Chernobyl: o que causou a explosão do Reator 4?

Entenda a cadeia que levou à explosão do Reator 4: queda de potência, xenônio, ORM, vazio positivo, hastes, AZ-5, teste e falhas de governança.

Confira!

O acidente de Chernobyl não foi causado por um único erro, um único botão ou uma única característica do reator. A destruição do Reator 4 resultou da convergência entre um estado operacional degradado, vulnerabilidades do projeto RBMK, um ensaio conduzido após a perda de suas condições iniciais, proteções e informações insuficientes e falhas de governança que permitiram a continuidade da sequência.

A resposta causal pode ser resumida assim: a potência caiu para uma faixa muito baixa; o núcleo mudou de estado e ficou mais difícil de controlar; a recuperação consumiu margem operacional de reatividade; o ensaio alterou vazão, geração de vapor e condições térmico-hidráulicas; o coeficiente de vazio positivo ampliou a resposta; o AZ-5 iniciou a inserção de hastes a partir de uma configuração desfavorável; e o efeito inicial associado ao projeto das hastes agravou uma condição que já tinha pouca tolerância. O rápido aumento de potência produziu geração intensa de vapor, sobrepressão, ruptura de canais e destruição estrutural.

Chernobyl não explodiu como uma bomba atômica. A energia nuclear liberada fora de controle gerou o calor que impulsionou a sequência, mas a destruição inicial foi predominantemente termo-hidráulica e mecânica: vapor, pressão, ruptura e deslocamento de estruturas.

Este artigo funciona como a síntese causal do cluster. Cada mecanismo é apresentado apenas no nível necessário para compreender sua posição na cadeia. Os capítulos especializados aprofundam o funcionamento do RBMK, a arquitetura do reator, a queda de potência, o xenônio, a ORM, o coeficiente de vazio, as hastes de controle, o AZ-5 e a cronologia dos segundos finais.

Por que não existe uma causa única para Chernobyl?

Em sistemas complexos, a causa imediata de uma falha não é necessariamente sua explicação completa. A ruptura do Reator 4 ocorreu porque a potência e a pressão aumentaram rapidamente. Entretanto, essa resposta só se tornou possível porque várias barreiras anteriores já estavam degradadas.

Uma análise adequada precisa separar pelo menos cinco níveis:

• causa física imediata: geração rápida de vapor, sobrepressão e ruptura estrutural;
• mecanismo nuclear imediato: aumento abrupto de reatividade e potência;
• condições habilitadoras: baixa potência, distribuição espacial desfavorável, ORM reduzida, vapor e posição das hastes;
• decisões operacionais: prosseguir após a mudança de estado do reator e realizar o ensaio fora das condições planejadas;
• causas sistêmicas: projeto vulnerável, limites mal traduzidos, informação insuficiente, comunicação deficiente e governança incapaz de interromper a cadeia.

Reduzir Chernobyl a “erro humano” apaga as vulnerabilidades físicas corrigidas posteriormente nos RBMK. Reduzi-lo a “defeito de projeto” também é incompleto, porque a sequência dependeu do estado operacional construído durante as horas anteriores e de decisões que mantiveram o ensaio após a perda de suas premissas.

O RBMK tinha características que exigiam controle rigoroso

O RBMK-1000 era um reator de canais, moderado por grafite e refrigerado por água leve em ebulição. O grafite desacelerava nêutrons e sustentava condições favoráveis à fissão. A água removia calor, produzia vapor e também absorvia parte dos nêutrons.

Essa separação entre moderador e refrigerante tinha uma consequência importante: quando parte da água líquida virava vapor, a absorção de nêutrons pela água diminuía, mas o grafite continuava moderando. Em determinados estados do núcleo, o resultado podia ser aumento de reatividade.

O efeito não era constante nem uniforme. Dependia de potência, combustível, absorvedores, distribuição espacial, vazão, pressão, temperatura, fração de vapor, posição das hastes e ORM. Por isso, dizer apenas que “o RBMK tinha coeficiente de vazio positivo” não explica sozinho o acidente; é necessário compreender o estado específico em que esse feedback passou a dominar.

