De 500 para 30 MWt: por que a potência do Reator 4 caiu

Entenda a sequência de redução, a mudança de estado, a recuperação e as lições para supervisão, testes e sistemas críticos.

Confira!

A potência do Reator 4 caiu de aproximadamente 500 MWt para cerca de 30 MWt durante a retomada da redução de potência, por volta de 00h28 de 26 de abril de 1986. A queda ocorreu no momento em que o controle do reator estava sendo transferido entre faixas automáticas. Os registros permitem reconstruir a sequência, mas não demonstram uma causa imediata única e definitiva.

O envenenamento por xenônio não deve ser apresentado como a explicação direta da queda. Seu papel tornou-se crítico depois: a concentração do absorvedor dificultou a recuperação, exigiu maior compensação pelo sistema de controle e contribuiu para que a unidade fosse estabilizada em cerca de 200 MWt, abaixo do patamar originalmente previsto para o teste.

A queda para 30 MWt não foi a explosão nem o início formal do teste da turbina. Ela foi uma mudança de estado que alterou as premissas da operação. A partir daquele momento, potência, distribuição espacial, margem operacional de reatividade, produção de vapor, configuração das hastes e resposta dos sistemas passaram a formar uma condição muito diferente daquela considerada no planejamento inicial.

Por isso, a pergunta mais importante não é apenas por que a potência caiu, mas por que o processo continuou depois que o sistema saiu da condição esperada. Este artigo separa fatos documentados de interpretações posteriores e mostra como atraso, transferência de controle, recuperação de potência e perda de margens se conectaram.

Por que esse ponto merece atenção especial?

Muitos relatos sobre Chernobyl misturam três momentos diferentes:

1. a queda de potência para cerca de 30 MWt;
2. a tentativa de recuperar potência após essa queda;
3. a subida abrupta de potência que destruiu o Reator 4 depois do início do teste.

Esses três momentos estão conectados, mas não são a mesma coisa.

A queda para 30 MWt ocorreu antes do teste de rundown da turbina começar. A explosão ocorreu quase uma hora depois, após o fechamento das válvulas de vapor, a alteração da dinâmica hidráulica, a formação de vapor, o coeficiente de vazio positivo e o acionamento do AZ-5 em uma configuração extremamente vulnerável.

Separar esses eventos é essencial para entender Chernobyl sem simplificações.

Nos artigos anteriores da série, já explicamos a cronologia do início do teste ao momento da explosão e também por que o botão de emergência AZ-5 não impediu a explosão do Reator 4. Agora, o foco é mais específico: a queda prévia de potência.

O veredito técnico: o que sabemos e o que continua inconclusivo

O INSAG-7, relatório da Agência Internacional de Energia Atômica que atualizou a análise inicial do acidente, registra que a queda para cerca de 30 MWt ocorreu às 00:28, quando o reator estava em torno de 500 MWt e houve uma transferência do sistema de controle local de potência, conhecido como LAC, para os controladores automáticos principais de potência 1 e 2.

A documentação inicial, especialmente a leitura do INSAG-1, atribuía essa queda a erro operacional. Mas o INSAG-7 revisa essa interpretação. O relatório posterior indica que a explicação de “erro do operador” não é suficiente e menciona causa desconhecida ou incapacidade de controlar a potência naquele momento.

Portanto, o veredito mais rigoroso é:

Esse ponto é importante porque impede uma conclusão simplista. Não há base técnica sólida para afirmar que a queda foi causada diretamente pelo xenônio, pelo coeficiente de vazio positivo, pelo AZ-5 ou pelo fechamento das válvulas da turbina. Esses fatores entram em etapas diferentes da sequência.

A cronologia antes da queda para 30 MWt

Para entender a queda, é preciso olhar para a sequência anterior.

