Cronologia do acidente do Reator 4: contexto técnico, cronologia, falhas de projeto, governança de segurança e lições de engenharia.
Confira!
A explosão do Reator 4 da usina nuclear de Chernobyl não pode ser entendida apenas pelo instante final. Ela foi o desfecho de uma sequência de decisões, condições operacionais, respostas físicas do reator e limitações de projeto que se acumularam durante a noite de 25 para 26 de abril de 1986.
Nos artigos anteriores da série, explicamos o que aconteceu em Chernobyl, como funcionava o reator RBMK, o contexto histórico da usina e as causas gerais do acidente. Agora, o foco é mais específico: acompanhar a noite do acidente, do início do teste no Reator 4 até o momento da explosão.
Este artigo não pretende repetir toda a física nuclear nem toda a história da usina. A proposta é reconstruir a cronologia técnica do acidente de Chernobyl: o teste da turbina, a redução de potência, o papel do xenônio, a retirada das barras de controle, o início efetivo do teste, o acionamento do AZ-5 e os segundos finais do Reator 4.
Por que começar pelo teste, e não pela explosão?
Porque a explosão foi consequência, não ponto de partida. Quando se olha apenas para o momento final, existe o risco de transformar Chernobyl em uma explicação simplista: um botão, uma pessoa, uma falha isolada ou uma decisão equivocada.
O caso é mais complexo. O acidente envolveu uma instalação de grande porte, um reator RBMK em condição instável, um teste operacional, sistemas de proteção, decisões humanas, limitações de instrumentação, características físicas do núcleo e uma cultura técnica que não tratava certos riscos com a profundidade necessária.
Por isso, a melhor forma de entender a noite do acidente é seguir a sequência: o que estava previsto, o que mudou, quais condições foram sendo criadas e por que, no fim, o sistema saiu da margem controlável.
O que estava programado para o Reator 4?
O Reator 4 seria desligado para uma parada programada de manutenção. Essa parada criava uma oportunidade para repetir um teste associado ao sistema elétrico da unidade: o teste de rundown, ou teste de desaceleração da turbina.
A ideia era verificar se a turbina, mesmo após o corte de vapor, continuaria girando por inércia durante tempo suficiente para gerar energia elétrica temporária e alimentar equipamentos essenciais até que os geradores diesel de emergência entrassem em operação.
Em linguagem simples: o teste buscava responder a uma pergunta crítica para qualquer sistema de energia:
Se a fonte principal de energia falhar, o sistema consegue manter funções essenciais durante a transição para a fonte de emergência?
Essa pergunta é típica de sistemas críticos. Ela vale para usinas, subestações, hospitais, data centers, centros de operação, telecomunicações, sistemas SCADA, segurança eletrônica e qualquer infraestrutura em que poucos segundos de falha podem gerar consequências relevantes.
O que era o teste da turbina?
Em uma usina nuclear, o reator gera calor. Esse calor produz vapor. O vapor movimenta turbinas. As turbinas acionam geradores. Quando o vapor é cortado, a turbina não para instantaneamente: ela continua girando por inércia por algum tempo, reduzindo gradualmente sua velocidade.
O teste queria medir se essa energia residual da turbina poderia sustentar temporariamente parte da alimentação elétrica interna da unidade. O ponto central era manter energia para bombas importantes, especialmente em um cenário de perda de alimentação elétrica externa, até que os geradores diesel de emergência assumissem a carga.
O conceito do teste não era absurdo. Pelo contrário: testar transições de energia em sistemas críticos é essencial. O problema estava na condição em que o teste foi conduzido, na forma como foi coordenado e na interação entre o teste elétrico e a física do reator RBMK.
25 de abril: a redução de potência começa
Na madrugada de 25 de abril, começou a redução gradual da potência do Reator 4. O objetivo era levar a unidade a uma faixa adequada para a parada e para a realização do teste.
Ao longo do dia, a potência foi sendo reduzida. O turbogerador nº 7 foi desconectado, mantendo o turbogerador nº 8 como elemento central do teste. O sistema de resfriamento de emergência do núcleo também foi isolado conforme o procedimento do teste. Segundo análises posteriores, esse isolamento não foi o iniciador direto do acidente, mas sua permanência por muitas horas com o reator em operação demonstrava uma cultura de segurança deficiente.
Aqui aparece uma primeira lição importante: em sistemas críticos, uma condição temporária pode deixar de ser aceitável quando se prolonga além do cenário planejado. Um sistema de proteção indisponível por alguns instantes durante uma manobra controlada não tem o mesmo significado de um sistema essencial indisponível por horas durante operação real.
