A frota de reatores CANDU do Canadá – curta para o CANADA Deutério Urânio – ganhou uma reputação global de design robusto, confiabilidade operacional e uma estrutura de segurança em camadas que continua a informar os operadores nucleares em todo o mundo. Desde que a primeira unidade comercial da CANDU começou a fornecer eletricidade em 1971, esses reatores pressurizados de água pesada acumularam mais de 500 anos de experiência operacional em reatores em todo o Canadá, Romênia, Argentina, Coreia do Sul, China e Índia. A filosofia de segurança incorporada na tecnologia CANDU repousa em defesa em profundidade: múltiplas barreiras físicas, sistemas de desligamento diversos e independentes, e uma estrutura de contenção projetada para resistir a eventos graves. Ao longo das décadas, eventos do mundo real e demonstrações de segurança direcionadas testaram esses sistemas, gerando um conjunto de estudos de caso e insights operacionais que moldam a gestão moderna de riscos. Este artigo se baseia nessas experiências – desde perfurações em toda a estação até verdadeiros desafios de equipamentos e programas internacionais de comissionamento – para examinar o que foi aprendido e como a indústria aplica essas lições hoje.

Fundações da segurança do reator CANDU

Para apreciar a relevância de estudos de caso individuais, é útil entender primeiro a arquitetura de segurança comum a todas as unidades CANTU. O projeto usa água pesada (óxido de deutério) como moderador e refrigerante, enquanto os canais de combustível são horizontais e podem ser reabastecidos enquanto o reator está em plena potência. Esta capacidade de reabastecimento de carga elimina a necessidade de interrupções estendidas apenas para substituição de combustível, reduzindo a pressão nos sistemas de usinas durante sequências de reiniciamento e mantendo padrões de queima de combustível consistentes. Sistemas de segurança são agrupados em duas categorias funcionalmente independentes: sistemas de processo que mantêm o funcionamento normal e sistemas de segurança especiais que entram em quando os sistemas de processo falham ou quando ocorre um acidente de base de projeto.

As características de segurança mais distintas incluem:

  • Dois sistemas de desligamento independentes. SDS-1 usa barras de desligamento assistidas por molas, com gravidade, que caem no moderador de baixa pressão. SDS-2 injeta veneno de nêutron líquido (nitrato de gadolínio) no moderador através de bicos de alta pressão. Ambos os sistemas são fisicamente separados e dependem de lógica de atuação diferente, de modo que nenhuma falha de modo comum pode desativar a capacidade de desligamento. A separação do sistema se estende a fontes de energia, cabos de sinal e gabinetes de relé alojados em gabinetes separados de classificação de fogo.
  • Sistema de refrigeração de núcleo de emergência (ECCS). Em caso de acidente com perda de refrigerante, o ECCS fornece injeção de alta pressão para manter os canais de combustível refrigerados enquanto o moderador atua como dissipador de calor passivo. O próprio recipiente de calandra é cercado por uma caixa de concreto cheia de água leve, que serve como reservatório térmico adicional capaz de absorver calor de decaimento por várias horas sem ação do operador.
  • Contenção e arranjo de construção a vácuo. Muitas estações de CANTU usam uma contenção multi-unidade com um edifício de vácuo conectado. Se a pressão dentro do edifício do reator sobe, discos de ruptura direto vapor e ar no edifício de vácuo, onde um grande volume de spray de água condensa o vapor rapidamente, reduzindo os picos de pressão. Este sistema de supressão de pressão passiva elimina a necessidade de contenção de alta pressão do tipo encontrado em alguns reatores de água leve.
  • Moderador como uma característica de segurança passiva. Porque o tanque moderador detém um grande volume de água pesada fria, mesmo que os canais de refrigeração primária deformam ou rompem, o combustível pode ser resfriado pelo moderador, comprando tempo para ações do operador e injeção de ECCS. Este dissipador de calor inerente é particularmente valioso durante cenários de acidentes graves onde os sistemas ativos podem estar indisponíveis.

