A queda de potência do Reator 4 de Chernobyl para cerca de 30 MWt é um dos pontos mais técnicos da sequência do acidente. Entenda o que o INSAG-7 afirma, o que segue inconclusivo e por que essa queda tornou o teste perigoso.

Confira!

Entre todos os pontos técnicos da sequência do acidente no Reator 4 da usina nuclear de Chernobyl, um dos mais difíceis de explicar com precisão é a queda de potência ocorrida antes do início efetivo do teste da turbina.

Às 00:28 de 26 de abril de 1986, o reator estava em torno de 500 MWt. Durante uma transferência entre sistemas de controle, a potência térmica caiu de forma não planejada para cerca de 30 MWt, com a potência neutrônica chegando praticamente a zero. Depois de alguns minutos, os operadores iniciaram a tentativa de recuperar potência.

Essa queda não foi a explosão. Também não foi causada pelo fechamento das válvulas da turbina, pelo AZ-5 ou pelo coeficiente de vazio positivo. Ela aconteceu antes do início efetivo do teste. Mas foi um divisor de águas: depois dela, o Reator 4 entrou em uma condição operacional que exigiu retirada de hastes de controle, reduziu drasticamente a margem operacional de reatividade e preparou o cenário para a sequência final do acidente.

Este artigo aprofunda essa pergunta: por que a potência do Reator 4 caiu de cerca de 500 MWt para 30 MWt?

A resposta mais honesta, com base no INSAG-7, é que a causa imediata exata não foi estabelecida de forma definitiva. Mas a documentação permite entender o contexto, a sequência e as consequências dessa queda.

Por que esse ponto merece atenção especial?

Muitos relatos sobre Chernobyl misturam três momentos diferentes:

  1. a queda de potência para cerca de 30 MWt;
  2. a tentativa de recuperar potência após essa queda;
  3. a subida abrupta de potência que destruiu o Reator 4 depois do início do teste.

Esses três momentos estão conectados, mas não são a mesma coisa.

A queda para 30 MWt ocorreu antes do teste de rundown da turbina começar. A explosão ocorreu quase uma hora depois, após o fechamento das válvulas de vapor, a alteração da dinâmica hidráulica, a formação de vapor, o coeficiente de vazio positivo e o acionamento do AZ-5 em uma configuração extremamente vulnerável.

Separar esses eventos é essencial para entender Chernobyl sem simplificações.

Nos artigos anteriores da série, já explicamos a cronologia do início do teste ao momento da explosão e também por que o botão de emergência AZ-5 não impediu a explosão do Reator 4. Agora, o foco é mais específico: a queda prévia de potência.

O veredito técnico: o que sabemos e o que continua inconclusivo

O INSAG-7, relatório da Agência Internacional de Energia Atômica que atualizou a análise inicial do acidente, registra que a queda para cerca de 30 MWt ocorreu às 00:28, quando o reator estava em torno de 500 MWt e houve uma transferência do sistema de controle local de potência, conhecido como LAC, para os controladores automáticos principais de potência 1 e 2.

A documentação inicial, especialmente a leitura do INSAG-1, atribuía essa queda a erro operacional. Mas o INSAG-7 revisa essa interpretação. O relatório posterior indica que a explicação de “erro do operador” não é suficiente e menciona causa desconhecida ou incapacidade de controlar a potência naquele momento.

Portanto, o veredito mais rigoroso é:

A queda de cerca de 500 MWt para 30 MWt ocorreu durante a transferência entre sistemas de controle automático, mas a causa imediata exata dessa queda não é fechada de forma definitiva pelo INSAG-7.

Esse ponto é importante porque impede uma conclusão simplista. Não há base técnica sólida para afirmar que a queda foi causada diretamente pelo xenônio, pelo coeficiente de vazio positivo, pelo AZ-5 ou pelo fechamento das válvulas da turbina. Esses fatores entram em etapas diferentes da sequência.

