absorver perturbações fica reduzida.

Em um reator como o RBMK, isso era especialmente perigoso porque vários fenômenos atuavam ao mesmo tempo:

• o núcleo era grande e espacialmente complexo;
• a distribuição axial de potência podia ficar deformada;
• o xenônio alterava a reatividade;
• a água e o vapor mudavam o balanço de nêutrons;
• as hastes de controle tinham deslocadores de grafite;
• o coeficiente de vazio podia ser positivo;
• o teste alterava condições de circulação e vapor.

Nessa condição, uma pequena perturbação podia ter efeito maior do que teria em uma operação normal. A margem que deveria absorver erros, variações e transientes já havia sido consumida.

Essa é uma lição essencial de engenharia: um sistema crítico pode parecer operacional, mas estar fora da zona segura porque suas margens foram reduzidas além do aceitável.

ORM baixa e hastes com grafite: a combinação perigosa

A baixa ORM ajuda a explicar por que o projeto das hastes de controle do RBMK se tornou tão perigoso no Reator 4.

No projeto antigo, as hastes possuíam deslocadores de grafite. Esses deslocadores existiam por razões de eficiência neutrônica: substituíam água absorvedora por grafite moderador em determinadas regiões do canal.

O problema surgia quando muitas hastes estavam retiradas. Ao acionar a inserção emergencial, as hastes começavam a entrar a partir de uma posição muito desfavorável. O deslocador de grafite podia substituir água na parte inferior do núcleo antes que a seção absorvedora dominasse o efeito.

Com ORM adequada, o sistema teria mais capacidade de compensação. Com ORM muito baixa, o núcleo estava mais vulnerável ao efeito inicial positivo das hastes.

Essa relação foi aprofundada no artigo Chernobyl: por que as hastes de controle do RBMK tinham grafite?. A síntese é direta: o defeito das hastes não atuou no vazio. Ele atuou sobre um núcleo já sem margem suficiente.

ORM baixa e coeficiente de vazio positivo

A ORM também se conecta diretamente ao coeficiente de vazio positivo, outro elo da corrente causal de Chernobyl.

No RBMK, a água tinha duas funções: removia calor e absorvia parte dos nêutrons. Quando parte da água virava vapor, havia menos absorção de nêutrons. Como o grafite continuava moderando, mais nêutrons podiam ficar disponíveis para novas fissões.

Isso significava que, em certas condições, mais vapor podia gerar mais reatividade. Mais reatividade gerava mais potência. Mais potência gerava mais calor. Mais calor gerava mais vapor. Essa realimentação positiva era perigosa.

Com ORM adequada, o sistema de controle teria mais margem para compensar variações. Com ORM baixa, o reator ficava mais exposto a essa realimentação positiva.

Esse será o próximo elo da série: por que, no RBMK, a formação de vapor podia aumentar a reatividade em vez de reduzi-la.

ORM baixa e xenônio: o veneno que empurrou o reator para o limite

A baixa ORM também não pode ser separada do xenônio.

Durante a fissão nuclear, produtos de fissão são gerados. Entre eles está o iodo-135, que decai para xenônio-135. O xenônio-135 absorve nêutrons com grande eficiência, reduzindo a reatividade do núcleo.

Quando a potência do reator cai, o fluxo de nêutrons diminui. O xenônio passa a ser consumido mais lentamente, enquanto o iodo já formado continua decaindo para xenônio. O resultado é o envenenamento do núcleo: o reator perde reatividade e fica mais difícil recuperar potência.

No Reator 4, a tentativa de superar esse envenenamento levou à retirada de muitas hastes. Isso reduziu a ORM. Portanto, o xenônio não “explodiu” o reator. Mas empurrou a operação para uma configuração de baixa margem, na qual outros fatores se tornaram muito mais perigosos.

Por que existem estimativas diferentes para a ORM final?

O valor de 1,9 hastes equivalentes foi obtido posteriormente com uma distribuição axial padrão. Quando os especialistas reconstruíram o campo com dados mais próximos da condição real, chegaram a uma faixa estimada de 6 a 8 hastes equivalentes.

A diferença mostra por que a ORM não pode ser interpretada como uma contagem direta. O resultado dependia do modelo, dos dados disponíveis e da forma assumida para a distribuição da potência. A própria investigação precisou reconstruir parâmetros que não haviam sido calculados ou registrados adequadamente antes do acidente.

Do ponto de vista de segurança, porém, as duas estimativas conduzem à mesma conclusão: o valor estava abaixo do limite de 15 hastes equivalentes previsto como condição para desligamento.

Por que a ORM alterava mais do que a reserva de controle?

No RBMK, a ORM tinha relação com outras características físicas do projeto. Quando a margem diminuía, mudavam também a distribuição do campo, a influência relativa do vapor e a resposta inicial do sistema de desligamento. Portanto, uma ORM baixa não significava apenas “menos capacidade disponível”: indicava uma configuração globalmente menos tolerante.

Essa interpretação foi fortalecida pelas análises posteriores ao acidente. Antes de 1986, o significado operacional da margem não estava traduzido de maneira suficiente nos procedimentos e na interface com a equipe.