Estes atributos de concepção foram validados através de testes extensivos, incluindo a série de ensaios LOCA em larga escala realizados no reactor NRU no Rio Chalk durante as décadas de 1970 e 1980, bem como numerosos ensaios de comissionamento específicos de estações realizados em cada nova unidade. De acordo com a Comissão de Segurança Nuclear do Canadá, a análise de segurança determinística para reactores CANTU demonstra que todos os eventos de base de projecto podem ser geridos sem exceder os limites de danos ao combustível, e as avaliações de segurança probabilística mostram frequências de danos ao núcleo extremamente baixas, tipicamente na gama de 10-5[ a 10[-6[] por ano de reactor. A filosofia de defesa em profundidade também se estende a gestão de acidentes graves, onde as proteções e procedimentos de operador em camadas impedem a escalada para além das margens de segurança originais.

Estudo de caso 1: Pickering A – Inspeção de Tubos de Pressão e Monitoramento Sistemático da Saúde

A Estação de Geração Nuclear de Pickering, a leste de Toronto, iniciou a operação comercial em 1971 e atualmente compreende seis unidades CANDU em operação (Pickering A unidades 1 e 4, e Pickering B unidades 5-8). Embora Pickering nunca tenha experimentado uma liberação de radioatividade de um acidente de perda de refrigerante, um evento operacional em 1994 tornou-se um catalisador para o avanço da cultura de segurança através da frota. Durante uma redução de energia de rotina após uma viagem de bomba de alimentação de gerador de vapor, os operadores observaram uma pequena fuga de um selo de ajuste final de tubo de pressão. O reator tropeçou automaticamente em baixa pressão, e os procedimentos de estação isolaram o loop afetado. Nenhuma radiação foi liberada para o público ou o ambiente, e o evento foi categorizado como uma ocorrência operacional de baixo nível pelo CNSC.

O incidente levou a uma revisão da gestão da integridade dos tubos de pressão em toda a estação. Os tubos de pressão CANDU são um componente crítico porque contêm os feixes de combustível e o refrigerante primário de alta temperatura e alta pressão. Com o tempo, estes tubos de liga de zircônio podem experimentar o captador de deutério e a fluência que reduzem sua resistência à ruptura. A revisão de 1994 revelou que, embora a base de projeto determinística fosse sólida, intervalos de inspeção periódicos poderiam ser refinados para capturar degradação mais cedo do que a prática de pré-vailing. Ontário Geração de Energia (OPG) respondeu, implementando ferramentas avançadas de exame não destrutivo, incluindo sondas de corrente e sistemas de array ultrassônico fased, para inspecionar tubos de pressão durante as interrupções planejadas. A estação também apertou seu controle químico do líquido de refrigeração primária para minimizar a corrosão e absorção de deutério, fatores que influenciam a vida do tubo de pressão.

A lição chave da experiência de Pickering é que os eventos operacionais oferecem uma oportunidade de passar da correção reativa para o monitoramento de saúde proativo. Ao integrar dados contínuos de inspeções com modelos de mecânica de fratura probabilística, os engenheiros poderiam prever a vida de componentes remanescentes com maior confiança. Esta abordagem, agora formalizada no guia de segurança da AIEA sobre o envelhecimento da gestão, foi compartilhada em toda a frota de CANDU e influenciou o projeto do Reator Avançado de próxima geração (ACR-1000), que incorpora materiais de tubo de pressão otimizado e acesso à inspeção revisada. O evento Pickering também levou ao desenvolvimento de um programa padronizado de inspeção de tubos de pressão sob o Grupo de Proprietários de CANDU, com estações membros trocando dados sobre o desempenho de tubos em vários ciclos operacionais. Hoje, estações como Bruce Power estenderam esses métodos para inspeções de tubos de geradores de vapor, usando tecnologia de array fase semelhante para detectar falhas antes de se propagarem.

Estudo de caso 2: Ponto Lepreau – Exercício de emergência de grande porte e comunicação pública

A Estação Nuclear de Geração Point Lepreau em New Brunswick operou de forma confiável por mais de duas décadas antes de passar por uma grande reforma entre 2008 e 2012. Durante essa revisão de meia-idade, o proprietário da estação, NB Power, substituiu tubos de pressão, tubos de calandra, geradores de vapor e tubos de alimentação, efetivamente renovando o núcleo do reator. O projeto também atualizou a infraestrutura de resposta de emergência, incluindo monitores de sala de controle e sistemas de comunicação. Após a renovação, uma demonstração de segurança abrangente foi projetada para provar que todos os sistemas aprimorados funcionavam como pretendido e que a estação estava pronta para mais 25 anos de operação.

