40 anni dal disastro di Chernobyl: cosa accadde davvero e cosa dice oggi la scienza sulla sicurezza nucleare

Ricostruzione dettagliata del disastro nucleare di Chernobyl del 26 aprile 1986: difetti del reattore RBMK, sequenza dell’esplosione, conseguenze sanitarie secondo UNSCEAR e OMS, e cosa dice la scienza sulla sicurezza dei reattori moderni.

La notte del 26 aprile 1986, all’1:23:40 ora locale, l’Unità 4 della centrale Vladimir Il’ič Lenin, situata circa 110 chilometri a nord di Kiev e a una decina di chilometri dal confine con la Bielorussia, fu distrutta da una sequenza di esplosioni che proiettò nell’atmosfera la più grande quantità di radioattività mai rilasciata da un evento civile. L’incidente, classificato dall’AIEA al livello 7 della scala INES, resta a oggi l’unico caso nella storia commerciale del nucleare in cui si siano registrate vittime dirette per esposizione acuta alle radiazioni. Per comprendere cosa accadde è necessario partire dall’oggetto fisico al centro della vicenda: il reattore RBMK-1000.

Il reattore RBMK-1000: un progetto figlio della guerra fredda

L’acronimo RBMK sta per Reaktor Bolshoy Moshchnosti Kanalnyy, ovvero reattore di canale ad alta potenza. Si trattava di un progetto sviluppato dagli stessi istituti che si occupavano del programma nucleare militare sovietico, derivato da architetture pensate originariamente per produrre plutonio destinato ad uso bellico. Il principio operativo era duplice: moderazione neutronica affidata a una grande massa di grafite e raffreddamento a circolazione forzata di acqua leggera bollente, contenuta in canali pressurizzati che attraversavano verticalmente il blocco di grafite. Nessun altro paese al mondo costruì mai questa tipologia, perché le sue caratteristiche fisiche erano considerate inaccettabili sotto il profilo della sicurezza intrinseca.

La centrale di Chernobyl ospitava quattro unità RBMK-1000 da 3.200 MW termici (1.000 MW elettrici) ciascuna. Le prime due erano state completate fra il 1977 e la fine degli anni Settanta, mentre le unità 3 e 4 erano entrate in esercizio rispettivamente nel 1981 e nel dicembre 1983. Altri due reattori dello stesso tipo erano in costruzione al momento del disastro.

Coefficiente di vuoto positivo: il difetto fisico chiave

Nei reattori ad acqua leggera di concezione occidentale, l’acqua svolge contemporaneamente il ruolo di refrigerante e di moderatore: una perdita di refrigerante riduce la moderazione neutronica e tende a spegnere la reazione a catena. Nell’RBMK la moderazione era invece affidata alla grafite, mentre l’acqua agiva soprattutto come assorbitore di neutroni. Quando la frazione di vapore nei canali aumentava (cioè quando l’acqua liquida diminuiva), si riducevano gli assorbimenti parassiti e la reattività cresceva. Questo comportamento è quantificato dal cosiddetto coefficiente di vuoto, che nei reattori occidentali è negativo per progetto e che nell’RBMK in determinate condizioni di operatività risultava marcatamente positivo. A bassi livelli di potenza e con un consumo specifico del combustibile elevato, l’effetto diventava dominante su tutti gli altri contributi al coefficiente di reattività complessivo.

Lo “positive scram” e le barre di controllo

Il secondo problema progettuale riguardava le barre di controllo. Nei reattori RBMK le barre erano lunghe circa sette metri e prevedevano una sezione assorbitrice in carburo di boro, ma la loro estremità inferiore era costituita da uno spezzone di grafite che fungeva da riflettore. Quando le barre venivano inserite dall’alto nel nocciolo durante uno spegnimento di emergenza (lo SCRAM, attivato dal pulsante AZ-5), le punte di grafite spostavano transitoriamente l’acqua presente nei canali, riducendone l’assorbimento neutronico e provocando, prima di portare in posizione la sezione di boro, un picco locale di reattività. In condizioni di funzionamento standard l’effetto era trascurabile, ma in stato di nocciolo già destabilizzato poteva trasformare un comando di spegnimento nell’innesco di una divergenza incontrollata di potenza.

Il test elettrico del 25-26 aprile 1986

L’unità 4 era stata avviata il 25 aprile 1986 verso una procedura di arresto programmato per manutenzione ordinaria. In quella stessa finestra, gli ingegneri della centrale intendevano eseguire un test elettrico già tentato senza successo nelle precedenti annualità: verificare se l’energia cinetica residua del rotore del turboalternatore, durante la sua decelerazione successiva a un distacco dal vapore, potesse alimentare le pompe di circolazione del refrigerante per il tempo necessario all’avviamento dei generatori diesel di emergenza. La prova era considerata di natura puramente elettrica, al punto che la sua esecuzione non richiedeva l’autorizzazione né dell’ente regolatore della sicurezza nucleare né del NIKIET, l’istituto progettista dell’RBMK.