O grande núcleo também podia apresentar distribuições radiais e axiais muito diferentes sob a mesma potência total. Um indicador global de megawatts não mostrava, por si só, como a reação estava distribuída entre regiões do reator.

O ensaio da turbina tinha objetivo legítimo, mas atravessava várias disciplinas

O ensaio buscava verificar se a energia residual de um turbogerador em desaceleração conseguiria manter determinadas bombas alimentadas durante o intervalo entre a perda da alimentação principal e a entrada dos geradores diesel de emergência.

Em aparência, tratava-se de um ensaio elétrico. Na prática, ele atravessava geração, alimentação auxiliar, acionamento de bombas, circulação de refrigerante, formação de vapor, automação, proteção e física do núcleo. A fronteira administrativa do teste não correspondia à fronteira real do risco.

Esse é um ponto central: quando uma atividade altera sistemas auxiliares conectados ao processo principal, seu impacto precisa ser avaliado no sistema completo. O fato de o objetivo envolver turbina e eletricidade não tornava o núcleo nuclearmente indiferente ao ensaio.

O atraso mudou as condições iniciais do teste

A redução de potência começou em 25 de abril de 1986, mas foi interrompida por solicitação do sistema elétrico para que a unidade continuasse gerando. O reator permaneceu durante horas em uma condição intermediária antes de a redução ser retomada à noite.

O atraso teve efeitos simultâneos:

• modificou o histórico térmico e neutrônico do núcleo;
• transferiu a etapa final para outro turno;
• prolongou uma condição que influenciava iodo e xenônio;
• afastou o ensaio do cenário originalmente previsto;
• criou necessidade de revalidar premissas, equipe, limites e disponibilidade dos sistemas.

O atraso pelo despacho elétrico é fato documentado. Afirmações sobre pressão pessoal ou política em cada decisão exigem cautela e não devem substituir os registros técnicos. A falha de governança está em permitir que uma mudança relevante de cenário fosse tratada como simples continuidade do plano original.

A queda de potência criou um novo estado do núcleo

Por volta de 00h28, durante a retomada da redução e a transferência entre faixas de controle automático, a potência caiu para aproximadamente 30 MWt. Os registros disponíveis não estabelecem uma causa imediata única para essa queda.

O ponto tecnicamente decisivo é o que ocorreu depois: o teste havia sido planejado para outra condição, mas a equipe tentou recuperar o reator e continuar. A potência foi elevada e estabilizada em torno de 200 MWt, ainda abaixo da faixa originalmente pretendida.

Recuperar potência não significou recuperar as margens, a distribuição espacial ou as condições iniciais do ensaio. A instalação voltou a produzir determinada saída global, mas o estado interno do núcleo era diferente.

Xenônio dificultou a recuperação, mas não explica sozinho a queda inicial

O xenônio-135 é um forte absorvedor de nêutrons. Ele se forma principalmente pelo decaimento do iodo-135. Após uma redução de potência, o fluxo de nêutrons diminui e o xenônio existente passa a ser consumido mais lentamente, enquanto o iodo acumulado continua produzindo novo xenônio.

Esse fenômeno funciona como memória do histórico de potência. O núcleo não responde apenas ao valor instantâneo mostrado no painel; ele carrega os efeitos das horas anteriores.

A análise técnica deve separar duas afirmações:

• não há base suficiente para tratar o xenônio como causa direta e exclusiva da queda para 30 MWt;
• o xenônio foi importante para explicar por que a recuperação posterior exigiu retirada adicional de hastes e por que a ORM diminuiu.

Ao compensar o envenenamento, a equipe conseguiu elevar a potência, mas consumiu capacidade efetiva de controle.

A ORM mostrou que o reator havia perdido margem

ORM, ou margem operacional de reatividade, não era uma simples contagem visual de hastes. Era uma grandeza calculada, expressa em hastes equivalentes, que representava a capacidade efetiva restante do sistema de controle diante da distribuição real do campo neutrônico.

As reconstruções posteriores produziram estimativas diferentes para os instantes finais — aproximadamente 1,9 ou 6 a 8 hastes equivalentes, conforme dados e modelos adotados. A divergência não altera a conclusão operacional: os valores estavam abaixo do limite de 15 hastes associado à necessidade de desligamento.