O exercício escolhido, realizado em 2013, simulou um cenário além do design-base: um pequeno LOCA de quebra agravado pela perda de energia e falha de um gerador diesel, o que desafiou as equipes de operação de emergência a coordenar o uso do ECCS, o resfriamento de emergência do gerador de vapor e o sistema de supressão da pressão de contenção. A broca envolveu mais de 200 pessoas, incluindo operadores de usinas, equipes de resposta de emergência e agências externas, como a Organização Provincial de Medidas de Emergência e o CNSC. O cenário incluiu uma liberação radiológica simulada que exigia ações de proteção fora do local, incluindo o abrigo e monitoramento de vias de cadeia alimentar.

Os resultados foram amplamente positivos: a equipe de usinas estabilizou o reator em 30 minutos e os tempos de atuação de todos os sistemas de segurança atingiram seus objetivos de projeto. No entanto, o exercício destacou a importância de protocolos claros de comunicação pública. Durante o evento simulado, o fluxo de informações para o centro de operações de emergência provincial foi mais lento do que o esperado, em parte porque os dados radiológicos sintéticos injetados pelo simulador de treinamento necessitaram de interpretação manual antes de serem passados para parceiros externos. Em resposta, a NB Power implementou interfaces dedicadas de compartilhamento de dados que permitem que informações radiológicas em tempo real e de estado da planta sejam empurradas automaticamente para as autoridades off-site. A estação também aperfeiçoou seus modelos de notificação pública, garantindo que as mensagens iniciais incluiriam instruções acionáveis, como distâncias de abrigo ou zonas de evacuação, enquanto ainda estavam concisas e livres de jargão. O exercício também levou a mudanças no layout do centro de operações de emergência para exibir parâmetros de planta de forma mais proeminente, com gráficos de tendência de tela de grande porte substituindo leitura numérica.

Este caso reafirmou um princípio que se estende muito além da tecnologia CANTU: a excelência técnica em sistemas de plantas deve ser acompanhada por uma comunicação de crise robusta. Como os comunicadores nucleares frequentemente observam, uma demonstração de segurança só é completa quando o público entende o que os dados significam e confia no mensageiro. A broca Point Lepreau tornou-se um evento de referência para as diretrizes da AIEA sobre preparação para emergências, particularmente a seção sobre informação pública durante emergências nucleares, e a abordagem canadense foi adotada como modelo por vários operadores europeus de CANTU.

Estudo de caso 3: Cernavodă – Verificação Independente de Sistemas de Desligamento

A Central Nuclear de Cernavodă da Roménia opera duas unidades CANDU 6, com apoio à concepção e análise de segurança originalmente fornecido pela Atomic Energy of Canada Limited (AECL). A Unidade 1 iniciou a operação comercial em 1996 e a Unidade 2 em 2007. No início dos anos 2000, durante o comissionamento da Unidade 2, a empresa pública romena Societatea Naţională Nuclearelectrica realizou uma extensa série de testes de segurança para verificar o desempenho de ambos os sistemas de desligamento em condições realistas. Estes testes de comissionamento estão entre as demonstrações de segurança mais detalhadas já realizadas em um reator CANDU 6.

Um dos testes mais significativos envolvidos deliberadamente desativando o sistema de regulação normal do reator para forçar um aumento lento e progressivo da potência do reator enquanto o reator operava em uma condição de baixa potência estável. O objetivo era confirmar que SDS-1 (as barras de desligamento) iria tropeçar em taxa de fluxo de neutrões-de-mudança, e que SDS-2 (injeção de veneno líquido) forneceria um backup totalmente independente se as hastes não entrassem no núcleo. Os testes foram realizados em níveis de potência entre 0,1% e 50% de potência total, com centenas de canais de instrumentação registrando temperatura, pressão e fluxo de neutrões em tempo real. A sequência de teste também incluiu cenários onde um sistema de desligamento foi deliberadamente desativado para verificar a capacidade do outro para levar o reator a um estado seguro.

