O primeiro relatório internacional sobre Chernobyl culpou sobretudo os operadores. Seis anos depois, a mesma agência apontou para as barras que deviam desligar o reator

Às 01h23min40s de 26 de abril de 1986, o engenheiro sênior de controle do reator da unidade 4 de Chernobyl apertou o botão de desligamento de emergência. A comissão soviética que investigou o caso anos depois escreveu que não conseguiu descobrir por que o botão foi apertado.

Às 01h24, o diário de operação do chefe de controle do reator anotou "choques fortes" e barras que pararam de descer antes de chegar ao fim do curso. Naqueles poucos segundos, o reator foi destruído.

O que aconteceu, em resumo: num teste feito com o reator a potência muito baixa e instável, o vapor no núcleo acelerou a reação, e a descida das barras de emergência, por um defeito de projeto, deu mais um empurrão em vez de frear. Houve explosões, o grafite pegou fogo e material radioativo escapou por dias.

A explicação oficial, porém, mudou. Em 1986, a versão que circulou pelo mundo punha o peso nos operadores. Em 1992, o mesmo grupo de especialistas da Agência Internacional de Energia Atômica (AIEA) publicou o INSAG-7 e deslocou o peso para o projeto do reator.

O teste que deu errado

O objetivo era verificar se um turbogerador, num apagão da usina, conseguiria fornecer eletricidade por um curto período até que os geradores a diesel de reserva assumissem. O teste foi marcado para uma parada programada do reator.

O procedimento previa o teste a 700 MW térmicos. Ele começou a 200 MW. Segundo o INSAG-7, a equipe não conseguiu levar o reator à potência prevista por causa das condições criadas por horas de operação a meia potência e por uma queda posterior para níveis muito baixos. Em vez de parar, alterou o procedimento na hora.

Às 01h23min04s, as válvulas da turbina foram fechadas e o teste começou. Com a turbina perdendo rotação, quatro bombas de refrigeração alimentadas por ela desaceleraram. Menos água circulando significava mais vapor no núcleo e, num reator como aquele, mais reação.

As últimas horas da unidade 4

1. 25 de abril, 14hO sistema de resfriamento de emergência do núcleo é bloqueado. O reator segue cerca de 11 horas a meia potência.
2. 26 de abril, 0h28Na troca do sistema de controle de potência, a potência despenca para 30 MW térmicos.
3. 1h23min04sFechadas as válvulas do turbogerador 8: começa o teste, com o reator a 200 MW térmicos.
4. 1h23min40sApertado o botão de desligamento de emergência; as barras começam a descer.
5. 1h23min43sDisparam os alarmes de excursão de potência; a potência passa de 530 MW térmicos.
6. 1h24O diário registra choques fortes e barras paradas antes do fim do curso.
7. 5hO incêndio é extinto, cerca de três horas e meia depois de começar.
8. 27 de abril, manhãComeça a evacuação da cidade de Pripyat.

A versão de 1986: violações em série

Entre 25 e 29 de agosto de 1986, cientistas soviéticos apresentaram o primeiro relato do acidente numa reunião em Viena. O grupo consultivo de segurança da AIEA, o INSAG, resumiu o que ouviu num relatório conhecido como INSAG-1.

O texto é duro com a equipe. Diz que, ao mesmo tempo em que o reator operava num regime inseguro, "os operadores, deliberadamente e violando as regras, retiraram a maior parte das barras de controle e de segurança do núcleo e desligaram alguns sistemas de segurança importantes" (tradução nossa). E conclui que o acidente foi causado por uma "notável série de erros humanos e violações das regras de operação" combinada com características do reator (tradução nossa).

O reator aparece, mas como agravante. A versão soviética falava numa coincidência de baixa probabilidade de várias violações. Seis anos depois, o próprio INSAG escreveu que ela "pôs a culpa quase inteiramente" nos operadores (tradução nossa).

O que mudou até 1992

Entre 1986 e 1992 surgiram dois relatórios soviéticos, um deles de uma comissão criada em fevereiro de 1990 pelo órgão estatal de fiscalização da segurança nuclear. A AIEA os traduziu e os publicou como anexos do INSAG-7. Item por item, várias acusações de 1986 caíram.

O INSAG-7 reconhece por que a primeira versão saiu daquele jeito: o defeito no sistema de desligamento de emergência não foi apontado no relato soviético inicial, e o relatório de 1986 "teria sido diferente" se as características das barras tivessem sido reveladas em Viena (tradução nossa). Especialistas soviéticos só admitiram o efeito publicamente em 1987.

O que mudou entre os dois relatórios da AIEA

INSAG-1 (1986)INSAG-7 (1992)

Em cada item, primeiro: insag-1 (1986). Depois: insag-7 (1992).

Bloquear o resfriamento de emergência do núcleo foi uma violação.

Era permitido com autorização do engenheiro-chefe, que foi dada; era até um passo do procedimento do teste. Mas manter o sistema bloqueado por 11 horas mostra falta de cultura de segurança.

Operar continuamente abaixo de 700 MW térmicos era proibido.

Não havia essa proibição no projeto, nas normas nem nas instruções. Depois do fato, ficou claro que deveria haver.

A queda da potência para 30 MW térmicos foi erro do operador.

Relatos recentes indicam que não houve erro do operador propriamente dito.

O desligamento automático pela turbina, se não tivesse sido bloqueado, teria salvado o reator.

