As lições aprendidas até o momento no Japão

O medo é a forma mais eficaz de controle social: sociedades amedrontadas reagem como manadas, se deixando levar pelo primeiro grito de alerta. Em nome da redução de uma ameaça superestimada lideranças podem agir livremente em busca de outros objetivos, alheios à redução da própria ameaça

Às 14h46 da sexta-feira (11/3) passada, hora local, o Nordeste do Japão foi atingido por um terremoto de 9 graus na escala Richter cujo epicentro foi bem próximo ao litoral e a poucos quilômetros abaixo da crosta terrestre, o maior que se tem registro histórico a atingir uma área densamente populosa e com alto desenvolvimento industrial. Mesmo para um país de alto risco sísmico e cuja cultura e tecnologia se adaptaram para tornar este risco aceitável, tal evento, numa escala de probabilidade de 1 em cada 1.000 anos, superou toda capacidade de resposta desenvolvida ao longo de séculos pelo Japão (Leia aqui a comparação entre o sistema de segurança das usinas brasileiras Angra 1 e Angra 2 e das usinas japonesas de Fukushima).

Como era previsível, dado que nenhum projeto de engenharia é dimensionado para resistir a um evento de tal grandeza, a maior parte das construções e todas as instalações industriais com riscos de explosões e liberação de produtos tóxicos ao meio ambiente, tais como refinarias de óleo, depósitos de combustíveis, usinas termelétricas e indústrias químicas, localizadas na região atingida colapsaram imediatamente, causando dezenas de milhares de mortes e um dano ambiental impossível de ser determinado no momento.

Somente as 14 usinas de geração elétrica distribuídas pelas três centrais nucleares da região afetada (Onagawa – 3 unidades, Fukushima Daini – 4 unidades, Fukushima Dai-ichi – 6 unidades e Tokai – 1 unidade), todas do tipo BWR, que representa 25% da frota mundial de 440 usinas (65% do tipo PWR, dentre as quais as brasileiras e 10% de outros tipos ) resistiram às titânicas forças liberadas pela natureza, todas tendo desligado automaticamente e se colocado em modo seguro de resfriamento, mesmo após ter sido perdida toda a alimentação elétrica externa. Veja aqui.

Entretanto, cerca de uma hora após o terremoto, ocorreu um efeito colateral de grandeza inesperada: uma onda tsunami que alcançou 10 metros de altura varreu a costa, penetrando vários quilômetros terra adentro, que é particularmente plana. Este outro evento de probabilidade multimilenar varreu os destroços de construções e instalações industriais juntamente com as centenas de milhares de desabrigados deixados pelo terremoto. Veja aqui.

As oito usinas das centrais nucleares de Onagawa, Fukushima Daini e Tokai conseguiram resistir a mais esse evento para o qual não foram projetadas. Entretanto, as 6 usinas de Fukushima Dai-ichi não foram capazes de superá-lo. O tsunami colocou fora de operação todos os mais de uma dezena de diesel-geradores disponíveis no local, bem como seus tanques de combustível, interrompendo o processo de resfriamento que vinha sendo conduzido com êxito.

Este fato tem levado a uma seqüência de problemas graves que tem impedido, até o momento, que as usinas atinjam uma condição segura . As recentes notícias de restabelecimento da alimentação elétrica externa fazem, entretanto, acreditar que essa condição venha a ser atingida nos próximos dias.

Em resposta aos problemas iniciais enfrentados pela unidade 1 de Fukushima Dai-ichi, o Governo japonês acionou o Plano de Emergência Externo da central, evacuando preventivamente os já desabrigados habitantes da primeira zona de 5 quilômetros de raio em torno do reator avariado. Vendo a situação se agravar na unidade 1 e iniciarem-se problemas semelhantes nas unidades 2 e 3, o raio de evacuação preventivo foi ampliado inicialmente para 10 e depois para 20 quilômetros (com as populações entre 20 e 30 quilômetros colocadas sob abrigagem), o que ultrapassa as ações previstas por normas internacionais que regem o planejamento de emergência nuclear (evacuação máxima em 5 km, abrigagem em 15km), na medida que esses procedimentos foram concebidos para um acidente grave em 1 usina e não em várias simultaneamente na mesma central.
Essas ações do governo Japonês são compatíveis com o fato do acidente ter sido inicialmente classificado pela Autoridade de Segurança Nuclear nacional (NISA) como classe 4 e posteriormente agravado para classe 5 na escala internacional INES (International Nuclear Event Scale) . Notícias divulgadas pela mídia sobre classificação do acidente como classe 6 não são baseadas em dados oficiais. Leia aqui a sequência do acidente.