O atraso causado pela demanda da rede elétrica
Durante a tarde de 25 de abril, a redução de potência foi interrompida a pedido do controlador da rede elétrica. A unidade permaneceu operando por mais tempo do que o previsto porque sua geração ainda era necessária ao sistema.
Esse detalhe é fundamental. O acidente não aconteceu em uma bancada de laboratório, mas em uma usina real, conectada a uma rede elétrica real, respondendo a demanda, despacho, operação e coordenação do sistema.
Quando a redução de potência foi retomada à noite, o contexto já era diferente. Havia atraso, mudança de turno, reator em outra condição operacional e maior complexidade para conduzir o teste conforme a premissa original.
A queda de potência: o Reator 4 sai da condição planejada
Por volta de 00h28 de 26 de abril, durante a transferência de controle automático local para controle automático global, a potência do reator caiu de forma abrupta para um nível extremamente baixo, em torno de 30 MW térmicos ou menos, segundo as leituras e análises posteriores.
Essa queda não fazia parte do plano do teste. A potência pretendida era muito maior. Em vez de interromper o processo, a equipe buscou recuperar a potência para uma condição em que o teste ainda pudesse ser executado.
O problema é que um reator nuclear não responde como um equipamento simples que pode ser “baixado” e “levantado” sem consequências. Em baixa potência, após operação prolongada, o comportamento do núcleo passa a ser fortemente afetado por fenômenos como envenenamento por xenônio e distorções na distribuição de potência.
O papel do xenônio na madrugada do acidente
O xenônio-135 é um produto de fissão que absorve nêutrons com grande eficiência. Em termos práticos, ele atua como um “veneno neutrônico”: dificulta a reação em cadeia e reduz a reatividade disponível no núcleo.
Depois da queda de potência, o acúmulo de xenônio dificultou a recuperação do reator. Para elevar a potência, foi necessário retirar mais barras de controle. Essa ação aumentava a reatividade disponível, mas também reduzia a margem operacional de controle.
Esse é um dos pontos centrais da sequência: o esforço para recuperar a potência colocou o Reator 4 em uma configuração cada vez mais vulnerável, com muitas barras retiradas e baixa margem operacional de reatividade.
A retirada das barras de controle e a perda de margem operacional
As barras de controle existem para absorver nêutrons e regular a reação nuclear. Quanto mais barras inseridas no núcleo, maior a capacidade de reduzir a reação. Quanto mais barras retiradas, maior a reatividade disponível, mas menor a margem de ação rápida em caso de necessidade.
Naquela madrugada, a margem operacional de reatividade caiu para valores muito abaixo dos desejáveis. O INSAG-7 destaca que o significado de segurança dessa margem não era convenientemente apresentado ao operador e não estava incorporado ao sistema de proteção do reator como uma barreira automática.
Em outras palavras: o operador podia estar tecnicamente ciente de que havia poucas barras efetivas no núcleo, mas o sistema não traduzia essa condição em uma proibição operacional clara, imediata e automática, compatível com o risco real.
Esse ponto é decisivo para entender por que Chernobyl não deve ser reduzido a erro humano. Havia ação humana, mas também havia projeto, instrumentação, procedimentos, comunicação técnica e governança insuficientes.
01h03 e 01h07: mais bombas entram em operação
Com o reator estabilizado em torno de 200 MW térmicos, mais bombas principais de circulação foram colocadas em operação. O objetivo era garantir resfriamento durante o teste.
Mas a condição era incomum: baixa potência, alta vazão de água, baixo teor de vapor no núcleo e pequena margem de sub-resfriamento. Isso deixou o sistema sensível a mudanças de vazão, pressão, formação de vapor e reatividade.
No RBMK, a água não era apenas um fluido de resfriamento. Sua presença, temperatura, vazão e transformação em vapor alteravam a física do núcleo. Em certas condições, mais vapor poderia significar mais reatividade, e não menos.
01h23: começa o teste no Reator 4
Às 01h23min04s, as válvulas de parada do turbogerador nº 8 foram fechadas. Esse foi o início efetivo do teste da turbina.
Com o corte do vapor, a turbina começou a desacelerar. As bombas alimentadas pelo turbogerador em teste passaram a perder rotação e desempenho. A vazão de água no núcleo começou a mudar. Com menor circulação em parte do sistema, a formação de vapor aumentou.