Segundo a cronologia do INSAG-7:

• 25 de abril, 01:06: começa a redução de potência da unidade; a ORM era de 31 hastes equivalentes.
• 25 de abril, 03:47: a potência térmica estava em 1.600 MWt, aproximadamente metade da potência nominal de 3.200 MWt.
• 25 de abril, 13:05: o turbogerador 7 foi desconectado da rede.
• 25 de abril, 14:00: o ECCS foi isolado da circulação e o programa de teste foi adiado por solicitação do controlador da rede Kievehnergo.
• 25 de abril, 23:10: a redução de potência foi retomada; a ORM era de 26 hastes equivalentes.
• 26 de abril, 00:05: o reator estava em 720 MWt e a redução de potência continuava.
• 26 de abril, 00:28: com o reator em cerca de 500 MWt, houve a transferência do LAC para os controladores automáticos principais, e a potência caiu para cerca de 30 MWt.

Essa sequência mostra que o teste não começou quando o reator passou por 720 MWt. A documentação registra que a redução ainda continuava. O teste de rundown só começou depois, às 01:23:04, com o comando “oscilógrafo ligado” e o fechamento das válvulas de parada da turbina nº 8.

25 de abril, 01h06: a redução de potência começou

A parada programada da Unidade 4 começou na madrugada de 25 de abril. A redução de potência fazia parte da preparação para manutenção e para o teste de alimentação elétrica por inércia do turbogerador. Naquele momento, o reator ainda se encontrava em uma trajetória operacional conhecida: reduzir carga, estabilizar a unidade no patamar previsto e executar o ensaio sob condições previamente definidas.

O teste não avaliaria a física nuclear do RBMK. Seu objetivo era verificar por quanto tempo a energia mecânica residual da turbina poderia sustentar determinados equipamentos até a entrada das fontes elétricas de emergência. Isso ligava diretamente o reator, o turbogerador, as bombas, a distribuição elétrica, o sistema de controle e os procedimentos de teste.

25 de abril, por volta de 14h: o sistema elétrico pediu a interrupção da redução

Durante o dia, o despacho solicitou que a unidade permanecesse gerando energia. A redução foi interrompida e o Reator 4 ficou por muitas horas em potência intermediária. A decisão atendia a uma necessidade da rede, mas mudou o estado físico do núcleo e afastou o ensaio das premissas temporais inicialmente consideradas.

Esse atraso não foi apenas uma mudança de horário. Em sistemas dinâmicos, tempo também é variável de processo: o combustível continua produzindo produtos de fissão, a concentração de xenônio se altera, temperaturas e vazões encontram novos equilíbrios, equipes se revezam e a configuração operacional pode evoluir. O teste que seria realizado horas antes já não começaria com o mesmo sistema.

25 de abril, 23h10: a redução foi retomada

Quando o despacho liberou a continuidade da parada, uma nova equipe conduziu a redução durante a noite. A potência térmica foi levada em direção ao patamar de preparação, até atingir aproximadamente 500 MWt. Pouco depois, durante a transferência entre modos de controle, ocorreu a queda para cerca de 30 MWt.

• 01h06: início da redução programada;
• 14h: interrupção da redução por solicitação do sistema elétrico;
• 23h10: retomada da redução;
• 00h28: queda de aproximadamente 500 MWt para cerca de 30 MWt;
• por volta de 01h: estabilização próxima de 200 MWt;
• 01h23min04s: início formal do teste.

O que significava operar em potência reduzida por tantas horas?

A operação em potência reduzida durante muitas horas teve dois efeitos importantes: um efeito de segurança operacional e um efeito de física do reator.

Do ponto de vista de segurança operacional, o fato crítico foi o isolamento prolongado do ECCS, o sistema de resfriamento de emergência do núcleo. O INSAG-7 aponta que o isolamento estava previsto no procedimento do teste e podia ser autorizado, mas critica a permanência da unidade em operação por longo período com essa função vital indisponível após o adiamento do teste.

Esse isolamento não iniciou o acidente. Mas revela baixa cultura de segurança: uma barreira importante permaneceu indisponível por muito mais tempo do que o necessário.

Do ponto de vista da física do reator, a potência reduzida alterou o equilíbrio entre iodo-135 e xenônio-135. O xenônio-135 é um forte absorvedor de nêutrons. Ele existe em operação normal, mas sua concentração depende do histórico de potência do reator.