O Governo Japonês, num esforço inimaginável, conseguir concluir a evacuação de mais de 100.000 vítimas sobreviventes ao terremoto e tsunami dos 20 quilômetros no entorno da central nuclear em poucos dias, mesmo enfrentando toda a destruição previamente causada na região. Essa tarefa hercúlea garantiu que, mesmo que venha a acontecer uma liberação importante de materiais radiativos, as populações que seriam afetadas estão a salvo dos efeitos decorrentes. Os recentes resultados da monitoração de taxas de dose no entorno de 30 quilômetros da central demonstram que os níveis não são alarmantes e estão decrescendo , o que faz com que todas as atenções sejam voltadas ao restabelecimento da energia externa e à retomada do resfriamento em condições satisfatórias. Veja aqui.

Que lições podem ser aprendidas pela indústria nuclear até o momento? A primeira delas é que as usinas nucleares são as construções humanas melhor adaptadas a resistir a eventos naturais de severidade milenar, como mostram as centrais de Onagawa, Fukushima Daini e Tokai. Outra é que a resistência das usinas nucleares localizadas em áreas de alto risco sísmico, especialmente aquelas em zonas costeiras sujeitas a tsunamis, que são muito poucas dentre as 440 em operação no mundo , deve ser reavaliada e, eventualmente, reforçada. Veja aqui.

Certamente, passada a fase acidental que ainda vivemos, a análise técnica profunda do evento levará a muitas outras lições aplicáveis não só as usinas do tipo BWR, mas também às demais em operação, bem com àquelas que estão em projeto e construção, aperfeiçoando a segurança num processo de melhoria contínua. Isso ocorre sistematicamente na indústria nuclear mesmo para eventos pouco significativos, quanto em mais em eventos severos como o que se vivencia hoje. Foi assim para os acidentes de Three Miles Island em 1979 nos EUA e de Tchernobyl, na ex-URSS .

Note-se que quaisquer comparações do que pode ainda vir a ocorrer em Fukushima Dai-ichi com o que ocorreu em Tchernobyl não são tecnicamente corretas, na medida em que, naquele trágico acidente, os materiais radioativos foram dispersos em grande quantidade e a grandes distâncias devido à energia liberada pelo incêndio de centenas de toneladas de grafite que havia no interior do reator, que levou vários dias para ser apagado, ao custo da vida de dezenas de heróicos “terminators”. Num reator a água, que não usa grafite nem outra forma de acumulação de grande quantidade de energia liberável em curto período, como são os BWR afetados e os PWR que juntos compõe cerca de 90% da frota mundial, não existe energia disponível para tal dispersão. No pior caso, essa dispersão se limitaria ao raio de evacuação e, em menor quantidade, ao raio de abrigagem já estabelecidos na região.

Demandas por ações imediatas no sentido de desligar usinas em operação ou interromper obras de usinas em construção são precipitadas pelo clima catastrofista que tem sido predominante na divulgação do evento pela mídia, que influencia fortemente a opinião pública, ou deflagradas por razões de natureza política e ideológica, as quais, ainda que legítimas nas sociedades democráticas, não encontram fundamento técnico que as suportem.

Isto porque, mesmo no contexto da tragédia que se abateu sob o Japão, a maioria das usinas nucleares afetadas permanecem em condição segura, não implicando em nenhuma conseqüência adicional às populações já atingidas e aquelas, em minoria, que não resistiram plenamente, tiveram suas conseqüências mitigadas pelo acionamento de um Plano de Emergência Externo ampliado, que está protegendo as populações evacuadas mesmo para as condições em que venha a ocorrer o pior caso de liberação de material radioativo, o que até o presente não ocorreu e as informações atuais indicam que não ocorrerá.

Obviamente, esses poucos argumentos técnicos não encerram o debate. Nas sociedades democráticas, como a brasileira, ele está apenas se iniciando e deverá resultar numa indústria nuclear ainda mais segura. Devemos, entretanto, nos precaver de decisões precipitadas, tomadas pelo calor da emoção ou por oportunismo, que venham a prejudicar as próprias sociedades às quais se pretende defender, como seria o caso de uma “proscrição” da geração elétrica nuclear, com paralisação de usinas em operação e de projetos em construção em planejamento.

