Diversamente dalla struttura di alcuni report e degli articoli esplicativi pubblicati sull’incidente di Chernobyl, ho scelto la strada più insidiosa della “divulgazione informata”, offrendo nelle puntate precedenti la spiegazione di un minimo concettuale della fisica del reattore, dedicato in prevalenza all’impianto in oggetto. Questo, per dare possibilità al lettore di entrare maggiormente nel dettaglio delle problematiche che si sono trovati ad affrontare gli operatori in quel tragico turno di notte del 25 aprile 1986.
L’intenzione è quella di fornire al lettore una conoscenza minimale della terminologia descritta finora:
Tutta la terminologia comunque è rintracciabile nelle tre note precedenti. Laddove necessario, questi termini verranno comunque spiegati di nuovo. Adesso seguiamo la cronologia degli eventi. Per gli approfondimenti, rimando sempre al rapporto ufficiale INSAG–7 (IAEA).
Gran parte di quanto descritto si basa su tale rapporto dell’Agenzia Internazionale per l’Energia Atomica. Esso sostiene che alcune prescrizioni operative sarebbero state violate dal personale in turno. Tuttavia, permane una notevole incertezza sulla conformità degli interventi effettuati da questi ultimi alle procedure, dal momento che queste stesse procedure operative apparivano ambigue.
Il reattore RBMK dell’unità 4 di Chernobyl sarebbe stato fermo per manutenzione ordinaria il 25 aprile 1986. Si decise di approfittare di questo arresto per effettuare la prova inerziale (v. nota precedente). Questo test, che era considerato in linea di principio relativo alla parte non nucleare dell’impianto, fu realizzato sfortunatamente senza un adeguato scambio di informazioni e il necessario coordinamento tra il team responsabile dell’esperimento e il personale responsabile della sicurezza del reattore. Nel programma di test furono disattese alcune norme di sicurezza e il personale operativo non fu informato delle implicazioni sulla sicurezza nucleare della prova e del suo potenziale pericolo.
Il programma pianificato prevedeva la chiusura del sistema ECCS. Sebbene gli eventi successivi non siano stati molto influenzati da questa azione, l’esclusione di tale sistema per l’intera durata del test ha riflesso un atteggiamento mentale sufficientemente negligente nei confronti delle procedure di sicurezza.
Come previsto, la potenza del reattore era scesa a circa metà di quella nominale, quando il responsabile del carico elettrico di rete intervenne per bloccare ulteriori riduzioni, poiché l’impianto avrebbe dovuto continuare a erogare potenza per l’utilizzo nella rete elettrica. In base al programma di test pianificato, circa un’ora dopo l’ECCS fu spento con il rettore in esercizio a metà della sua potenza nominale. Solo alle 23:00 del 25 aprile, il controllore di rete acconsentì a una ulteriore riduzione di potenza (v. fig. 1).
Per questo test, il reattore avrebbe dovuto raggiungere una potenza di 700-1000 MWt ma probabilmente, a causa di alcune condizioni operative sfavorevoli, la potenza scese a circa 30 MWt alle 00:28 del 26 aprile. Gli sforzi per aumentare di nuovo la potenza al livello originariamente pianificato furono resi vani soprattutto per la presenza di xeno che aveva “avvelenato” (assorbendo molta reattività) il reattore. Per compensare questo effetto di abbattimento della reattività, entro le ore 01:00 furono estratte molte barre di controllo, con conseguente violazione del margine minimo di reattività operativa (MRO).
Ricordiamo che il margine di reattività operativo (MRO) è il numero di barre di controllo equivalenti (assorbitori ausiliari) che devono rimanere nel nocciolo. Secondo il rapporto INSAG-7, l’importanza del fatto che il numero di questi assorbitori ausiliari inseriti per la sicurezza dell’impianto dovesse essere necessariamente quello prescritto, sembra essere stata male interpretata dagli operatori. Il valore prescrittivo del MRO non era adeguatamente disponibile per l’operatore, né ‒ soprattutto! ‒ era incorporato nel sistema di protezione automatico del reattore.
Alle 01:03, il reattore fu stabilizzato a circa 200 MWt e si decise di eseguire il test a questo livello di potenza. Il vicedirettore capo dell’impianto in quel periodo, Anatoly Diatlov, ha ammesso di aver preso la decisione di effettuare il test a un livello di potenza inferiore a quello previsto inizialmente, ma ha anche sostenuto che tale livello fosse consentito dalla normativa.