Em um reator com coeficiente de vazio positivo, como o RBMK em determinadas condições, esse aumento de vapor poderia adicionar reatividade. Mais reatividade aumenta potência. Mais potência gera mais calor. Mais calor gera mais vapor. Essa é a lógica da realimentação positiva.
Água, vapor e reatividade: o núcleo entra em uma zona perigosa
A partir do início do teste, a combinação entre baixa potência, pouca margem de controle, vazão alterada, formação de vapor e características do RBMK criou uma condição perigosa.
O problema não era simplesmente “haver vapor”. O problema era o efeito que a formação de vapor produzia naquele reator, naquele momento e naquela configuração. O aumento de vazios no núcleo podia elevar a reatividade, principalmente porque o grafite continuava moderando nêutrons enquanto a água, que também absorvia nêutrons, era parcialmente substituída por vapor.
Assim, um fenômeno térmico-hidráulico — mudança na circulação e na formação de vapor — se transformou em um fenômeno nuclear: aumento de reatividade e crescimento de potência.
O que era o AZ-5?
AZ-5 era o comando de desligamento emergencial do reator. Sua função esperada era inserir as barras de controle no núcleo para reduzir a reação nuclear e levar o reator a uma condição segura.
Em termos simples, o AZ-5 deveria ser o comando de parada de emergência. Ao ser acionado, as barras deveriam descer no núcleo, absorver nêutrons e interromper a reação em cadeia.
Mas no RBMK daquele período, as barras de controle tinham uma característica de projeto crítica: ao iniciar a inserção a partir de posições muito retiradas, seus deslocadores de grafite podiam substituir água na parte inferior dos canais antes que a parte absorvedora das barras atuasse de forma efetiva naquela região. Em determinadas condições, isso podia produzir uma inserção inicial de reatividade positiva.
Por isso, o AZ-5 não deve ser tratado como “o botão que causou Chernobyl”. Ele foi a etapa final de uma cadeia já instável. Mas, no contexto específico daquela madrugada, sua atuação inicial agravou a condição do núcleo em vez de reduzi-la imediatamente.
01h23min40s: o AZ-5 é acionado
Às 01h23min40s, o comando de emergência foi acionado. As barras de controle e proteção começaram a se mover para dentro do núcleo.
Em um cenário normal, esse movimento deveria reduzir a reatividade. Porém, no estado em que o Reator 4 se encontrava — baixa potência, núcleo envenenado por xenônio, distribuição de potência distorcida, muitas barras retiradas, baixa margem operacional e condições térmico-hidráulicas sensíveis — a inserção inicial das barras contribuiu para aumentar a reatividade em parte do núcleo.
O INSAG-7 destaca que a severidade do acidente passou a ser associada, nas análises posteriores, aos defeitos de projeto das barras de controle e segurança em conjunto com as características físicas do RBMK, que permitiam grandes coeficientes de vazio positivos em certas condições.
Em poucos segundos, a distribuição de potência se deformou fortemente. A potência cresceu de forma abrupta em regiões do núcleo. O sistema já não respondia como um reator controlável.
Os segundos finais: potência, ruptura e pressão
Após o acionamento do AZ-5, os eventos evoluíram muito rapidamente. Sinais de aumento da taxa de potência apareceram. A potência excedeu os níveis esperados. A geração de calor cresceu em regiões do núcleo. Canais de combustível começaram a sofrer danos.
Quando o combustível e os canais começaram a falhar, a água entrou em contato com materiais extremamente quentes, produzindo vapor de forma violenta. A pressão aumentou rapidamente no interior do reator. A ruptura de canais intensificou ainda mais a formação de vapor e a perda de integridade estrutural.
O acidente deixou de ser uma instabilidade de potência e passou a ser uma destruição física do núcleo e de estruturas associadas.
A explosão e a placa superior de 2.000 toneladas
A explosão foi forte o suficiente para levantar e deslocar a placa superior de cobertura do reator, associada ao escudo biológico superior. Segundo o INSAG-7, essa placa tinha cerca de 2.000 toneladas, ou aproximadamente 2.000.000 kg.
Esse dado dá uma dimensão física do acidente. Não estamos falando de uma falha localizada em uma tubulação ou em um componente periférico. A energia liberada foi capaz de deslocar uma estrutura gigantesca, romper canais, danificar o núcleo, destruir parte do edifício do reator e expor materiais altamente radioativos.