O problema de governança: a ORM não estava suficientemente visível

Um dos pontos mais importantes do INSAG-7 aparece nas medidas adotadas depois do acidente. Entre elas, estava a introdução de programas de cálculo de ORM que forneciam indicação numérica do valor atual da margem no painel do operador.

Isso revela um problema de governança técnica: uma variável crítica de segurança não estava suficientemente disponível de forma direta, contínua e acionável para quem operava o reator.

Em um sistema crítico, não basta que uma variável exista em procedimento ou em cálculo posterior. Ela precisa ser visível, compreensível, monitorada, alarmada e, em certos casos, integrada a intertravamentos capazes de impedir operação fora dos limites.

Essa lição se aplica muito além da engenharia nuclear. Em subestações, data centers, sistemas SCADA, telecomunicações críticas, automação industrial e instalações teleassistidas, variáveis críticas precisam ser transformadas em indicadores operacionais claros. Um limite que não aparece para o operador, ou que não aciona uma barreira automática, pode falhar como barreira de segurança.

Esse é exatamente o tipo de risco que práticas como Owner’s Engineering, comissionamento, auditoria técnica, due diligence técnica e FEL ajudam a identificar antes da operação plena.

O problema não era apenas medir a ORM, mas transformar o valor em uma regra clara de decisão. Uma margem de segurança só funciona como barreira quando seu significado, seu método de cálculo, seus limites e as ações obrigatórias diante da degradação são conhecidos por todos os envolvidos.

O INSAG-7 também chama atenção para a comunicação insuficiente entre projetistas, responsáveis científicos, fabricantes, operação e órgãos reguladores. A importância real da ORM e sua relação com características do RBMK não foram incorporadas aos procedimentos com a clareza necessária.

Em sistemas complexos, não basta que um especialista conheça um risco. O conhecimento precisa ser convertido em requisito rastreável, alarme compreensível, critério de interrupção, responsabilidade definida e evidência de que a regra foi aplicada.

O que mudou depois do acidente?

As medidas posteriores ao acidente mostram como a ORM passou a ser tratada com maior rigor nos RBMK remanescentes.

Segundo o INSAG-7, as medidas de melhoria de segurança incluíram:

• redução do coeficiente de vazio positivo;
• instalação de absorvedores adicionais no núcleo;
• aumento da ORM exigida para a faixa de 43 a 48 hastes;
• introdução de programas de cálculo com indicação numérica da ORM no painel do operador;
• prevenção contra desligamento de sistemas de proteção emergencial com o reator em potência;
• modificação das hastes de controle;
• redução do tempo de inserção das hastes;
• instalação de sistema de proteção emergencial de ação rápida.

Essas mudanças são importantes porque confirmam a relevância da margem. Se foi necessário aumentar a ORM, melhorar sua indicação e impedir certas condições operacionais, então a baixa ORM era reconhecida como fator crítico de segurança.

A lição de engenharia: margens são barreiras de segurança

A história da ORM em Chernobyl ensina uma lição essencial: margens não são folgas burocráticas. Margens são barreiras de segurança.

Quando uma margem crítica é consumida, o sistema pode continuar funcionando aparentemente bem, mas já não responde da mesma forma a perturbações. A operação fica mais sensível, mais instável e menos tolerante a erro.

Em projetos de engenharia, isso vale para muitas situações:

• margem térmica em equipamentos;
• margem elétrica em sistemas de alimentação;
• margem hidráulica em bombeamento;
• margem estrutural em cargas;
• margem de comunicação em redes críticas;
• margem operacional em sistemas automatizados;
• margem de proteção em intertravamentos e alarmes.

O papel da engenharia consultiva é identificar essas margens, transformá-las em requisitos, validá-las em projeto, verificá-las em comissionamento e monitorá-las durante a operação. Um sistema crítico não deve depender de sorte, memória operacional ou interpretação tardia de dados.

Essa visão também está conectada a sistemas como SCADA no setor elétrico, teleassistência, supervisão remota e automação de ativos críticos, nos quais indicadores operacionais precisam ser confiáveis, rastreáveis e acionáveis.

Em sistemas atuais, uma margem crítica não deve aparecer apenas como um número isolado. Ela precisa ser acompanhada por tendência, qualidade do dado, premissas de cálculo, estado dos equipamentos relacionados e consequências previstas para cada faixa operacional.

Também é necessário verificar o comportamento das proteções e dos alarmes em condições degradadas, confirmar a rastreabilidade entre requisito, lógica implementada e evidência de teste e impedir que uma mudança de cenário seja tratada como simples continuidade do plano original.

A principal lição da ORM é que um sistema pode continuar entregando sua função aparente enquanto perde progressivamente a capacidade de responder com segurança a uma perturbação.

Conclusão: o Reator 4 ainda funcionava, mas já estava sem margem

A ORM não foi um detalhe técnico periférico. Ela foi um dos sinais mais importantes de que o Reator 4 havia perdido sua capacidade efetiva de controle.