I calcoli eseguiti dopo l’incidente hanno mostrato che il valore di MRO alle 01:22:30 fosse uguale a 8 barre di controllo. Il valore di MRO minimo consentito stabilito nelle procedure operative per il test era invece di 15 barre.
Il calo di potenza si verificò durante il trasferimento da locale ad automatico del sistema di regolazione del controllo di potenza. Il rapporto INSAG-7 afferma che nel precedente rapporto INSAG‒1 (basato essenzialmente sulla documentazione fornita dalle autorità sovietiche) si descriveva la caduta precipitosa della potenza a 30 MWt come dovuta a un errore dell’operatore. Analisi più approfondite hanno invece suggerito che non vi fosse alcun errore da parte dell’operatore e si fa piuttosto riferimento a cause sconosciute che hanno portato all’impossibilità di controllare la potenza. Diatlov, in una comunicazione privata, affermò che il sistema non funzionava correttamente.
Come abbiamo detto in precedenza, l’avvelenamento da xeno ha contribuito in modo significativo all’incidente di Chernobyl. Lo xeno prodotto nelle reazioni nucleari, infatti, continua a crescere anche dopo lo spegnimento di un reattore. Quando si scese a 30 MWt, tale veleno si accumulò a tal punto da rendere difficile e problematico aumentare ulteriormente la potenza: il reattore, in uno stato di grande instabilità, andava spento per poter rifare la prova successivamente! I tentativi di farla risalire a questo punto portarono alla rimozione di così tante barre di controllo che il sistema di protezione di emergenza raggiunse uno stato in cui non avrebbe più potuto garantire lo spegnimento delle reazioni nucleari.
È possibile che anche il progetto delle barre di controllo di emergenza RBMK sia stato responsabile dell’innesco di reattività positiva che ha provocato l’incidente (scram positivo). Un “dislocatore” di grafite inferiore era attaccato alle estremità dell’assorbitore di neutroni nelle barre per impedire all’acqua di raffreddamento di entrare nello spazio lasciato libero quando queste fossero state estratte, aggiungendo così un incremento positivo di reattività: quando una barra completamente estratta veniva reinserita, un’area in fondo al nocciolo che inizialmente conteneva acqua era sostituita dal dislocatore di grafite, incrementando così la reattività in questa regione.
Secondo il rapporto INSAG‒7, la barra e il dislocatore avevano dimensioni tali per cui, quando la barra di controllo era completamente estratta, il dislocatore veniva a trovarsi, nella zona centrale del nocciolo, con 1.25 metri di acqua alle due estremità. Al segnale di scram (segnale che fa reinserire una barra completamente estratta), lo spostamento di acqua dalla zona inferiore del canale causava un inserimento locale di reattività positiva nella parte bassa del nocciolo.
Questo effetto era stato già segnalato in un altro impianto RBMK, quello di Ignalina, nel 1983 e ciò avrebbe dovuto imporre delle restrizioni sull’estrazione delle barre di controllo e di sicurezza. Cosa che non è mai avvenuta. Apparentemente, sembra che la questione fosse stata dimenticata.
La relazione di una Commissione presso il Comitato di Stato dell’URSS per la Vigilanza sulla Sicurezza nell’Industria e nell’Energia Nucleare (SCSSINP) afferma che l’evento iniziatore dell’incidente fosse stato proprio lo scram tramite l’azione del pulsante AZ‒5 quando il reattore RBMK‒1000 operava a bassa potenza con un numero di barre di controllo estratte superiore a quello consentito.
01:23:04. Ha inizio il test vero e proprio. Le valvole di arresto della turbina sono chiuse e il flusso di vapore diretto a quest’ultima si interrompe. Nello stesso tempo, due generatori che forniscono elettricità al sistema vengono spenti. A questo punto, le pompe del circuito primario iniziano a surriscaldarsi. Il sistema di raffreddamento si riempie man mano di vapore che non ha possibilità di scaricarsi nella turbina e la portata d’acqua diminuisce. Tutto ha inizio lentamente. La presenza di vapore ha due effetti: da un lato innalza la temperatura, dall’altra, a causa del coefficiente di vuoto positivo, incrementa la reattività del sistema. La potenza del reattore comincia a salire. Le barre di controllo sono quasi tutte sollevate per compensare principalmente l’effetto di avvelenamento da xeno.