A cronologia antes da queda para 30 MWt

Para entender a queda, é preciso olhar para a sequência anterior.

Segundo a cronologia do INSAG-7:

  • 25 de abril, 01:06: começa a redução de potência da unidade; a ORM era de 31 hastes equivalentes.
  • 25 de abril, 03:47: a potência térmica estava em 1.600 MWt, aproximadamente metade da potência nominal de 3.200 MWt.
  • 25 de abril, 13:05: o turbogerador 7 foi desconectado da rede.
  • 25 de abril, 14:00: o ECCS foi isolado da circulação e o programa de teste foi adiado por solicitação do controlador da rede Kievehnergo.
  • 25 de abril, 23:10: a redução de potência foi retomada; a ORM era de 26 hastes equivalentes.
  • 26 de abril, 00:05: o reator estava em 720 MWt e a redução de potência continuava.
  • 26 de abril, 00:28: com o reator em cerca de 500 MWt, houve a transferência do LAC para os controladores automáticos principais, e a potência caiu para cerca de 30 MWt.

Essa sequência mostra que o teste não começou quando o reator passou por 720 MWt. A documentação registra que a redução ainda continuava. O teste de rundown só começou depois, às 01:23:04, com o comando “oscilógrafo ligado” e o fechamento das válvulas de parada da turbina nº 8.

O que significava operar em potência reduzida por tantas horas?

A operação em potência reduzida durante muitas horas teve dois efeitos importantes: um efeito de segurança operacional e um efeito de física do reator.

Do ponto de vista de segurança operacional, o fato crítico foi o isolamento prolongado do ECCS, o sistema de resfriamento de emergência do núcleo. O INSAG-7 aponta que o isolamento estava previsto no procedimento do teste e podia ser autorizado, mas critica a permanência da unidade em operação por longo período com essa função vital indisponível após o adiamento do teste.

Esse isolamento não iniciou o acidente. Mas revela baixa cultura de segurança: uma barreira importante permaneceu indisponível por muito mais tempo do que o necessário.

Do ponto de vista da física do reator, a potência reduzida alterou o equilíbrio entre iodo-135 e xenônio-135. O xenônio-135 é um forte absorvedor de nêutrons. Ele existe em operação normal, mas sua concentração depende do histórico de potência do reator.

Quando a potência é reduzida, há menos fluxo de nêutrons para “queimar” o xenônio, enquanto o iodo-135 já acumulado continua decaindo e produzindo xenônio. O resultado pode ser aumento do envenenamento por xenônio, reduzindo a reatividade disponível.

Então, a potência reduzida não explica sozinha a queda abrupta para 30 MWt, mas contribuiu para uma condição desfavorável que ficou muito mais grave depois da queda.

O que era o LAC?

O LAC era o Local Automatic Control, ou controle automático local. No RBMK, esse subsistema respondia a sinais de câmaras de ionização internas ao núcleo e ajudava a estabilizar a distribuição radial e azimutal de potência.

Isso era necessário porque o núcleo do RBMK era muito grande e podia apresentar distribuições espaciais complexas de potência. O reator não se comportava como um ponto único e uniforme. Partes diferentes do núcleo podiam ter comportamentos diferentes.

O sistema de controle e proteção do reator, conhecido como RCPS, tinha a função de manter automaticamente o nível de potência definido, iniciar reduções rápidas quando necessário, encerrar a reação em cadeia por meio das hastes de proteção emergencial e controlar a densidade de potência no núcleo.

Os controladores automáticos principais, por sua vez, atuavam no controle geral da potência dentro de uma faixa de operação. Assim, a mudança registrada às 00:28 foi uma transferência entre modos ou sistemas de controle durante a redução de potência.

Por que essa transferência foi realizada?

A transferência ocorreu porque o reator estava sendo reduzido de potência para a realização do teste. Em diferentes faixas de potência e diferentes condições de distribuição espacial, o controle do RBMK podia envolver subsistemas distintos.