Como são classificados os eventos dentro da Escala INES?
Os eventos se classificam na escala segundo 8 níveis:

• Desvio (0) – abaixo da escala. Nenhuma importância com relação à segurança.
• Anomalia (1) – pode ocorrer devido a uma falha de equipamento, a um erro humano ou a procedimentos inadequados. Essas situações são consideradas tipicamente “abaixo da escala”.
• Incidente (2) – incidente com falha importante dos dispositivos de segurança, mas nos quais subsiste defesa em profundidade suficiente para fazer frente a falhas adicionais. Evento resultante de uma dose recebida por um trabalhador acima do limite de dose anual estabelecida e/ou evento que implique a presença de quantidades significativas de radioatividade em áreas da instalação para as quais, de acordo com o projeto, tal fato não seria justificável, e que exija medidas corretivas.
• Incidente Sério (3) – liberação externa acima dos limites autorizados, resultando, para o indivíduo mais exposto fora da área da instalação, numa dose da ordem de décimos de milisieverts (as doses são expressas em termos de dose equivalente efetiva; dose de corpo inteiro). Quando for conveniente, esses critérios podem ser expressos em termos dos limites anuais de descarga de efluentes correspondentes, permitidos pelas autoridades nacionais. Provavelmente, medidas de proteção fora da área de instalação não seriam necessárias. Eventos na área da instalação, implicando doses recebidas pelos trabalhadores suficientes para causar efeitos agudos à saúde e/ou eventos que provoquem uma grave contaminação, como, por exemplo, a liberação de alguns milhares de terabequeréis de atividade em uma contenção secundária de onde o material pode ser retornado a uma área de armazenamento satisfatória. Incidentes nos quais uma falha suplementar dos sistemas de segurança poderia conduzir a condições de acidente ou a uma situação em que, caso ocorresse em certos eventos iniciadores, os sistemas de segurança seriam incapazes de impedir um acidente.
• Acidente Sem Risco Importante Fora da Área da Instalação (4) – liberação externa de radioatividade que resulte, para o indivíduo mais exposto fora da área da instalação, numa dose da ordem de alguns milisieverts. Com essa liberação, seria pouco provável a necessidade da aplicação de medidas de proteção fora da área de instalação, executando-se, talvez, um controle dos alimentos locais. Um acidente desse tipo poderia resultar em danos à Central Nuclear, tais como a fusão parcial do núcleo de um reator de potência, ou eventos comparáveis em instalações que não sejam reatores, criando problemas graves de retorno à normalidade na área da instalação. Irradiação de um ou mais trabalhadores que implique uma superexposição com alta probabilidade de morte precoce.
• Acidente com Risco Fora da Área da Instalação (5) – liberação externa de materiais radioativos. Essa liberação resultaria, provavelmente, na aplicação parcial das contramedidas previstas nos planos para casos de emergência, com o objetivo de reduzir a probabilidade de efeitos sobre a saúde. Pode incluir danos graves a uma grande parte do núcleo de um reator de potência, um acidente de criticalidade importante ou um incêndio ou explosão importantes, que liberem grande quantidade de radioatividade dentro da instalação.
• Acidente Sério (6) – liberação externa de materiais radioativos. Essa liberação resultaria, provavelmente, na aplicação integral das contramedidas previstas nos planos locais para casos de emergência, visando a limitar os efeitos graves sobre a saúde.
• Acidente Grave (7) – liberação externa de uma fração importante de material radioativo de uma instalação grande. Seria constituída, tipicamente, de uma mistura de produtos de fissão radioativos de vidas curta e longa. Essa liberação poderia ocasionar efeitos tardios para a saúde da população de uma vasta região, possivelmente, mais de um país e consequências a longo prazo para o meio ambiente. Um exemplo desse nível é o acidente de Chernobyl, na Ucrânia (1986).
No que diz respeito à população, um evento de nível 5 (o máximo da escala é 7), que corresponde a uma liberação externa limitada de material radioativo, mas requerendo a implementação parcial de contramedidas planejadas de segurança, é considerado acidente com risco moderado para a área externa da Usina. Somente para os eventos de nível 6 (acidente sério) e nível 7 (acidente grave), medidas amplas e irrestritas deverão ser tomadas para evitar riscos para a população próxima das usinas.

Acidente Nuclear em Three Miles Island
Duzentos e quarenta e dois reatores nucleares do tipo Angra (PWR) já foram construídos e estão em operação, ocorrendo em um deles um acidente nuclear grave, imaginado em projeto, sem conseqüências para o meio ambiente. Foi o acidente de Three Miles Island (TMI), nos Estados Unidos.