A baixa ORM tinha três consequências relevantes:

• havia pouca reserva para compensar novas perturbações;
• muitas hastes estavam em posições que tornavam relevante o efeito inicial do projeto antigo;
• a configuração global do núcleo ficava mais sensível ao vapor e à distribuição espacial da potência.

A margem não estava disponível para a equipe como uma variável contínua, rápida e claramente integrada à decisão. O cálculo dependia do sistema computacional e podia chegar tarde em relação às mudanças operacionais.

Bombas, vazão e vapor conectavam o ensaio ao núcleo

As bombas de circulação não eram acessórios externos ao processo. Elas determinavam vazão, remoção de calor, temperatura de entrada, pressão e geração de vapor nos canais.

Antes do ensaio, a configuração das bombas e das vazões foi alterada. Quando o turbogerador iniciou sua desaceleração, a alimentação das bombas associadas ao rundown também mudou. O problema não pode ser resumido como “faltou água” nem como falha mecânica isolada de uma bomba.

A condição relevante foi a evolução conjunta de vazão, pressão, temperatura e fração de vapor. Em um RBMK com feedback de vazio positivo e pouca margem de controle, o aumento de vapor podia reforçar o crescimento de potência:

mais vapor → menor absorção pela água → mais reatividade → mais potência → mais calor → mais vapor

Essa realimentação não agia isoladamente. Seu peso dependia do estado construído durante as horas anteriores.

O teste começou às 01h23min04s

Às 01h23min04s, o fechamento das válvulas do turbogerador marcou o início formal do ensaio. A partir daí, a rotação da turbina começou a diminuir e as variáveis elétricas e hidráulicas associadas ao rundown passaram a se alterar.

Os registros disponíveis possuem ciclos de amostragem e sincronismos diferentes. Por isso, a reconstrução dos segundos finais exige distinguir:

• eventos diretamente registrados;
• valores reconstruídos por modelos;
• inferências sobre fenômenos não medidos diretamente;
• interpretações que permanecem discutidas.

A documentação não sustenta uma narrativa simplista em que todas as variáveis permaneceram estáveis até o AZ-5 nem uma narrativa igualmente absoluta em que o reator já estaria inevitavelmente destruído antes do comando. O estado era vulnerável; o peso relativo dos mecanismos nos segundos imediatamente anteriores e posteriores ao AZ-5 exige análise cuidadosa.

O AZ-5 era uma ordem de desligamento, não uma causa isolada

Às 01h23min40s, foi registrado o sinal EPS-5/AZ-5. O comando determinava a inserção das hastes do sistema de controle e proteção.

O botão não “continha energia” nem produzia diretamente a explosão. Ele iniciou uma cadeia física composta por lógica, alimentação, acionamentos, movimento das hastes, interação com o refrigerante e resposta neutrônica do núcleo.

No projeto antigo, hastes muito retiradas deixavam colunas de água em regiões dos canais. No início da inserção, os deslocadores de grafite podiam substituir essa água antes de a seção absorvedora dominar o efeito. Em uma configuração espacial desfavorável, isso introduzia reatividade positiva em parte do núcleo.

Portanto, o AZ-5 deve ser interpretado de duas formas simultâneas:

• foi uma tentativa de desligar o reator;
• seu resultado inicial foi agravado por uma vulnerabilidade conhecida do projeto das hastes e pelo estado do núcleo.

Tratá-lo como causa única elimina as horas de degradação anteriores. Tratá-lo como detalhe irrelevante ignora o mecanismo físico que levou ao redesenho das hastes e das proteções nos RBMK remanescentes.

Os segundos finais combinaram fenômenos neutrônicos e térmico-hidráulicos

Os principais marcos documentados são:

• 01h23min04s: início formal do ensaio;
• 01h23min40s: sinal EPS-5/AZ-5 e início da inserção das hastes;
• 01h23min43s: sinais associados ao crescimento rápido da potência;
• 01h23min46s–47s: alterações abruptas de vazão, pressão e nível;
• 01h23min49s: sinais de falhas nos acionamentos e condições compatíveis com ruptura de canais;
• por volta de 01h24: choques severos, danos extensos e interrupção do movimento das hastes.