O objetivo operacional era manter o reator sob controle enquanto a unidade era levada para uma potência compatível com a execução do teste. A documentação registra a transferência do LAC para os controladores automáticos principais quando o reator estava em cerca de 500 MWt.

O problema não é a existência de uma transferência de controle em si. O problema é que, durante essa transferência, houve uma queda não planejada de potência para cerca de 30 MWt, e a documentação posterior não estabelece de forma conclusiva a causa imediata dessa queda.

Em sistemas críticos modernos, uma transição entre modos de controle é sempre uma etapa sensível. Ela precisa ter critérios claros, supervisão confiável, instrumentação adequada, registro de eventos e limites de abortagem. Isso vale para reatores, subestações, data centers, sistemas SCADA e qualquer infraestrutura crítica com modos de operação distintos.

O que aconteceu às 00:28?

Às 00:28, com potência térmica em torno de 500 MWt, ocorreu a transferência do sistema de controle local para os controladores automáticos principais. Durante essa transferência, a potência caiu de forma não planejada para cerca de 30 MWt. A potência neutrônica chegou praticamente a zero.

Depois de uma pausa de quatro a cinco minutos, os operadores iniciaram a tentativa de elevar novamente a potência.

Esse é o ponto em que a narrativa precisa ser precisa. O teste da turbina ainda não havia começado. As válvulas de parada da turbina nº 8 só foram fechadas às 01:23:04. Portanto, a queda para 30 MWt não foi consequência direta do teste de rundown.

A documentação do INSAG-7 registra a queda, associa o momento à transferência de controle e revisa a explicação anterior de erro do operador. Mas não apresenta uma causa imediata única e definitiva.

O xenônio causou a queda?

Não como causa direta documentada.

O xenônio-135 é fundamental para entender o que aconteceu depois da queda, mas não deve ser apresentado como o gatilho direto da queda de 500 MWt para 30 MWt.

A dinâmica correta é esta:

  1. o reator operou por horas em potência reduzida;
  2. o equilíbrio iodo/xenônio ficou desfavorável;
  3. às 00:28, ocorreu a queda não planejada para 30 MWt durante a transferência de controle;
  4. em potência muito baixa, o xenônio dificultou a recuperação da potência;
  5. para recuperar potência, os operadores retiraram hastes de controle;
  6. a retirada de hastes reduziu a ORM;
  7. o reator ficou em uma configuração vulnerável antes do início do teste.

Portanto, o xenônio foi um agravante decisivo da recuperação, não a causa imediata comprovada da queda.

O coeficiente de vazio positivo causou a queda?

Também não como causa direta.

O coeficiente de vazio positivo foi decisivo na subida descontrolada de potência depois que o teste começou. Ele explica por que, em determinadas condições do RBMK, o aumento de vapor nos canais podia aumentar a reatividade em vez de reduzi-la.

Mas a queda para 30 MWt ocorreu antes do fechamento das válvulas da turbina e antes do transiente hidráulico associado ao teste de rundown.

Então, a formulação correta é:

O coeficiente de vazio positivo não causou a queda para 30 MWt. Ele tornou perigosa a sequência posterior, quando o teste começou em um reator já vulnerável.

Por que recuperar a potência foi tão perigoso?

A queda para 30 MWt deixou o reator em condição muito baixa de potência. Nessa condição, o envenenamento por xenônio reduzia a reatividade disponível. Para elevar novamente a potência, os operadores precisaram retirar hastes de controle.

Retirar hastes aumenta a reatividade disponível, mas também reduz a reserva de controle. Essa reserva era medida pela ORM, a margem operacional de reatividade.

A ORM não era a contagem física simples de hastes dentro do núcleo. Era uma margem calculada, expressa em número equivalente de hastes totalmente inseridas, dependendo da distribuição axial do campo de nêutrons.