Nesse acidente, vazaram água e vapor do Circuito Primário, mas ambos ficaram retidos na Contenção. Com a perda da água que fazia a refrigeração dos elementos combustíveis, estes esquentaram demais e fundiram parcialmente, mas permaneceram confinados no Vaso de Pressão do Reator.

Houve evacuação parcial (desnecessária) da cidade. O Governador recomendou a saída de mulheres e crianças, que retornaram às suas casas no dia seguinte. Ao contrário do esperado, muitas pessoas quiseram ir ver o acidente de perto, sendo contidas por tropas militares e pela polícia.

Embora o Reator Angra 1 seja do mesmo tipo do de TMI, ele não corre o risco de sofrer um acidente semelhante, porque já foram tomadas as medidas preventivas que impedem a repetição das falhas humanas causadoras daquele acidente.
O mesmo acidente não poderia ocorrer em Angra 2, porque o projeto já prevê essas falhas e os meios de evitar que elas aconteçam.

O acidente de Tchernobyl
À 1h24 min do dia 26 de abril de 1986, um sábado de manhã, ocorreu o pior acidente na história da geração industrial de energia nuclear. Duas explosões, uma logo após a outra, lançaram ao ar as 1.000 toneladas de concreto da tampa de selagem do reator nuclear número 4 de Tchemobyl. Fragmentos fundidos do núcleo "choveram" na região vizinha e produtos da fissão foram liberados na atmosfera. 0 acidente provavelmente custou centenas de vidas e contaminou vastas áreas de terra na Ucrânia.

Diversas razões provavelmente contribuíram para o desastre. Certamente, o projeto do reator não era novo cerca de 30 anos de idade na época do acidente e havia sido concebido antes da época dos sofisticados sistemas de segurança controlados por computador; Por esta razão, os procedimentos para lidar com emergências do reator dependiam fortemente da habilidade dos operadores. Este tipo de reator também tinha uma tendência para "sair de controle" quando operado a baixa capacidade. Por esta razão os procedimentos operacionais para o reator proibiam estritamente que fosse operado abaixo de 20% de sua capacidade máxima. Foi principalmente uma combinação de circunstâncias e erros humanos que causaram o acidente. Ironicamente, os eventos que levaram ao desastre foram projetados para tornar o reator mais seguro. Os testes, planejados por uma equipe especialista de engenheiros, foram realizados para avaliar se o sistema de emergência para refrigeração do núcleo podia ser operado durante o giro inercial de uma possível redução de produção do turbogerador, no caso de ocorrer uma interrupção de energia externa. Embora este dispositivo de segurança tivesse sido testado antes, não havia funcionado satisfatoriamente e novos testes do dispositivo modificado foram realizados com o reator operando com capacidade reduzida durante o período de teste. Os testes foram programados para a tarde de sexta feira, 25 de abril de 1986, e a redução da produção da planta começou às 13h00. Logo após as 14h00, entretanto, quando o reator estava operando com cerca de metade de sua capacidade total, o controlador de Kiev solicitou que o reator continuasse fornecendo eletricidade para a rede local. Na realidade, continuaram ligados à rede até as 23h10. 0 reator devia ser parado para sua manutenção anual na terça feira seguinte e a solicitação do controlador de Kiev na realidade reduziu a ‘Janela de oportunidade" disponível para os testes.