01.23.40. Il responsabile della movimentazione delle barre di controllo preme il fatidico pulsante AZ‒5 per lo scram, ma le barre di controllo si affacciano nella zona attiva con le parti che incrementano la reattività del reattore (scram positivo). Ed entrano in presenza del vapore che riempie gli spazi e che ha già contribuito ad aumentare la reattività (oltre alla temperatura). Questo incremento rappresenta l’ultima goccia che fa traboccare il vaso della tenuta del reattore.
01:23:43 ‒ 01:24:00. La potenza cresce e supera i 530 MWt, continuando a salire rapidamente. Gli elementi di combustibile si rompono, portando a una maggiore produzione di vapore che a sua volta aumenta ulteriormente la potenza a causa del grande coefficiente di vuoto positivo. I danni a tre o quattro gruppi di elementi di combustibile sarebbero stati sufficienti a portare alla distruzione del reattore. La rottura dei diversi canali presenti aumenta la pressione nel nocciolo fino al punto in cui la piastra di supporto del reattore da 1000 tonnellate si stacca sollevandosi e poi ricadendo su un fianco (v. fig. 2, 3), provocando la rottura per recisione di tutti i sistemi di comando e il conseguente inceppamento delle barre di controllo che sono solo a metà strada nel reinserimento. Quando i canali cominciano a distruggersi, si verifica una produzione massiccia di vapore a causa della depressurizzazione del circuito di raffreddamento del reattore.
Sono state riportate due esplosioni, la prima è stata quella relativa allo sviluppo di vapore iniziale, seguita due o tre secondi dopo, da una seconda esplosione, probabilmente dovuta all’accumulo di idrogeno prodotto dalla reazione dell’acqua con lo zirconio ad altissima temperatura che costituisce l’incamiciatura del combustibile. Parti di combustibile, del moderatore e materiali strutturali vengono espulsi provocando un certo numero di incendi: in sala macchine, per la presenza di olio, e nei depositi di gasolio. Il nocciolo distrutto si trova ora esposto all’atmosfera.
Non è stato chiarito il motivo per cui sia stato premuto il pulsante di scram (AZ-5), l’ultimo atto del reattore. La stessa relazione della Commissione SCSSINP afferma che né la potenza del reattore né altri parametri avessero suggerito un qualsiasi intervento da parte del personale o di quelli automatici di sicurezza, dall’inizio della prova fino alla pressione del pulsante AZ‒5.
Controversa la questione relativa all’incendio della grafite. La maggior parte delle segnalazioni fa riferimento a questo punto. Tuttavia, è altamente improbabile che la grafite stessa abbia preso fuoco. Secondo il sito web della General Atomics, spesso si assume erroneamente che il comportamento nella combustione della grafite sia simile a quello del carbone: numerosi test e calcoli hanno dimostrato che è praticamente impossibile bruciare grafite di elevata purezza (di grado nucleare), come quella utilizzata per gli impianti. Su Chernobyl, la stessa fonte afferma che la grafite abbia giocato poco o addirittura alcun ruolo nella successione degli eventi o nelle conseguenze stesse dell’incidente. Il bagliore rosso osservato avrebbe potuto corrispondere al colore previsto della luminescenza per la grafite a 700 °C di temperatura e non al fuoco di grafite su larga scala, come alcuni hanno assunto.
La distruzione del reattore e dell’edificio ha permesso alla grafite surriscaldata di entrare in contatto con l’ossigeno atmosferico. Di conseguenza, il moderatore di grafite ha preso fuoco, inviando un pennacchio di radioattività altamente radioattivo nell’atmosfera e in un’area molto estesa (effetto camino).
L’incidente di Chernobyl è stato il risultato di una mancanza di una “cultura della sicurezza”. Il progetto del reattore era scadente dal punto di vista della sicurezza e questo, assieme ad alcune violazione di prescrizioni dovute anche a una non esatta conoscenza degli effetti prodotti da certi interventi da parte degli operatori, ha determinato una condizione operativa altamente rischiosa.
Gli operatori non erano a conoscenza del fatto che il test avrebbe potuto portare il reattore in una condizione di pronta criticità. Inoltre, alcune azioni non erano conformi alle procedure operative stabilite. La combinazione di questi fattori ha provocato un incidente nucleare di massima gravità in cui un reattore è stato completamente distrutto in pochi secondi.
Per fortuna, da quella fatidica data, molte cose sono cambiate nella filosofia della sicurezza nucleare.
(continua)