Quando a potência é reduzida, há menos fluxo de nêutrons para “queimar” o xenônio, enquanto o iodo-135 já acumulado continua decaindo e produzindo xenônio. O resultado pode ser aumento do envenenamento por xenônio, reduzindo a reatividade disponível.

Então, a potência reduzida não explica sozinha a queda abrupta para 30 MWt, mas contribuiu para uma condição desfavorável que ficou muito mais grave depois da queda.

O que era o LAC?

O LAC era o Local Automatic Control, ou controle automático local. No RBMK, esse subsistema respondia a sinais de câmaras de ionização internas ao núcleo e ajudava a estabilizar a distribuição radial e azimutal de potência.

Isso era necessário porque o núcleo do RBMK era muito grande e podia apresentar distribuições espaciais complexas de potência. O reator não se comportava como um ponto único e uniforme. Partes diferentes do núcleo podiam ter comportamentos diferentes.

O sistema de controle e proteção do reator, conhecido como RCPS, tinha a função de manter automaticamente o nível de potência definido, iniciar reduções rápidas quando necessário, encerrar a reação em cadeia por meio das hastes de proteção emergencial e controlar a densidade de potência no núcleo.

Os controladores automáticos principais, por sua vez, atuavam no controle geral da potência dentro de uma faixa de operação. Assim, a mudança registrada às 00:28 foi uma transferência entre modos ou sistemas de controle durante a redução de potência.

O que os sistemas de controle conseguiam enxergar?

O RBMK utilizava sistemas complementares para controle da potência total e da distribuição espacial. Em níveis mais elevados, detectores internos ajudavam a representar diferentes regiões do núcleo. Em baixa potência, parte dessa instrumentação deixava de oferecer a mesma cobertura, aumentando a dependência de medições externas, cálculos periódicos e experiência dos operadores.

Essa limitação era especialmente relevante porque o núcleo do RBMK tinha grandes dimensões. Uma potência global aparentemente estável não garantia uma distribuição homogênea entre regiões superiores, inferiores e laterais. A condição local podia evoluir mais rapidamente do que a visão agregada disponível no console.

Também não existia a combinação atual de historiador de processo, sequência de eventos com alta resolução temporal, tendências correlacionadas, alarmes contextualizados e cálculo contínuo de margens apresentado diretamente ao operador. A informação estava distribuída entre instrumentos, sistemas e interpretações.

Por que essa transferência foi realizada?

A transferência ocorreu porque o reator estava sendo reduzido de potência para a realização do teste. Em diferentes faixas de potência e diferentes condições de distribuição espacial, o controle do RBMK podia envolver subsistemas distintos.

O objetivo operacional era manter o reator sob controle enquanto a unidade era levada para uma potência compatível com a execução do teste. A documentação registra a transferência do LAC para os controladores automáticos principais quando o reator estava em cerca de 500 MWt.

O problema não é a existência de uma transferência de controle em si. O problema é que, durante essa transferência, houve uma queda não planejada de potência para cerca de 30 MWt, e a documentação posterior não estabelece de forma conclusiva a causa imediata dessa queda.

Em sistemas críticos modernos, uma transição entre modos de controle é sempre uma etapa sensível. Ela precisa ter critérios claros, supervisão confiável, instrumentação adequada, registro de eventos e limites de abortagem. Isso vale para reatores, subestações, data centers, sistemas SCADA e qualquer infraestrutura crítica com modos de operação distintos.

Como a mudança de turno alterou o contexto?

O atraso levou a preparação do teste para o turno noturno. Isso não significa que a nova equipe fosse necessariamente menos capaz, mas que recebeu um sistema já modificado por horas de operação intermediária, decisões anteriores e um programa de teste cuja execução havia sido deslocada no tempo.

Em uma transferência de turno eficaz, não basta informar valores instantâneos. É necessário registrar premissas, alterações de configuração, anomalias, decisões tomadas, riscos abertos, limites de continuidade e condições que exigem nova autorização. Quando a passagem de serviço é tratada como conversa informal, parte importante do estado do sistema pode ficar implícita.