La discesa di potenza iniziò alle 01:06 del 25 aprile dal valore nominale di 3.200 MWt. Verso le 14 di quello stesso giorno il reattore era stato portato attorno ai 1.600 MWt, ma una richiesta del dispacciatore della rete elettrica impose di rinviare l’ulteriore riduzione fino a notte. Durante quelle ore di stallo prolungato, il combustibile accumulò una quantità rilevante di xeno-135, prodotto di fissione fortemente assorbitore di neutroni, che cominciò a “avvelenare” il nocciolo. Quando, dopo le 23, gli operatori ripresero la riduzione di potenza per riportare il reattore al regime previsto per il test (700-1000 MWt), la combinazione fra avvelenamento da xeno e drift dei sistemi di controllo automatico fece collassare la potenza fino a circa 30 MWt verso lo 00:28 del 26 aprile. Una condizione anomala, ai limiti della stabilità neutronica.

Per recuperare potenza, gli operatori estrassero un numero crescente di barre di controllo, violando il margine operativo minimo di reattività (ORM). Calcoli successivi indicarono che alle 01:22:30 il margine equivalente era di sole otto barre manuali, contro i trenta richiesti come limite assoluto. Alle 01:23:04 il test fu comunque avviato a una potenza stabilizzata attorno ai 200 MWt: una decisione che mise il reattore in uno stato in cui i suoi difetti di progetto convergevano simultaneamente.

La sequenza dell’esplosione

Quando il flusso di vapore alle turbine fu interrotto per simulare la condizione del test, le pompe rallentarono e la quantità di vapore nei canali aumentò rapidamente. Il coefficiente di vuoto positivo amplificò la reattività, la potenza cominciò a salire bruscamente e alle 01:23:40 il capoturno premette il pulsante AZ-5 per inserire le barre di controllo. La presenza delle punte di grafite produsse l’effetto positivo iniziale già descritto, sommandosi all’escursione di reattività in corso. In pochi secondi la potenza superò di oltre dieci volte il valore nominale; secondo le ricostruzioni, in alcuni canali si raggiunsero picchi stimati attorno a 30 GWt.

Il combustibile frantumato si frammentò, l’acqua del refrigerante si trasformò istantaneamente in vapore ad altissima pressione e la prima esplosione, di natura termo-meccanica (vapore), sollevò la lastra superiore del reattore, una struttura metallica da circa 2.000 tonnellate denominata “Elena”. Pochi secondi dopo si verificò una seconda esplosione, ancora oggetto di discussione tecnica nella sua attribuzione esatta: alcune fonti la riconducono alla combustione dell’idrogeno generato dalla reazione zirconio-acqua nelle camicie del combustibile, altre a un’escursione nucleare prompt-critica innescata dalla geometria modificata del nocciolo. La grafite fu esposta all’aria e cominciò a bruciare, sostenendo per dieci giorni il rilascio di radionuclidi nell’atmosfera.

Il rilascio radioattivo e la contaminazione

L’incidente disperse nell’ambiente isotopi gassosi e particolati con vita media molto eterogenea. Le sostanze più rilevanti dal punto di vista sanitario nel breve periodo furono lo iodio-131 (emivita di otto giorni), responsabile dell’esposizione tiroidea della popolazione esposta soprattutto attraverso il consumo di latte contaminato, e gli isotopi dello iodio in genere. Sul medio e lungo termine il quadro fu dominato dal cesio-137 (emivita di trent’anni) e in misura minore dallo stronzio-90, oltre a tracce di plutonio nelle vicinanze immediate dell’impianto. Il pennacchio attraversò la Scandinavia e l’Europa centrale; i radionuclidi furono rilevati in tutto l’emisfero boreale, sebbene le dosi al di fuori dell’ex Unione Sovietica risultassero, sulla media europea, dell’ordine di 0,5 mSv una tantum, contro i 2,4 mSv all’anno di fondo naturale stimati dall’UNSCEAR.

I liquidatori e l’evacuazione

La risposta operativa coinvolse in totale circa 600.000 persone, secondo il numero di certificati emessi dalle autorità sovietiche, anche se altre stime parlano di 350.000 lavoratori effettivamente impegnati nella prima fase critica del 1986-1987. Furono i cosiddetti liquidatori: vigili del fuoco, militari, operatori della centrale, minatori, personale civile incaricato di spegnere l’incendio della grafite, di rimuovere i detriti altamente radioattivi dal tetto della sala reattori, di costruire un primo schermo di contenimento attorno al blocco distrutto. La dose media esterna ricevuta dai liquidatori fu di circa 117 mSv, con punte molto più alte fra coloro che intervennero nelle ore immediatamente successive all’esplosione.