Relatos e análises apontam para uma primeira explosão associada à rápida geração de vapor e ao aumento extremo de pressão. Uma segunda explosão foi relatada poucos segundos depois, com hipóteses discutidas na literatura técnica, incluindo processos químicos e novas interações envolvendo materiais superaquecidos. A sequência exata dos fenômenos finais ainda envolve incertezas, mas o resultado estrutural foi claro: o Reator 4 foi destruído.
Por que esse artigo não resume tudo a “erro humano”?
Porque a própria evolução das análises técnicas mostrou que a explicação inicial, muito concentrada nas ações dos operadores, era insuficiente. O INSAG-7 revisou o entendimento do INSAG-1 e deslocou parte importante da análise para características de projeto, falhas de comunicação, deficiências de segurança, instrumentação, procedimentos e cultura organizacional.
Isso não significa ignorar decisões operacionais inadequadas. Significa reconhecer que os operadores atuavam dentro de um sistema que não lhes entregava todas as barreiras necessárias: projeto robusto, informação clara, procedimentos consistentes, treinamento suficiente, supervisão independente e cultura de segurança madura.
Em engenharia, acidentes complexos raramente são produto de uma única falha. Eles surgem quando várias barreiras falham, se enfraquecem ou simplesmente não existem.
O que a noite do acidente ensina sobre sistemas críticos?
A noite do acidente no Reator 4 mostra que testes em sistemas críticos não podem ser tratados como atividades secundárias. Um teste que envolve energia, proteção, intertravamentos, operação, instrumentação e modos transitórios precisa ter escopo claro, critérios de interrupção, autoridade técnica, análise de risco e procedimentos compatíveis com a criticidade do sistema.
Algumas lições são diretas:
- testes críticos precisam ser executados dentro das condições previstas;
- mudanças de condição operacional exigem reavaliação técnica;
- margens de segurança devem ser visíveis, compreendidas e protegidas;
- intertravamentos e proteções não podem ser tratados como obstáculos operacionais;
- instrumentação deve permitir leitura confiável da condição real do sistema;
- procedimentos precisam refletir a análise de segurança;
- equipes precisam ter autoridade para interromper uma atividade quando as premissas deixam de existir.
Essas lições valem para usinas nucleares, mas também para subestações, sistemas de geração, data centers, hospitais, centros de operação e redes industriais. Sempre que há energia, automação, supervisão, redundância e continuidade operacional, há necessidade de engenharia rigorosa.
Comissionamento, governança e engenharia consultiva
Do ponto de vista da engenharia consultiva, Chernobyl mostra por que comissionamento, auditoria técnica de engenharia, Owner’s Engineering, FEL e EPCM não são formalidades administrativas. São barreiras de governança.
Em projetos críticos, o dono do ativo precisa ter clareza sobre requisitos, testes, documentação, critérios de aceitação, riscos, responsabilidades e limites operacionais. Precisa também contar com revisão técnica independente para questionar premissas, validar interfaces e impedir que pressão por prazo, produção ou continuidade operacional supere a segurança.
Essa lógica também se aplica a projetos de SCADA no setor elétrico, teleassistência em subestações, monitoramento de chaves seccionadoras e projetos de telecomunicações para subestações, nos quais continuidade, supervisão, alarmes, registros e operação remota precisam funcionar de forma integrada.
Conclusão: a explosão foi o fim de uma sequência, não o começo
A noite do acidente em Chernobyl mostra que o momento da explosão foi apenas o ponto final de uma sequência que começou horas antes: redução de potência, atraso do teste, queda abrupta do reator, envenenamento por xenônio, retirada de barras de controle, baixa margem operacional, alta sensibilidade térmico-hidráulica, início do teste da turbina, aumento de vapor, acionamento do AZ-5 e crescimento abrupto de potência.
O Reator 4 foi destruído porque um sistema complexo foi conduzido para uma condição em que suas barreiras técnicas, operacionais e organizacionais já não eram suficientes. O deslocamento da placa superior de cerca de 2.000 toneladas é a imagem física dessa perda total de controle.
No próximo artigo da série, vamos aprofundar uma pergunta inevitável: Chernobyl foi erro humano, falha de projeto ou falha de governança? A resposta passa por operadores, projetistas, reguladores, cultura soviética, comunicação técnica, segurança operacional e lições que continuam atuais para qualquer infraestrutura crítica.