Modelos posteriores não convergem para um único valor de pico de potência nem reproduzem todos os detalhes com a mesma precisão. Eles convergem, porém, na importância da distribuição espacial, do feedback de vazio e da geometria das hastes sob as condições existentes.

A destruição não foi uma detonação nuclear

O aumento de reatividade elevou rapidamente a taxa de fissão e a geração de calor. A transferência dessa energia para o refrigerante produziu vaporização intensa, pressão elevada, ruptura de canais e deslocamento de estruturas.

A sequência conceitual foi:

reatividade → potência → calor → vapor → pressão → ruptura

Uma explosão posterior foi relatada e diferentes interpretações discutem a participação de hidrogênio e de outros fenômenos físico-químicos. Isso não altera o ponto principal: Chernobyl não apresentou a geometria, o enriquecimento nem a dinâmica de uma arma nuclear.

Matriz causal do acidente

Causas físicas imediatas

• geração rápida de vapor;
• elevação de pressão;
• ruptura de canais e estruturas;
• perda da geometria e das barreiras físicas do reator.

Mecanismos nucleares imediatos

• aumento rápido de reatividade;
• crescimento localizado e depois global da potência;
• feedback positivo associado à formação de vapor;
• efeito inicial da inserção das hastes em configuração desfavorável.

Condições operacionais habilitadoras

• histórico prolongado de redução de potência;
• queda para aproximadamente 30 MWt;
• recuperação apenas para cerca de 200 MWt;
• envenenamento por xenônio;
• retirada de muitas hastes;
• ORM abaixo do limite;
• distribuição espacial desfavorável;
• configuração hidráulica alterada;
• ensaio iniciado fora das condições originais.

Vulnerabilidades de projeto

• coeficiente de vazio positivo relevante em determinados estados;
• geometria das hastes capaz de produzir efeito inicial positivo;
• resposta convencional de desligamento lenta para transientes rápidos;
• indicação insuficiente de margens e estados espaciais;
• proteções e intertravamentos incapazes de impedir determinadas configurações.

Falhas de governança

• conhecimento técnico não convertido com rapidez em correções e restrições;
• comunicação incompleta entre projetistas, fabricantes, operação e regulação;
• critérios de interrupção insuficientemente incorporados ao ensaio;
• mudanças de cenário sem revalidação formal das premissas;
• autoridade e independência inadequadas para interromper a atividade;
• investigação inicial excessivamente concentrada nas ações dos operadores.

Chernobyl foi erro humano?

Houve decisões operacionais relevantes: prosseguir após a queda de potência, recuperar o reator mediante retirada de hastes, manter o ensaio em condição diferente da planejada e aceitar margens reduzidas.

Entretanto, uma instalação segura não pode depender de cada operador conhecer vulnerabilidades que não foram comunicadas adequadamente, calcular mentalmente estados espaciais complexos ou prever que uma função de desligamento produzirá efeito inicial contrário em uma configuração permitida pelo próprio sistema.

A formulação mais precisa é: ações humanas contribuíram para construir o estado perigoso, mas encontraram um projeto vulnerável e uma governança que não impediu a convergência das falhas.

As proteções foram simplesmente desligadas?

Algumas proteções e sistemas foram alterados, bloqueados ou indisponibilizados durante a preparação do ensaio. O isolamento do sistema de resfriamento emergencial é frequentemente citado, mas não deve ser tratado como causa física imediata da explosão.

Também é incorreto imaginar que todas as proteções importantes tenham sido desligadas de uma única vez. A análise precisa avaliar qual função estava ativa, qual estava bloqueada, por qual motivo, em qual momento e qual relação causal efetiva tinha com a sequência.

A lição de engenharia não depende de exagerar: reduzir, contornar ou tornar indisponíveis barreiras enquanto outras margens se degradam diminui a tolerância global do sistema.

