A1 Falha de sistemas de backup diante de eventos externos

Tópico

Os reatores são projetados para suportar uma ampla gama de eventos externos previstos — terremotos, inundações, condições climáticas extremas — dimensionando seus sistemas de segurança para o pior cenário considerado razoavelmente provável no local escolhido. Essa anomalia surge quando um evento externo real excede, em severidade ou na combinação específica de efeitos que produz, o que os projetistas previram: não porque nenhum evento externo tenha sido considerado, mas porque o evento que de fato ocorreu excedeu as premissas de projeto utilizadas.

O caso mais frequentemente citado é o dos reatores de Fukushima Daiichi, onde o projeto considerou terremotos e tsunamis separadamente, mas a combinação específica de um terremoto de grande magnitude seguido por um tsunami que ultrapassou as barreiras de proteção existentes desativou os geradores a diesel e as baterias de reserva que, precisamente, deveriam manter os sistemas de resfriamento funcionando após o terremoto, como medida automática de segurança, desencadeando o desligamento da reação em cadeia de reabastecimento.

Esta sequência ilustra a principal característica desta anomalia: a mesma interrupção segura da reação em cadeia descrita pelo modelo de desligamento pode ser executada corretamente e, ainda assim, falhar na prevenção de um acidente grave se o mesmo evento externo que desencadeou o desligamento também comprometer a capacidade de gerenciar o mesmo calor residual que o modelo identificou como o verdadeiro risco pós-desligamento.

É por isso que este módulo, que começa com um evento externo que excede as expectativas, conclui explicando por que o projeto de sistemas de backup — sua redundância, sua independência física dos sistemas primários e as suposições de severidade usadas para dimensioná-los — está sob constante revisão e atualização em toda a indústria: cada desligamento bem-sucedido que termina em acidente confirma que interromper a reação em cadeia e gerenciar o calor residual subsequente são dois problemas distintos, e ambos devem ser abordados para evitar um acidente.

ID:3963