O bloqueio seguia os procedimentos, e a frase sobre salvar o reator parece não valer.

A margem de barras inseridas abaixo do mínimo foi uma violação.

A violação ocorreu, mas importava por outros motivos, e o operador provavelmente não sabia o valor da margem na hora crítica.

Um cálculo feito depois do acidente estimou essa margem em 8 barras no início do teste. A equipe, diz o INSAG-7, aparentemente achava que bastava respeitar o mínimo de 15. E o computador que calculava o valor ficava a cerca de 50 metros do console e levava de 10 a 15 minutos por ciclo.

O defeito na ponta da barra

A peça central do INSAG-7 está nas barras de controle. Na maioria delas, a parte que absorve nêutrons vinha acompanhada, embaixo, de um "deslocador" de grafite, e entre os dois havia 1,25 metro de água. Com a barra totalmente retirada, o grafite ficava no meio do núcleo.

Quando a barra começava a descer, o grafite empurrava para fora a água da parte de baixo do canal. Como essa água absorve nêutrons, o resultado era uma injeção local de reatividade positiva na base do núcleo. O relatório chama o fenômeno de "scram positivo": o desligamento de emergência, nos primeiros instantes, acelerava a reação. E a descida completa das barras levava 18 segundos.

Havia ainda o coeficiente de vazio. Num reator RBMK, mais vapor no núcleo podia significar mais reação. A documentação de projeto dizia que esse coeficiente era negativo nas condições iniciais e de regime. Na hora do acidente, diz o INSAG-7, ele e o coeficiente de potência eram ambos positivos.

Para o INSAG-7, o evento final mais provável foi a inserção das barras de segurança num momento vital do teste, o que piorou até um nível destrutivo uma situação já instável. O relatório admite que talvez nunca se saiba ao certo, e responde que isso pouco importa: basta que o defeito existisse e pudesse ter causado o acidente.

E ele existia havia tempo. O efeito foi identificado em 1983, na usina de Ignalina, na Lituânia. O engenheiro-chefe de projeto dos RBMK avisou as outras usinas e disse que faria mudanças. Não fez. As restrições prometidas nunca foram impostas e, nas palavras do INSAG-7, "aparentemente o assunto foi esquecido" (tradução nossa). Um acidente na unidade 1 de Leningrado, em 1975, também já tinha dado sinais, e a equipe de Chernobyl não sabia da natureza nem das causas dele.

O que o INSAG-7 não disse

O relatório de 1992 não absolve a equipe. Diz que "ações críticas dos operadores foram muito mal avaliadas" e que, "o mais repreensível", mudanças não aprovadas no procedimento do teste foram feitas deliberadamente na hora, embora se soubesse que a usina estava em condições muito diferentes das previstas (tradução nossa).

Também afirma não retirar o INSAG-1. Pede que se dê mais ênfase às deficiências de segurança do projeto e ao ambiente em que a usina operava, incluindo um órgão regulador incapaz de resistir à pressão por produção.

A própria comissão soviética resumiu de um jeito parecido: o acidente foi iniciado por ações erradas da equipe e teve consequências desproporcionalmente desastrosas por causa das deficiências de projeto do reator.

O INSAG-7 resume a questão com uma expressão que o próprio grupo havia criado no relatório de 1986: o acidente decorreu de uma cultura de segurança deficiente, não só na usina, mas em todas as organizações soviéticas de projeto, operação e fiscalização nuclear da época.

Quantos morreram: depende de quem conta

O INSAG-1, de 1986, registrou cerca de 300 pessoas hospitalizadas, 203 com síndrome aguda da radiação e 29 mortes entre trabalhadores da usina e bombeiros. Também informou que 135 mil pessoas foram retiradas da zona de 30 quilômetros. A OMS, em 2005, falou em 116 mil evacuados; nenhuma das duas fontes explica a diferença.

O comitê científico da ONU para os efeitos da radiação, o UNSCEAR, chegou a outros números em 2008, citados pela AIEA em 2021.

Nem todos esses cânceres de tireoide vêm da radiação. O UNSCEAR atribuiu "uma fração substancial" deles ao leite contaminado com iodo-131. Num documento de 2018, estimou essa fração em torno de 25% entre os moradores não evacuados de Belarus, da Ucrânia e das quatro regiões mais contaminadas da Rússia que eram crianças ou adolescentes na época. Fora isso, o comitê disse não haver evidência convincente de outros efeitos de saúde na população em geral atribuíveis à radiação.

A OMS trabalhou com outra pergunta. Em 2005, estimou que até 4 mil pessoas poderiam morrer ao longo da vida por causa da radiação, entre cerca de 600 mil das mais expostas: trabalhadores de emergência de 1986 e 1987, evacuados e moradores das áreas mais contaminadas. É uma projeção, não uma contagem. Até meados de 2005, segundo a mesma OMS, menos de 50 mortes tinham sido diretamente atribuídas à radiação.

Em 1986, os especialistas estrangeiros só puderam julgar o que a delegação soviética mostrou, e o defeito das barras não estava ali. Se a Guerra Fria e as máquinas soviéticas que falhavam te interessam, vale ver como um tenente-coronel decidiu que o alarme de mísseis americanos era um defeito do computador, em 1983. E, em 1987, o Brasil teve o seu acidente com radiação: a fonte de césio-137 que circulou 16 dias por Goiânia.