L’evacuazione della popolazione fu inizialmente tardiva: la città di Pripyat, costruita a tre chilometri dall’impianto per ospitare i lavoratori e le loro famiglie, fu evacuata solo nel pomeriggio del 27 aprile, oltre trentasei ore dopo l’incidente. Complessivamente, nel 1986 furono trasferiti circa 115.000 abitanti delle aree limitrofe; negli anni successivi ulteriori 220.000 persone vennero ricollocate da territori di Bielorussia, Russia e Ucraina classificati come contaminati oltre la soglia operativa di 555 kBq/m² di cesio-137.

Le conseguenze sanitarie secondo UNSCEAR e Forum di Chernobyl

Nelle ore successive all’esplosione furono ricoverati 134 fra operatori e vigili del fuoco con sintomi di sindrome acuta da radiazioni. Di questi, 28 morirono entro pochi mesi. Altri due operatori erano stati uccisi dalle conseguenze meccaniche dell’esplosione e uno da insufficienza coronarica nelle ore immediate. La cifra più frequentemente riportata nei rapporti istituzionali parla quindi di 30-31 vittime nel breve termine direttamente attribuibili all’incidente.

L’effetto sanitario di gran lunga più documentato a distanza di anni è l’incremento dei tumori della tiroide nei bambini e negli adolescenti esposti allo iodio-131, soprattutto in Bielorussia, Ucraina e nelle quattro oblast’ più contaminate della Russia. Il rapporto del Forum di Chernobyl coordinato da AIEA e OMS nel 2005 documentò circa 6.000 casi entro quella data, con quindici decessi accertati a fronte di un’elevata percentuale di guarigioni grazie alla buona prognosi di questo tipo di neoplasia se trattata. Studi successivi hanno alzato la stima cumulativa a circa 19.200 casi diagnosticati fra il 1991 e il 2015 in soggetti che erano minorenni al momento dell’incidente, con stime di attribuibilità alla radiazione che variano dal 25% al 60% a seconda della categoria di popolazione considerata.

Per quanto riguarda altri tumori solidi e leucemie nella popolazione generale, l’UNSCEAR nei suoi rapporti del 2008 e successivi non ha registrato un aumento statisticamente dimostrabile attribuibile all’esposizione, fatta eccezione per qualche evidenza emergente di leucemie e cataratte fra i liquidatori più esposti. La stima complessiva di decessi tumorali aggiuntivi sull’arco della vita delle 600.000 persone più esposte (liquidatori, evacuati, residenti nelle aree più contaminate) prodotta dal Forum di Chernobyl è di circa 4.000 casi, includendo i decessi già osservati. Un’analisi successiva dell’IARC del 2006, estesa a quaranta paesi europei, indicava un intervallo di confidenza al 95% compreso fra 6.700 e 38.000 decessi oncologici aggiuntivi attribuibili al fallout su scala continentale, con un valore centrale stimato attorno ai 16.000.

Restano discusse, e non univocamente confermate dall’epidemiologia, le ipotesi di effetti transgenerazionali sui figli dei liquidatori: studi pubblicati su Science e altre riviste peer-reviewed non hanno individuato alterazioni ereditarie statisticamente significative.

Sarcofago e New Safe Confinement

La struttura realizzata in emergenza nel 1986 attorno al blocco distrutto, il cosiddetto Sarcofago, era stata progettata per durare al massimo trent’anni. Già dagli anni Novanta si rilevarono cedimenti strutturali e infiltrazioni di acqua piovana, che ponevano problemi di stabilità e di rilascio di particolato contaminato. La risposta tecnica a questo problema è stata la costruzione del New Safe Confinement, un’arcata in acciaio alta 108 metri, larga 257 e lunga 162, dal peso di oltre 36.000 tonnellate, prefabbricata a distanza di sicurezza dal vecchio sarcofago e fatta scorrere in posizione su binari nel novembre 2016. La struttura, progettata per durare almeno cento anni, sigilla l’intero blocco e consente le operazioni di smantellamento del sarcofago originario e, in prospettiva, la rimozione del materiale fuso del nocciolo (i cosiddetti corium e “piede di elefante”) oggi presente nelle cavità sottostanti.