Como construir uma cronologia técnica sem confundir fatos e inferências
Uma cronologia de acidente industrial precisa distinguir os registros instrumentados, os relatos reconstruídos e as interpretações posteriores. Em Chernobyl, parte da sequência está associada a horários de sinais e ações da operação, enquanto outros detalhes provêm de reconstruções e análises publicadas depois. Não é correto atribuir o mesmo grau de precisão a todos os eventos. Uma boa linha do tempo indica quando um horário é aproximado e apresenta a relação causal sem inventar segundos que a evidência não permite confirmar.
A queda de potência, a configuração das bombas, a margem de reatividade e as condições térmicas formavam um estado operacional que mudou antes do início do teste. A importância de cada etapa não é simplesmente a proximidade temporal da explosão: é o efeito que produziu nas condições de segurança. Uma redução de potência pode alterar a concentração de xenônio; mudanças de fluxo podem afetar formação de vapor; retirada de barras altera margem operacional. A sequência precisa explicar essas relações sem tratá-las como causas únicas.
O relatório INSAG-7, elaborado sob os auspícios da IAEA, revisou avaliações anteriores sobre responsabilidades e deficiências do RBMK. Essa revisão ressalta que a análise não deve terminar na identificação de decisões dos operadores. Características de projeto e informação disponível às equipes contribuíram para o modo como o sistema reagiu. O uso de fontes primárias permite separar o que já se sabia em 1986 do que a investigação estabeleceu posteriormente.
A condição operacional antes de 01h23 e a importância da margem
O reator não chegou ao ensaio no estado inicialmente planejado. O longo período de operação em condições diferentes da programação e o comportamento do xenônio influenciaram a capacidade de controlar a potência. A resposta operacional incluiu a retirada de barras para sustentar a reação. A operating reactivity margin, ou ORM, tornava-se decisiva porque representava uma condição relevante para a possibilidade de controle seguro do reator.
Um problema de governança técnica aparece quando grandezas essenciais não são acompanhadas ou compreendidas de modo compatível com seu efeito sobre a segurança. Não basta que um procedimento mencione um limite; os operadores devem conseguir saber quando se aproximam desse limite e quais ações são exigidas. Informações críticas precisam estar disponíveis na escala de tempo em que as decisões são tomadas. Se o sistema exige resposta rápida e fornece indicador tardio, a arquitetura de instrumentação e os procedimentos não estão devidamente coordenados.
É importante evitar a interpretação de que a redução de potência causou sozinha a explosão. O acidente resultou da interação entre estado do núcleo, características do coeficiente de vazio, projeto das barras de controle, proteções e sequência operacional. Essa explicação é mais exigente do que uma narrativa de erro individual, mas corresponde melhor à natureza sistêmica das falhas.
O significado técnico do acionamento AZ-5
O comando AZ-5 é frequentemente apresentado como o momento dramático da cronologia. A questão técnica relevante é que o sistema de desligamento, que deveria interromper a reação em cadeia, possuía características de projeto capazes de introduzir reatividade positiva em determinadas condições de inserção das barras. Esse comportamento ficou central nas análises posteriores sobre a rápida excursão de potência. O efeito dependia das condições do núcleo, da distribuição de fluxo e da configuração das barras, e não pode ser explicado por um único botão isolado de todo o sistema.
Uma análise de engenharia precisa diferenciar o comando dado ao mecanismo, a resposta física real e os sinais disponíveis aos operadores. Em sistemas críticos, o acionamento de proteção deve ser analisado sob falhas e condições extremas, não apenas na faixa nominal de operação. O fato de um mecanismo ser designado como emergência não garante que sua atuação seja segura em qualquer configuração, se o projeto possuir modos de resposta não avaliados.
Esse aspecto leva à importância do comissionamento e da revisão de design basis. Testes devem contemplar estados degradados que sejam plausíveis e verificar intertravamentos e respostas de proteção. Em uma instalação moderna, a verificação independente dos cenários de falha é parte do processo de segurança e não deve depender exclusivamente da equipe que executa a manobra.
Por que a explosão não pode ser reduzida à decisão final
A potência do reator aumentou rapidamente em condições de instabilidade. A interação do combustível muito quente com a água e a produção de vapor em alta pressão contribuíram para a destruição de partes do núcleo e da estrutura. Fontes técnicas apresentam incerteza sobre detalhes dos mecanismos explosivos e sobre a contribuição específica de cada fenômeno. Por isso, um texto responsável não deve apresentar hipóteses discutidas como fatos absolutamente estabelecidos.