O que mudou nos RBMK confirma a natureza sistêmica do problema

Depois do acidente, os RBMK remanescentes receberam modificações que incluíram:

• hastes redesenhadas;
• maior seção absorvedora;
• redução do tempo de inserção convencional;
• sistema adicional de proteção rápida;
• absorvedores adicionais no núcleo;
• maior ORM exigida;
• combustível com maior enriquecimento;
• redução do coeficiente de vazio;
• indicação numérica da ORM;
• restrições ao bloqueio de proteções;
• novos limites, procedimentos e sistemas de supervisão;
• melhorias em resfriamento, inspeção e sistemas auxiliares.

Essas mudanças demonstram que havia vulnerabilidades reais de engenharia. Não demonstram que cada retrofit corresponda isoladamente a uma causa única. O objetivo foi fortalecer várias camadas de defesa e impedir a repetição da combinação encontrada no Reator 4.

Lições para sistemas e infraestruturas críticas

Testes precisam de condições iniciais verificáveis

Um plano de teste deve definir potência, configuração, margens, disponibilidade dos sistemas, instrumentos, responsáveis e critérios de interrupção. Quando uma premissa muda, o teste precisa ser formalmente reavaliado.

Comando não é desempenho comprovado

Uma ordem enviada não comprova que a função foi cumprida. É necessário verificar alimentação, lógica, acionamento, posição alcançada, tempo de resposta e efeito real sobre o processo.

Margens precisam ser visíveis e acionáveis

Uma variável crítica deve ter método conhecido, qualidade, atualização, tendência, alarmes e ações obrigatórias. Um valor calculado tarde demais pode não funcionar como barreira operacional.

Interfaces devem ser tratadas como parte do sistema

Turbina, bombas, alimentação elétrica, automação, processo e proteção não podem ser analisados em silos quando uma alteração em um subsistema modifica o comportamento dos demais.

Proteções precisam funcionar em estados degradados

A função de segurança deve ser validada nos estados em que será mais necessária: baixa margem, distribuição desfavorável, perda de alimentação, sensores indisponíveis, mudanças de configuração e falhas combinadas.

Conhecimento técnico precisa virar requisito

Identificar uma vulnerabilidade não basta. Ela precisa gerar alteração de projeto, restrição operacional, treinamento, atualização documental, teste de verificação e evidência de aceite.

Como continuar a jornada sobre Chernobyl

Para uma visão geral do evento e de suas consequências, consulte o HUB sobre Chernobyl.

Para reconstruir o sistema antes do acidente, leia Chernobyl antes de 1986, como funcionava o RBMK e a arquitetura de componentes e sistemas.

Para acompanhar a formação do estado crítico, siga pela queda de potência, pelo xenônio-135 e pela margem operacional de reatividade.

Para compreender os mecanismos finais, consulte o coeficiente de vazio positivo, as hastes com deslocadores de grafite, o AZ-5 e a cronologia do teste.

Para encerrar a análise sistêmica, veja erro humano, falha de projeto ou falha de governança e o que mudou nos RBMK após o acidente.

Conclusão: a explosão foi o resultado final de uma cadeia

O Reator 4 não foi destruído porque uma única pessoa apertou um botão errado. A instalação chegou aos segundos finais após horas de mudanças de estado, margens consumidas, condições iniciais perdidas e barreiras insuficientes.

A queda de potência e o xenônio tornaram a recuperação difícil. A retirada de hastes reduziu a ORM. A configuração hidráulica e a formação de vapor encontraram um feedback positivo. O AZ-5 acionou uma função cujo resultado inicial dependia de uma geometria vulnerável. O aumento rápido de potência produziu calor, vapor, pressão e ruptura.

A explicação completa inclui física, projeto, operação, informação, cultura de segurança e governança. Essa é também a principal lição para qualquer infraestrutura crítica: acidentes sistêmicos não nascem de um único erro; eles surgem quando várias defesas deixam de funcionar como um conjunto.

Referências técnicas

[1] INTERNATIONAL ATOMIC ENERGY AGENCY. The Chernobyl Accident: Updating of INSAG-1. Safety Series No. 75-INSAG-7. Vienna: IAEA, 1992.