Em regime normal, a ORM deveria estar entre 26 e 30 hastes equivalentes. Ao atingir 15, o reator deveria ser desligado imediatamente. Antes da sequência final, a reconstrução posterior apontou valores muito abaixo desse limite: 1,9 hastes equivalentes em um cálculo e 6 a 8 em outro. Em qualquer interpretação, a margem estava perigosamente baixa.

Com ORM baixa, as hastes com deslocadores de grafite se tornaram mais perigosas. O coeficiente de vazio positivo se tornou mais relevante. O xenônio empurrou a operação para uma configuração desfavorável. O teste da turbina deixou de ser apenas um ensaio e passou a atuar sobre um núcleo instável.

A explosão do Reator 4 não nasceu de um único erro. Nasceu de uma corrente de margens consumidas, proteções insuficientes e decisões técnicas frágeis.

No próximo artigo da série, vamos aprofundar o coeficiente de vazio positivo: por que, no RBMK, mais vapor podia significar mais reatividade — e por que isso tornou o Reator 4 tão perigoso.

Referências técnicas

[1] INTERNATIONAL ATOMIC ENERGY AGENCY. The Chernobyl Accident: Updating of INSAG-1. Safety Series No. 75-INSAG-7. Vienna: IAEA, 1992.

[2] SHTEYNBERG, N. A. et al. Causes and circumstances of the accident at Unit 4 of the Chernobyl Nuclear Power Plant. In: INTERNATIONAL ATOMIC ENERGY AGENCY. INSAG-7, Annex I. Vienna: IAEA, 1992.

[3] ABAGYAN, A. A. et al. Causes and circumstances of the accident and measures to improve the safety of plants with RBMK reactors. In: INTERNATIONAL ATOMIC ENERGY AGENCY. INSAG-7, Annex II. Vienna: IAEA, 1992.

[4] UNITED STATES NUCLEAR REGULATORY COMMISSION. Report on the Accident at the Chernobyl Nuclear Power Station. NUREG-1250. Washington, DC: NRC, 1987.

[5] UNITED STATES NUCLEAR REGULATORY COMMISSION. Implications of the Accident at Chernobyl for Safety Regulation. NUREG-1251. Washington, DC: NRC, 1987.

[6] INTERNATIONAL NUCLEAR SAFETY ADVISORY GROUP. Safety Culture. INSAG-4. Vienna: IAEA, 1991.

[7] INTERNATIONAL ATOMIC ENERGY AGENCY. RBMK Reactors. Technical description and safety characteristics of pressure-tube graphite-moderated reactors.

[8] CHERNOBYL NUCLEAR POWER PLANT. Sequence of events at Unit 4 on 25–26 April 1986. Technical chronology compiled from operating records.

[9] MUELLNER, Nikolaus. Three Decades after Chernobyl: Technical and Institutional Lessons. Vienna: University of Natural Resources and Life Sciences.

[10] WORLD NUCLEAR ASSOCIATION. RBMK Reactors and Chernobyl. Technical overview and subsequent safety modifications.

Perguntas frequentes

O que era ORM em Chernobyl?

ORM era a margem operacional de reatividade, uma grandeza calculada que representava a capacidade efetiva restante do sistema de controle.

ORM era apenas o número de hastes dentro do núcleo?

Não. O valor dependia da posição e da eficácia das hastes e da distribuição espacial da potência no núcleo.

Qual era o limite operacional de ORM?

Os procedimentos indicavam operação estável normalmente entre 26 e 30 hastes equivalentes e desligamento quando a margem atingisse 15 e continuasse diminuindo.

Qual era a ORM do Reator 4 antes do acidente?

As reconstruções posteriores produziram estimativas de 1,9 e de 6 a 8 hastes equivalentes. Ambas estavam abaixo do limite operacional.

Por que existem estimativas diferentes para a ORM final?

Os cálculos utilizaram diferentes representações da distribuição axial da potência e dados reconstruídos depois do acidente.

Por que a ORM baixa era perigosa?

Porque indicava pouca margem efetiva de controle e uma configuração mais sensível a outras características físicas do RBMK.

A equipe via a ORM continuamente?

Não. O cálculo dependia do sistema computacional e podia levar vários minutos, o que limitava sua utilidade para decisões rápidas.

O que mudou nos RBMK depois de Chernobyl?

Foram alterados o projeto das hastes, os limites operacionais, as proteções, a instrumentação e os procedimentos relacionados à margem de reatividade.

Materiais técnicos complementares

Soluções

• Sistemas SCADA
• Sistemas Digitais de Supervisão e Controle
• Gestão de Requisitos, Evidências e Critérios de Aceite

Serviços de engenharia

• Owner’s Engineering
• Auditoria Técnica
• Comissionamento e Aceite Técnico

Jornada sobre Chernobyl

• Chernobyl: o que aconteceu e por que o Reator 4 explodiu
• Reator RBMK: como funcionava o reator de Chernobyl
• De 500 para 30 MWt: por que a potência do Reator 4 caiu
• Xenônio-135 e o envenenamento do núcleo
• Hastes de controle do RBMK e deslocadores de grafite
• Coeficiente de vazio positivo no Reator 4
• Do início do teste à sequência final do Reator 4
• O que mudou nos reatores RBMK depois do acidente