Segundo o INSAG-7, em operação nominal e regime estável, a ORM deveria estar entre 26 e 30 hastes equivalentes. Se caísse para 15, o reator deveria ser desligado imediatamente. Antes do início efetivo do teste, cálculos posteriores indicaram ORM muito abaixo desse limite, da ordem de 6 a 8 hastes equivalentes, dependendo da reconstrução utilizada.

Isso significa que, para recuperar potência, o reator foi levado a uma configuração com pouca reserva efetiva de controle. O núcleo ficou mais sensível ao coeficiente de vazio positivo e ao efeito inicial das hastes de controle durante o AZ-5.

A queda para 30 MWt foi o acidente?

Não. A queda para 30 MWt não destruiu o reator. Mas ela criou a armadilha operacional.

O acidente destrutivo ocorreu depois, quando o teste começou efetivamente às 01:23:04. Nesse momento, o reator já estava estabilizado em cerca de 200 MWt, mas em uma condição extremamente vulnerável: baixa ORM, muitas hastes retiradas, xenônio, distribuição de potência desfavorável e características do RBMK que agravavam a resposta a vazios de vapor.

Quando as válvulas de vapor da turbina nº 8 foram fechadas, a turbina entrou em desaceleração, as bombas associadas ao teste mudaram seu comportamento, a formação de vapor aumentou e o coeficiente de vazio positivo elevou a reatividade. Depois, o AZ-5 foi acionado em uma configuração na qual o desenho das hastes de controle podia produzir aumento inicial localizado de reatividade.

Assim, a queda para 30 MWt não foi a causa final única, mas foi a condição que tornou a recuperação da potência perigosa e reduziu as margens que deveriam proteger o reator.

Por que esse ponto continua inconclusivo?

A queda para 30 MWt continua tecnicamente inconclusiva porque a documentação disponível não apresenta um gatilho imediato único, comprovado e aceito de forma definitiva.

Alguns fatores tornam essa conclusão difícil:

  • o evento ocorreu durante uma transição entre sistemas de controle;
  • o reator estava em redução de potência e com histórico operacional complexo nas horas anteriores;
  • a instrumentação tinha limitações;
  • o núcleo do RBMK era grande, com distribuição espacial de potência complexa;
  • parte da interpretação inicial foi influenciada pela narrativa de erro operacional;
  • o próprio reator foi destruído pouco depois, limitando a reconstrução direta dos eventos.

O INSAG-7 é relevante justamente porque revisa a narrativa inicial. Ele não transforma a queda em uma certeza simples. Ao contrário, reconhece que as conclusões anteriores precisavam ser atualizadas e que a explicação baseada apenas em erro dos operadores era insuficiente.

O que essa queda ensina sobre sistemas críticos?

Do ponto de vista da engenharia, a queda para 30 MWt revela uma lição importante: nem toda variável crítica tem causa simples, mas toda transição crítica precisa ser controlada, registrada, compreendida e protegida.

Em sistemas críticos, mudanças de modo operacional são momentos de risco. Isso vale para:

  • reatores nucleares;
  • subestações;
  • data centers;
  • centros de operação;
  • sistemas SCADA;
  • teleassistência;
  • telecomunicações críticas;
  • automação industrial;
  • sistemas de energia de emergência.

Quando um sistema muda de modo, muda também sua lógica de controle, seus limites, seus alarmes, sua resposta dinâmica e sua margem de segurança. Por isso, práticas como comissionamento, testes funcionais integrados, auditoria técnica, análise de risco, Owner’s Engineering, FEL e governança técnica são essenciais.

Também é indispensável que variáveis críticas sejam visíveis para os operadores e integradas à proteção do sistema. No caso do RBMK, a ORM tinha importância decisiva, mas não estava convenientemente disponível ao operador nem integrada de forma adequada ao sistema de proteção.

Essa é uma lição direta para infraestruturas modernas: se uma variável é crítica para segurança, ela precisa ser mensurável, compreendida, registrada e capaz de acionar barreiras automáticas quando os limites são violados.