[2] SHTEYNBERG, N. A. et al. Causes and circumstances of the accident at Unit 4 of the Chernobyl Nuclear Power Plant. In: INTERNATIONAL ATOMIC ENERGY AGENCY. INSAG-7, Annex I. Vienna: IAEA, 1992.

[3] ABAGYAN, A. A. et al. Causes and circumstances of the accident and measures to improve the safety of plants with RBMK reactors. In: INTERNATIONAL ATOMIC ENERGY AGENCY. INSAG-7, Annex II. Vienna: IAEA, 1992.

[4] UNITED STATES NUCLEAR REGULATORY COMMISSION. Report on the Accident at the Chernobyl Nuclear Power Station. NUREG-1250. Washington, DC: NRC, 1987.

[5] UNITED STATES NUCLEAR REGULATORY COMMISSION. Implications of the Accident at Chernobyl for Safety Regulation. NUREG-1251. Washington, DC: NRC, 1987.

[6] INTERNATIONAL NUCLEAR SAFETY ADVISORY GROUP. Safety Culture. INSAG-4. Vienna: IAEA, 1991.

[7] WORLD NUCLEAR ASSOCIATION. RBMK Reactors. London: WNA.

[8] CHERNOBYL NUCLEAR POWER PLANT. Sequence of events at Unit 4 on 25–26 April 1986.

[9] MUELLNER, Nikolaus. The Chernobyl Accident 1986. Vienna: University of Natural Resources and Life Sciences.

[10] OECD NUCLEAR ENERGY AGENCY. Chernobyl: Assessment of Radiological and Health Impacts. Paris: OECD/NEA.

Perguntas frequentes

O que causou a explosão de Chernobyl?

A explosão resultou da combinação entre um núcleo em condição degradada, baixa ORM, feedback de vazio positivo, projeto das hastes, condições do teste, decisões operacionais e falhas de governança.

Chernobyl explodiu como uma bomba nuclear?

Não. O aumento descontrolado da potência gerou calor, vapor e pressão, produzindo ruptura estrutural. Não ocorreu uma detonação nuclear como a de uma arma.

O xenônio causou o acidente?

O xenônio não explica sozinho a queda inicial nem a explosão. Ele dificultou a recuperação de potência e contribuiu para a retirada de hastes e a redução da ORM.

Por que a ORM era importante?

A ORM representava a capacidade efetiva de controle restante. As estimativas finais estavam abaixo do limite operacional, indicando pouca tolerância a novas perturbações.

O coeficiente de vazio positivo foi a causa única?

Não. Ele ampliou a resposta à formação de vapor em um estado já vulnerável, interagindo com potência, vazão, distribuição espacial, hastes e ORM.

O AZ-5 causou a explosão?

O AZ-5 foi uma tentativa de desligamento. A inserção das hastes agravou inicialmente o estado devido ao projeto antigo e à configuração do núcleo, mas o comando não explica sozinho toda a cadeia.

O acidente foi culpa dos operadores?

Decisões operacionais contribuíram para o estado perigoso, mas o acidente também envolveu vulnerabilidades de projeto, informação insuficiente, comunicação deficiente e falhas de governança.

O que mudou nos RBMK depois de Chernobyl?

Foram redesenhadas hastes e proteções, aumentada a ORM, reduzido o coeficiente de vazio e melhorados instrumentação, procedimentos, supervisão, resfriamento e controles operacionais.

Materiais técnicos complementares

Soluções

• Sistemas SCADA
• Sistemas Digitais de Supervisão e Controle
• Gestão de Requisitos, Evidências e Critérios de Aceite

Serviços de engenharia

• Owner’s Engineering
• Comissionamento e Aceite Técnico
• Auditoria Técnica

Jornada sobre Chernobyl

• Chernobyl: o que aconteceu e por que o Reator 4 explodiu
• De 500 para 30 MWt: por que a potência do Reator 4 caiu
• Xenônio-135 e o envenenamento do núcleo
• ORM em Chernobyl
• Coeficiente de vazio positivo no RBMK
• Hastes de controle do RBMK
• AZ-5 em Chernobyl
• Teste do Reator 4: cronologia dos segundos finais