O fato de o acidente ocorrer logo após o início do teste não significa que todos os problemas começaram naquele instante. Uma investigação de causa raiz precisa retroceder aos requisitos de projeto, verificações de segurança, documentação de operação, decisões de mudança e evolução das condições do sistema. O teste colocou em interação vulnerabilidades já existentes que não haviam sido adequadamente controladas.
O mesmo princípio vale para projetos de engenharia que não envolvem reatores. Uma falha em transferência de energia, rede ou automação pode ocorrer durante uma manutenção, mas resultar de interfaces mal definidas há muito tempo. A cronologia revela quando a falha se manifesta; a análise sistêmica explica por que o empreendimento estava vulnerável.
Transferência de turno e continuidade de decisões
O adiamento do ensaio, relacionado às necessidades de fornecimento de energia à rede, alterou o contexto temporal da operação. Uma tarefa que atravessa turnos exige transferência controlada de informação: finalidade, condições iniciais, mudanças realizadas, proteções indisponíveis, riscos e autorização. Sem essas informações, a equipe seguinte pode seguir uma sequência concebida para um cenário que já não existe.
Em qualquer empreendimento crítico, o registro de turno deve identificar decisões pendentes e critérios de não prosseguir. Uma alteração de configuração precisa ser documentada no estado efetivo do sistema, em vez de ficar apenas na memória de quem realizou a ação. Instrumentação, diagramas e procedimentos devem refletir o mesmo estado. A divergência entre eles é um risco que aumenta durante situações anormais.
A governança também deve estabelecer escalonamento quando uma condição de segurança se deteriora. Os responsáveis pela produção não podem ser os únicos a decidir a aceitação de riscos que exigem competência de disciplinas especializadas. Esse mecanismo promove decisões fundamentadas mesmo diante de pressão por prazo ou disponibilidade.
Comissionamento integrado e aprendizagem de acidentes
Uma sequência de testes de sistema crítico deve possuir plano formal de prontidão, autorização, observação, interrupção e recuperação. A equipe define quais variáveis serão registradas, quais subsistemas poderão sofrer interferência e que critérios demonstram funcionamento seguro. A realização de um teste isolado sobre a fonte de alimentação não comprova automaticamente a continuidade de todas as funções dependentes.
Em instalações de energia e infraestrutura digital, um ensaio de failover pode afetar cargas, refrigeração, proteção, controle e comunicação. Por isso, a matriz de testes deve relacionar requisitos de diversas disciplinas, preservar mecanismos de segurança e demonstrar comportamento no ponto de utilização. É inadequado declarar sucesso simplesmente porque determinado equipamento permaneceu energizado enquanto o serviço que ele sustenta se tornou indisponível.
Depois de um incidente, registre fatos, condições contribuintes, barreiras que falharam e ações corretivas verificáveis. Lições aprendidas devem resultar em modificações de requisitos, procedimentos, treinamentos e ensaios. O valor de estudar a madrugada de 26 de abril de 1986 está em compreender a interação entre decisões, projeto e comportamento físico, evitando explicações excessivamente simples.
Referências técnicas
[1] IAEA. INSAG-7: The Chernobyl Accident, Updating of INSAG-1. Disponível em: https://www-pub.iaea.org/MTCD/Publications/PDF/Pub913e_web.pdf.
[2] OECD Nuclear Energy Agency. Chernobyl: The site and accident sequence. Disponível em: https://harbor.oecd-nea.org/jcms/pl_28271/chernobyl-chapter-i-the-site-and-accident-sequence.
[3] Chernobyl Nuclear Power Plant. Accident of 1986: official history and causes. Disponível em: https://chnpp.gov.ua/en/about/42-about/accident-of-1986.
Perguntas frequentes
Era um ensaio para verificar alimentação de bombas durante a desaceleração do turbogerador.
Na madrugada de 26 de abril de 1986, no Reator 4.
Um projeto soviético de reator moderado por grafite e refrigerado por água.
A concentração de xenônio absorve nêutrons e interfere no controle de potência.
Operating Reactivity Margin, margem operacional relevante ao controle do reator.
Em determinadas condições, mais vapor no refrigerante podia aumentar reatividade.
Comando de desligamento de emergência cuja resposta foi afetada por deficiências de projeto.
Revisões como INSAG-7 destacaram a combinação entre características de projeto e fatores operacionais e organizacionais.
Não. Os fatores físicos, de projeto, de procedimento e de gestão interagiram.
Para demonstrar funções integradas antes da operação e tratar desvios com rastreabilidade.