Cosa dice la scienza sulla sicurezza dei reattori odierni

Il consenso tecnico delle agenzie internazionali (AIEA, OECD-NEA, UNSCEAR) e della comunità ingegneristica del settore concorda su un punto: l’incidente di Chernobyl fu il prodotto specifico di una tipologia di reattore (RBMK) mai costruita al di fuori dell’Unione Sovietica, di un protocollo di prova condotto in violazione delle procedure di esercizio e di una cultura della sicurezza profondamente diversa dagli standard oggi normati a livello internazionale. Le caratteristiche fisiche che resero possibile la divergenza incontrollata di reattività – coefficiente di vuoto positivo dominante, “positive scram”, assenza di un edificio di contenimento dotato di tenuta a pressione – non sono presenti nei reattori commerciali progettati e costruiti secondo i criteri post-1990.

Reattori di Generazione III+ e sicurezza passiva

I progetti commerciali oggi sul mercato (AP1000 di Westinghouse, EPR di Framatome, APR-1400 di KEPCO, VVER-1200 nella sua configurazione attuale, HPR-1000) appartengono alla cosiddetta Generazione III+ e adottano sistemi di sicurezza passiva: meccanismi che, in caso di perdita di alimentazione elettrica e di refrigerazione attiva, intervengono automaticamente sfruttando principi fisici quali la gravità, la convezione naturale e la differenza di densità, senza richiedere intervento dell’operatore né alimentazione elettrica esterna. L’AP1000, ad esempio, è progettato per mantenere il nocciolo in condizioni di sicurezza per almeno 72 ore in totale assenza di intervento umano e di rete elettrica, attraverso serbatoi sopraelevati di acqua di emergenza e raffreddamento esterno del recipiente di contenimento mediante convezione d’aria.

Differenze strutturali rispetto al progetto RBMK

Sotto il profilo neutronico, tutti i reattori commerciali ad acqua leggera (PWR e BWR) sono progettati con coefficiente di vuoto e coefficiente Doppler negativi: una perdita di refrigerante o un aumento di temperatura del combustibile ne riducono spontaneamente la reattività, spegnendo la reazione a catena per via fisica prima ancora dell’intervento dei sistemi attivi. Le barre di controllo non hanno alcun riflettore in punta e, in condizioni di emergenza, vengono inserite per gravità dall’alto (PWR) o sparate dal basso da sistemi idraulici dedicati (BWR), con tempi caratteristici di pochi secondi. L’edificio di contenimento, una struttura in cemento armato precompresso con liner metallico interno progettata per resistere a sovrapressioni interne, all’impatto di velivoli commerciali e a fenomeni sismici di riferimento, costituisce inoltre la quarta barriera fra il combustibile e l’ambiente esterno: una caratteristica del tutto assente nell’RBMK di Chernobyl, che disponeva soltanto di un contenimento parziale a sezioni indipendenti.

Anche gli undici RBMK ancora in esercizio in Russia dopo il 1986 sono stati oggetto di profonde modifiche prescritte dall’AIEA: ricarica con combustibile a maggiore arricchimento, aumento del numero minimo di barre di controllo permanentemente inserite, ridisegno delle barre per eliminare l’effetto del positive scram, riduzione del coefficiente di vuoto. Sono interventi che hanno mitigato in modo significativo le criticità originali del progetto, pur senza renderlo equivalente sotto il profilo della sicurezza intrinseca a un reattore di Generazione III+.

I dati statistici sulla sicurezza del nucleare civile, elaborati su scala internazionale dall’AIEA e dall’OECD, indicano che dal 1986 a oggi si sono verificati due ulteriori incidenti gravi (Three Mile Island nel 1979, anteriore a Chernobyl, e Fukushima Daiichi nel 2011), di cui solo Fukushima ha comportato un rilascio significativo di radionuclidi. A Fukushima, secondo la valutazione UNSCEAR del 2013 e i suoi aggiornamenti successivi, non sono stati documentati decessi attribuibili direttamente alle radiazioni e non è atteso un aumento misurabile dell’incidenza tumorale nella popolazione esposta. Quel disastro derivò comunque da reattori di Generazione II privi di alcune protezioni passive, e ha portato a un’ulteriore stretta normativa internazionale sulla resistenza degli impianti a eventi esterni estremi (sisma e tsunami con tempi di ritorno millenari), oggi codificata nei requisiti di licensing per i nuovi progetti.

La traiettoria che separa il reattore distrutto la notte del 26 aprile 1986 da un’unità AP1000 oggi in costruzione misura quattro decenni di evoluzione progettuale, normativa e culturale. Le ricostruzioni tecniche disponibili e le analisi epidemiologiche convergono su una lettura di Chernobyl come evento specifico, irripetibile nelle sue circostanze esatte all’interno della flotta nucleare commerciale contemporanea, e da affrontare con il rigore degli strumenti che la fisica dei reattori, l’ingegneria della sicurezza e la radioprotezione hanno sviluppato proprio a partire dalla sua lezione.

Fonti: UNSCEAR, AIEA, OMS, OECD-NEA, World Nuclear Association