O caso evidencia uma interface comum em infraestruturas críticas: operação local, despacho externo, engenharia, gestão do teste e equipes sucessivas precisam compartilhar a mesma versão da situação. Essa coordenação depende de procedimentos e também de telecomunicações operacionais confiáveis, registros sincronizados e canais de comunicação definidos.

O que aconteceu às 00:28?

Às 00:28, com potência térmica em torno de 500 MWt, ocorreu a transferência do sistema de controle local para os controladores automáticos principais. Durante essa transferência, a potência caiu de forma não planejada para cerca de 30 MWt. A potência neutrônica chegou praticamente a zero.

Depois de uma pausa de quatro a cinco minutos, os operadores iniciaram a tentativa de elevar novamente a potência.

Esse é o ponto em que a narrativa precisa ser precisa. O teste da turbina ainda não havia começado. As válvulas de parada da turbina nº 8 só foram fechadas às 01:23:04. Portanto, a queda para 30 MWt não foi consequência direta do teste de rundown.

A documentação do INSAG-7 registra a queda, associa o momento à transferência de controle e revisa a explicação anterior de erro do operador. Mas não apresenta uma causa imediata única e definitiva.

O que os registros realmente permitem afirmar?

Os registros disponíveis sustentam alguns pontos com razoável segurança: a potência estava próxima de 500 MWt; houve transferência entre sistemas de controle; o valor caiu para aproximadamente 30 MWt; a equipe iniciou a recuperação; e o reator foi posteriormente estabilizado perto de 200 MWt.

O que não está igualmente estabelecido é o mecanismo imediato que provocou a queda. Relatórios e análises posteriores discutem atuação do controle, configuração do núcleo, efeitos do processo de redução e limitações dos dados disponíveis. A revisão do INSAG-7 é importante justamente porque reduziu a confiança em explicações simplistas centradas em uma única ação do operador.

Em investigação técnica, a sequência de eventos deve ser preservada separadamente da interpretação causal. O primeiro nível responde o que aconteceu e quando; o segundo procura explicar por que aconteceu. Misturar os dois níveis transforma hipótese em fato e dificulta a análise de causa-raiz.

O xenônio causou a queda?

Não como causa direta documentada.

O xenônio-135 é fundamental para entender o que aconteceu depois da queda, mas não deve ser apresentado como o gatilho direto da queda de 500 MWt para 30 MWt.

A dinâmica correta é esta:

1. o reator operou por horas em potência reduzida;
2. o equilíbrio iodo/xenônio ficou desfavorável;
3. às 00:28, ocorreu a queda não planejada para 30 MWt durante a transferência de controle;
4. em potência muito baixa, o xenônio dificultou a recuperação da potência;
5. para recuperar potência, os operadores retiraram hastes de controle;
6. a retirada de hastes reduziu a ORM;
7. o reator ficou em uma configuração vulnerável antes do início do teste.

Portanto, o xenônio foi um agravante decisivo da recuperação, não a causa imediata comprovada da queda.

O coeficiente de vazio positivo causou a queda?

Também não como causa direta.

O coeficiente de vazio positivo foi decisivo na subida descontrolada de potência depois que o teste começou. Ele explica por que, em determinadas condições do RBMK, o aumento de vapor nos canais podia aumentar a reatividade em vez de reduzi-la.

Mas a queda para 30 MWt ocorreu antes do fechamento das válvulas da turbina e antes do transiente hidráulico associado ao teste de rundown.

Então, a formulação correta é:

Como a recuperação para cerca de 200 MWt mudou o estado do reator?

Depois da queda, a equipe conseguiu elevar novamente a potência, mas não retornou ao patamar considerado inicialmente para o teste. O reator foi estabilizado próximo de 200 MWt, em uma faixa na qual o controle da distribuição espacial era mais difícil e a influência do xenônio era relevante.

Para compensar a absorção de nêutrons, a configuração do sistema de controle foi sendo alterada. Isso reduziu a margem operacional de reatividade — ORM e deixou menos capacidade disponível para controle e resposta. O valor global de potência voltou a subir, mas as margens e a distribuição interna não voltaram ao estado anterior.