A seguir, há um relatório cronológico das últimas horas antes do desastre que foi publicada no Bulletin of the British Psychological Society no ano seguinte. Ações significativas dos operadores estão em itálico. São de dois tipos: erros (indicados por um "E") e violações de procedimentos (marcadas por um "V’).
25 abril de 1986
13h A redução de capacidade começou com a intenção de conseguir 25% de capacidade para as condições de teste.
14h00 O sistema de emergência para resfriamento do núcleo (ECCS – emergency core cooling system) foi desconectado do circuito principal (isto era parte do plano de teste.)
14h05 O controlador de Kiev solicitou que a unidade continuasse a suprir a rede. 0 ECCS não foi reconectado (V). (Não se considera que esta violação específica tenha contribuído materialmente para o desastre; mas é indicativa de uma atitude de descuido por parte dos operadores com relação à observância dos procedimentos de segurança.)
23h10 A unidade foi desligada da rede e a redução de capacidade foi continuada para conseguir o nível de capacidade de 25%, planejado para o programa de teste.
26 de abril de 1986
00h28 Um operador ultrapassou para baixo o ponto de ajuste para a produção pretendida (E). A produção caiu para um perigoso 1 % (o operador havia desligado o "piloto automático" e havia tentado conseguir o nível desejado através de controle manual.)
1h Após um longo e intenso esforço, a produção do reator finalmente foi estabilizada em 7% bem abaixo do nível pretendido e bem na zona de perigo de baixa capacidade. Neste momento, o experimento deveria ter sido abandonado, mas não o foi (E). Este foi o mais sério erro (como o oposto de violação): significou que todas as atividades subseqüentes seriam conduzidas na zona de máxima instabilidade do reator. Isto aparentemente não foi percebido pelos operadores.
1h03 Todas as oito bombas foram acionadas (V). Os regulamentos de segurança limitavam a seis o número máximo de bombas simultaneamente em uso. Isto mostrava uma profunda má compreensão da física do reator A conseqüência foi que o aumento do fluxo de água (e redução da fração de vapor) absorveu mais nêutrons, exigindo que mais elementos de controle fossem retirados para sustentar este nível baixo de produção.
1h19 O fluxo de água de alimentação foi aumentado três vezes (V). Parece que os operadores estavam tentando lidar com uma pressão do vapor e nível de água decrescentes. 0 resultado de suas ações, entretanto, foi reduzir ainda mais a quantidade de vapor passando através do núcleo, exigindo que ainda mais elementos de controle precisassem ser retirados. Também suprimiram a parada automática do coletar de vapor (V). 0 efeito disto foi desprover o reator de um de seus sistemas automáticos de segurança.
1h22 0 supervisor de rumo solicitou relatório impresso para estabelecer quantos elementos de controle estavam realmente no núcleo. 0 relatório indicou somente de seis a oito elementos remanescentes. Era estritamente proibido operar o reator corri menos do que 12 elementos. Apesar disso, o supervisor de turno decidiu continuar com os testes (V). Esta foi uma decisão fatal: por isso o reator ficou sem "freios".
1h23 As válvulas da linha de vapor para o turbogerador número 8 estavam fechadas (V). 0 objetivo disto era estabelecer as condições necessárias para testes repetidos, mas sua conseqüência foi desconectar os desengates automáticos de segurança. Esta talvez tenha sido a mais séria violação de todas.
1h24 Foi feita uma tentativa para desligar repentinamente o reator; atuando nos elementos de parada de emergência, irias estes emperraram nos tubos já deformados.
1h24 Duas explosões ocorreram uma logo após a outra. O teto do reator foi lançado para o ar, provocando 30 incêndios na vizinhança.
1h30 Os bombeiros em serviço foram chamados. Outras unidades foram chamadas de Pripyat e Tchernobyl.
5h Os incêndios externos foram extintos, mas o incêndio do grafite do núcleo continuou por diversos dias.

A investigação posterior do desastre esclareceu diversos pontos significativos que contribuíram para sua ocorrência:

• O programa de testes foi mal planejado e a seção de medidas de segurança era inadequada. Pelo fato de o sistema de emergência para resfriamento do reator (ECCS) ter sido fechado durante o período de testes, a segurança do reator estava na realidade substancialmente reduzida.
• O planejamento dos testes foi colocado em prática antes de ser aprovado pelo grupo de projeto, que era responsável pelo reator.
• Os operadores e os técnicos que estavam conduzindo o experimento tinham habilidades diferentes e não sobrepostas.
• Os operadores, embora altamente habilitados, provavelmente tinham ouvido que completar o teste antes da parada melhoraria sua reputação. Estavam orgulhosos de sua habilidade para lidar com o reator mesmo em condições incomuns e estavam conscientes da rápida redução da janela de oportunidades dentro da qual deveriam completar o teste. Provavelmente, tinham perdido qualquer sensibilidade para os perigos envolvidos na operação do reator.
• Os técnicos que haviam planejado o teste eram engenheiros elétricos de Moscou. Seu objetivo era resolver um problema técnico complexo. Apesar de haverem planejado os procedimentos de teste, provavelmente não sabiam muito sobre a operação da usina nuclear em si.

Juntos, fizeram uma mistura perigosa: um grupo de engenheiros de uma modalidade, mas não engenheiros nucleares dirigindo uma equipe de operadores dedicados, porém demasiado confiantes. Cada grupo provavelmente assumiu que o outro sabia o que estava fazendo. E as duas partes tinham pouca ou nenhuma compreensão dos perigos que estavam gerando ou do sistema do qual estavam abusando.