Conclusão: a queda não tem resposta simples, mas suas consequências são claras

A queda de potência do Reator 4 de cerca de 500 MWt para 30 MWt segue como um dos pontos mais técnicos e menos conclusivos da sequência de Chernobyl. O que a documentação estabelece é que ela ocorreu às 00:28, durante a transferência do sistema de controle local LAC para os controladores automáticos principais. O que a documentação não fecha de forma definitiva é a causa imediata dessa queda.

O xenônio não foi o gatilho direto documentado, mas tornou a recuperação perigosa. O coeficiente de vazio positivo não causou a queda, mas agravou a sequência posterior. O AZ-5 não teve relação com a queda, mas foi acionado depois, quando o reator já estava em uma configuração vulnerável.

A queda para 30 MWt não destruiu o Reator 4. Mas criou a condição operacional que levou à retirada excessiva de hastes, à redução da ORM e à perda de margem efetiva de controle. Quando o teste começou, o reator já estava preparado para reagir mal a uma perturbação.

Esse é o ponto central: em grandes acidentes de engenharia, muitas vezes a pergunta mais importante não é apenas “o que falhou?”, mas por que o sistema permitiu continuar depois que as margens já haviam sido perdidas?

No próximo artigo técnico da série, vamos retomar o projeto do RBMK sob uma ótica de engenharia: quais decisões de projeto priorizaram eficiência, quais comprometeram segurança e como uma arquitetura operacionalmente eficiente pôde criar vulnerabilidades críticas em condição-limite.

Fale com um especialista da A3A Engenharia

Perguntas frequentes sobre a queda de potência em Chernobyl

Por que a potência do Reator 4 caiu para 30 MWt?

A queda ocorreu às 00:28 durante a transferência do controle local de potência para os controladores automáticos principais. O INSAG-7 não estabelece uma causa imediata definitiva, revisando a explicação inicial de simples erro do operador.

O xenônio causou a queda de potência?

Não como causa direta documentada. O xenônio foi decisivo depois da queda, porque dificultou a recuperação da potência e levou à retirada de hastes de controle, reduzindo a ORM.

O coeficiente de vazio positivo causou a queda para 30 MWt?

Não. O coeficiente de vazio positivo foi decisivo na subida descontrolada de potência depois do início do teste, mas não explica a queda inicial para 30 MWt.

O teste da turbina já havia começado quando a potência caiu?

Não. O teste efetivo começou às 01:23:04, quando as válvulas de parada da turbina nº 8 foram fechadas. A queda para 30 MWt ocorreu antes, às 00:28.

O que era o LAC?

LAC era o sistema de controle automático local do RBMK. Ele ajudava a estabilizar a distribuição espacial de potência no núcleo, respondendo a sinais de instrumentação interna.

O que era ORM?

ORM era a margem operacional de reatividade, uma medida calculada de reserva de controle do reator expressa em número equivalente de hastes totalmente inseridas.

Por que a queda para 30 MWt foi tão perigosa?

Porque a recuperação da potência exigiu a retirada de muitas hastes de controle, reduzindo a ORM e deixando o reator vulnerável antes do início efetivo do teste.

Referências Técnicas

IAEA — INSAG-7, The Chernobyl Accident: Updating of INSAG-1, Safety Series No. 75-INSAG-7, 1992.

U.S. Nuclear Regulatory Commission — NUREG-1250, Report on the Accident at the Chernobyl Nuclear Power Station, 1987.

PMI — Guia PMBOK®, 7ª edição: princípios de gerenciamento de projetos, governança, riscos, partes interessadas, qualidade, complexidade e incerteza.

ASHRAE Guideline 0-2019 — The Commissioning Process: requisitos do proprietário, base de projeto, plano de comissionamento, testes funcionais e documentação.

Materiais Técnicos Complementares

Conteúdos da série Chernobyl

Conteúdos A3A relacionados

Serviços relacionados