A recuperação também precisa ser entendida em conjunto com o coeficiente de vazio positivo e com o projeto das hastes de controle do RBMK. Esses mecanismos não explicam necessariamente a queda inicial, mas tornaram a condição recuperada menos tolerante a perturbações posteriores.

• queda: o reator saiu do estado esperado;
• recuperação: a potência voltou, mas com nova configuração;
• estabilização: o valor global permaneceu próximo de 200 MWt;
• preparação: sistemas e bombas foram alinhados para o teste;
• continuidade: o ensaio prosseguiu apesar da mudança das premissas.

Por que recuperar a potência foi tão perigoso?

A queda para 30 MWt deixou o reator em condição muito baixa de potência. Nessa condição, o envenenamento por xenônio reduzia a reatividade disponível. Para elevar novamente a potência, os operadores precisaram retirar hastes de controle.

Retirar hastes aumenta a reatividade disponível, mas também reduz a reserva de controle. Essa reserva era medida pela ORM, a margem operacional de reatividade.

A ORM não era a contagem física simples de hastes dentro do núcleo. Era uma margem calculada, expressa em número equivalente de hastes totalmente inseridas, dependendo da distribuição axial do campo de nêutrons.

Segundo o INSAG-7, em operação nominal e regime estável, a ORM deveria estar entre 26 e 30 hastes equivalentes. Se caísse para 15, o reator deveria ser desligado imediatamente. Antes do início efetivo do teste, cálculos posteriores indicaram ORM muito abaixo desse limite, da ordem de 6 a 8 hastes equivalentes, dependendo da reconstrução utilizada.

Isso significa que, para recuperar potência, o reator foi levado a uma configuração com pouca reserva efetiva de controle. O núcleo ficou mais sensível ao coeficiente de vazio positivo e ao efeito inicial das hastes de controle durante o AZ-5.

A queda para 30 MWt foi o acidente?

Não. A queda para 30 MWt não destruiu o reator. Mas ela criou a armadilha operacional.

O acidente destrutivo ocorreu depois, quando o teste começou efetivamente às 01:23:04. Nesse momento, o reator já estava estabilizado em cerca de 200 MWt, mas em uma condição extremamente vulnerável: baixa ORM, muitas hastes retiradas, xenônio, distribuição de potência desfavorável e características do RBMK que agravavam a resposta a vazios de vapor.

Quando as válvulas de vapor da turbina nº 8 foram fechadas, a turbina entrou em desaceleração, as bombas associadas ao teste mudaram seu comportamento, a formação de vapor aumentou e o coeficiente de vazio positivo elevou a reatividade. Depois, o AZ-5 foi acionado em uma configuração na qual o desenho das hastes de controle podia produzir aumento inicial localizado de reatividade.

Assim, a queda para 30 MWt não foi a causa final única, mas foi a condição que tornou a recuperação da potência perigosa e reduziu as margens que deveriam proteger o reator.

Por que esse ponto continua inconclusivo?

A queda para 30 MWt continua tecnicamente inconclusiva porque a documentação disponível não apresenta um gatilho imediato único, comprovado e aceito de forma definitiva.

Alguns fatores tornam essa conclusão difícil:

• o evento ocorreu durante uma transição entre sistemas de controle;
• o reator estava em redução de potência e com histórico operacional complexo nas horas anteriores;
• a instrumentação tinha limitações;
• o núcleo do RBMK era grande, com distribuição espacial de potência complexa;
• parte da interpretação inicial foi influenciada pela narrativa de erro operacional;
• o próprio reator foi destruído pouco depois, limitando a reconstrução direta dos eventos.

O INSAG-7 é relevante justamente porque revisa a narrativa inicial. Ele não transforma a queda em uma certeza simples. Ao contrário, reconhece que as conclusões anteriores precisavam ser atualizadas e que a explicação baseada apenas em erro dos operadores era insuficiente.

O que seria diferente com tecnologias e processos atuais?

Tecnologia moderna não elimina decisões equivocadas, mas pode tornar desvios mais visíveis e criar barreiras adicionais antes que uma condição degradada seja aceita como normal. Em uma instalação crítica atual, a queda inesperada de uma variável principal deveria gerar eventos, alarmes, tendências e critérios formais de reavaliação.

• historiador de processo: preserva tendências e estados anteriores;
• sequência de eventos: registra mudanças com relógios sincronizados;
• cálculo contínuo de margens: apresenta parâmetros críticos sem longos ciclos manuais;
• gestão de alarmes: prioriza condições que exigem intervenção ou interrupção;
• gestão de configuração: compara o estado real com o estado aprovado;
• gestão de mudanças: exige avaliação quando prazo, equipe, sequência ou premissas são alterados;
• roteiros eletrônicos de teste: vinculam etapas, permissivos, evidências e critérios de aborto;
• simulação: permite analisar previamente estados transitórios e cenários de recuperação;
• apoio remoto: conecta especialistas sem substituir a autoridade da operação local.

O ganho não está em produzir mais dados, mas em estabelecer uma cadeia de decisão rastreável. Quando o sistema muda de estado, as pessoas certas precisam receber contexto suficiente para decidir se o plano ainda é válido.

O que essa queda ensina sobre sistemas críticos?

Do ponto de vista da engenharia, a queda para 30 MWt revela uma lição importante: nem toda variável crítica tem causa simples, mas toda transição crítica precisa ser controlada, registrada, compreendida e protegida.

Em sistemas críticos, mudanças de modo operacional são momentos de risco. Isso vale para:

• reatores nucleares;
• subestações;
• data centers;
• centros de operação;
• sistemas SCADA;
• teleassistência;
• telecomunicações críticas;
• automação industrial;
• sistemas de energia de emergência.

Quando um sistema muda de modo, muda também sua lógica de controle, seus limites, seus alarmes, sua resposta dinâmica e sua margem de segurança. Por isso, práticas como comissionamento, testes funcionais integrados, auditoria técnica, análise de risco, Owner’s Engineering, FEL e governança técnica são essenciais.

Também é indispensável que variáveis críticas sejam visíveis para os operadores e integradas à proteção do sistema. No caso do RBMK, a ORM tinha importância decisiva, mas não estava convenientemente disponível ao operador nem integrada de forma adequada ao sistema de proteção.

Essa é uma lição direta para infraestruturas modernas: se uma variável é crítica para segurança, ela precisa ser mensurável, compreendida, registrada e capaz de acionar barreiras automáticas quando os limites são violados.

Conclusão: a queda não tem resposta simples, mas suas consequências são claras

A queda de potência do Reator 4 de cerca de 500 MWt para 30 MWt segue como um dos pontos mais técnicos e menos conclusivos da sequência de Chernobyl. O que a documentação estabelece é que ela ocorreu às 00:28, durante a transferência do sistema de controle local LAC para os controladores automáticos principais. O que a documentação não fecha de forma definitiva é a causa imediata dessa queda.

O xenônio não foi o gatilho direto documentado, mas tornou a recuperação perigosa. O coeficiente de vazio positivo não causou a queda, mas agravou a sequência posterior. O AZ-5 não teve relação com a queda, mas foi acionado depois, quando o reator já estava em uma configuração vulnerável.

A queda para 30 MWt não destruiu o Reator 4. Mas criou a condição operacional que levou à retirada excessiva de hastes, à redução da ORM e à perda de margem efetiva de controle. Quando o teste começou, o reator já estava preparado para reagir mal a uma perturbação.

Esse é o ponto central: em grandes acidentes de engenharia, muitas vezes a pergunta mais importante não é apenas “o que falhou?”, mas por que o sistema permitiu continuar depois que as margens já haviam sido perdidas?

No próximo artigo técnico da série, vamos retomar o projeto do RBMK sob uma ótica de engenharia: quais decisões de projeto priorizaram eficiência, quais comprometeram segurança e como uma arquitetura operacionalmente eficiente pôde criar vulnerabilidades críticas em condição-limite.

Referências técnicas

[1] INTERNATIONAL ATOMIC ENERGY AGENCY. The Chernobyl Accident: Updating of INSAG-1. Safety Series No. 75-INSAG-7. Vienna: IAEA, 1992.

[2] SHteynberg Commission. Report by a Commission to the USSR State Committee for the Supervision of Safety in Industry and Nuclear Power. Annex I to INSAG-7.

[3] ABAGYAN Working Group. Causes and Circumstances of the Accident at Unit 4 and Measures to Improve the Safety of RBMK Plants. Annex II to INSAG-7.

[4] UNITED STATES NUCLEAR REGULATORY COMMISSION. Report on the Accident at the Chernobyl Nuclear Power Station. NUREG-1250. Washington, 1987.

[5] INTERNATIONAL ATOMIC ENERGY AGENCY. Sequence of events and operating data associated with Chernobyl Unit 4.

[6] MUELLNER, Nikolaus. Technical and organizational analyses of the Chernobyl accident and RBMK design.

[7] WORLD NUCLEAR ASSOCIATION. RBMK Reactors. Technical overview and post-accident modifications.

[8] INTERNATIONAL NUCLEAR SAFETY ADVISORY GROUP. Safety Culture. Safety Series No. 75-INSAG-4. Vienna: IAEA, 1991.

[9] CHERNOBYL NUCLEAR POWER PLANT. Institutional chronology and historical documentation of Unit 4.

[10] OECD NUCLEAR ENERGY AGENCY. Technical assessments and lessons from the Chernobyl accident.

[11] INTERNATIONAL ATOMIC ENERGY AGENCY. Documentation on RBMK reactor features, control, instrumentation and safety improvements.

Perguntas frequentes

Por que a potência do Reator 4 caiu de 500 MWt para cerca de 30 MWt?

A queda ocorreu durante a continuação da redução de potência, no momento em que o controle estava sendo transferido entre faixas automáticas. Os registros permitem reconstruir a sequência, mas não demonstram uma causa imediata única e definitiva.

O xenônio causou diretamente a queda para 30 MWt?

Não há base documental suficiente para afirmar que o xenônio foi a causa direta da queda. Ele se tornou decisivo depois, porque dificultou a recuperação da potência e contribuiu para a redução das margens de controle.

O teste da turbina já havia começado quando a potência caiu?

Não. A queda ocorreu antes do início formal do teste, durante a preparação da unidade e a tentativa de alcançar a condição prevista para sua execução.

Por que a unidade permaneceu tantas horas em potência reduzida?

O despacho do sistema elétrico solicitou que a unidade continuasse fornecendo energia. O atraso alterou o estado físico do reator e afastou a execução real das condições consideradas no planejamento original.

O que era o LAC no RBMK?

LAC era o sistema de controle automático local utilizado em determinadas faixas de potência. A transferência entre modos de controle aparece nos registros próximos ao momento da queda.

Por que a potência foi recuperada somente para cerca de 200 MWt?

A recuperação ocorreu sob forte influência do xenônio e com margens reduzidas. O reator foi estabilizado em um nível inferior ao patamar originalmente considerado para o teste.

A queda para 30 MWt já era o acidente?

Não. Ela não destruiu o reator, mas iniciou uma cadeia de condições e decisões que reduziram as margens antes do teste e da excursão final de potência.

Qual é a principal lição de engenharia desse episódio?

Mudanças de estado, atrasos e desvios em sistemas críticos precisam acionar reavaliação formal das premissas, dos riscos e dos critérios de continuidade.

Materiais técnicos complementares

Soluções

• Sistemas SCADA
• Sistemas Digitais de Supervisão e Controle
• Gestão de Requisitos, Evidências e Critérios de Aceite

Serviços de engenharia

• Owner’s Engineering
• Comissionamento e Aceite Técnico
• Auditoria Técnica

Jornada sobre Chernobyl

• Chernobyl: o que aconteceu no Reator 4
• Xenônio-135 e o envenenamento do núcleo
• ORM em Chernobyl
• Teste do Reator 4: cronologia dos segundos finais
• O que causou a explosão do Reator 4?