Os dados mostraram que o SDS-1 poderia inserir a reatividade negativa necessária em 0,8 segundos – bem dentro do limite de licenciamento de 2,0 segundos. Igualmente importante, o sistema de veneno líquido respondeu com uma inserção de reatividade negativa que atendeu aos critérios de aceitação mesmo quando os atrasos foram introduzidos artificialmente na lógica de atuação. O exercício confirmou que os dois sistemas não compartilham instrumentação comum, nenhuma fonte de alimentação comum e nenhuma lógica comum de ativação. Mesmo os gabinetes de relé estão alojados em gabinetes de fogo qualificados separados. O teste também validou que os bicos de injeção de veneno distribuíam nitrato de gadolínio uniformemente pelo moderador, mesmo sob condições de estratificação de moderador que originalmente eram uma preocupação no projeto inicial.

A lição dos testes de comissionamento de Cernavodă é que a verificação completa e independente durante a inicialização fornece uma linha de base padrão para toda a vida operacional. Permite aos proprietários identificar quaisquer erros de instalação sutis – tais como sensores mal calibrados, tubos guias desalinhados ou bicos venenosos parcialmente ligados – antes de carregar combustível. A experiência romena influenciou as práticas de comissionamento posteriores em Wolsong na Coreia do Sul e em Qinshan Fase III na China, onde testes de desligamento multi-sistema semelhantes se tornaram padrão. Também reforçou a confiança da comunidade CANDU no princípio de que a diversidade e a separação física podem eliminar a necessidade de redundância analítica complexa na atuação de desligamento, uma lição que foi incorporada aos requisitos de segurança para pequenos reatores modulares usando tecnologia de água pesada, como o projeto SSE SR-24 da StarCore Nuclear.

Estudo de caso 4: Darlington – Gerência de Acidentes Graves e Ventilação de Contenção Filtrada

A Estação Nuclear de Darlington, localizada a leste de Toronto e composta por quatro unidades CANTU que iniciaram a operação comercial entre 1990 e 1993, tem sido o foco de um estudo de viabilidade maior sobre ventilação de contenção filtrada. Embora as contenções CANTU existentes sejam projetadas para suportar uma ruptura completa de guilhotina de duas extremidades do maior tubo primário, as revisões pós-Fukushima no mundo todo levaram a um re-exame de cenários de acidentes graves que poderiam desafiar a integridade da contenção através da pressurização gradual além da pressão de projeto devido à combustão de hidrogênio ou geração de vapor a partir de interação núcleo-concreto.

OPG, em colaboração com Candu Energy Inc. (subsidiária da SNC-Lavalin), avaliou se os sistemas de ventilação filtrada poderiam adicionar uma valiosa camada de defesa sem comprometer a capacidade de supressão de pressão existente no vácuo. Um teste de demonstração em escala completa foi realizado usando um modelo de contenção escalonado nos Laboratórios do Rio Chalk. O Hélio foi usado como simulador para hidrogênio, e a retenção de aerossol foi medida para uma variedade de tamanhos de partículas representando aerossóis de produtos de fissão. O teste demonstrou que um filtro de leito de areia combinado com um purificador pré-congelamento poderia obter mais de 99,9% de remoção de produtos chave de fissão, como o césio-137 e iodo-131, em condições representativas do combustível fundido em contenção. O sistema incorporou um recombinador passivo de hidrogênio catalítico para evitar a acumulação de gás combustível, e a unidade de filtro foi projetada para operar sem energia externa nas primeiras 24 horas.

A análise de engenharia posterior para Darlington mostrou que a instalação de um sistema como este exigiria uma integração cuidadosa com o sistema de supressão de pressão existente. O conceito de projeto preferido usa uma linha de ventilação endurecida dedicada que se abre apenas se a pressão de contenção se aproximar da capacidade de pressão final, várias horas em um acidente grave. Isto permite aos operadores implementar estratégias como a maquiagem do moderador e o resfriamento de vasos externos. A análise também considerou o impacto do sistema de ventilação na eficácia de supressão de pressão de construção de vácuo, concluindo que os dois sistemas poderiam operar de forma complementar sem interações adversas.

O projeto demonstrou que a elevada capacidade de calor inerente à CANDU – o moderador de água pesada e o grande volume de água de abóbada – já proporciona um tempo generoso de enfrentamento antes de a pressão de contenção se tornar crítica. Para Darlington, a modelagem mostrou que mesmo sem ações de operadora, a temperatura de contenção permaneceria abaixo do limite de projeto por pelo menos 12 horas após um acidente grave. Adicionando uma abertura filtrada estende essa margem ainda mais, proporcionando um adicional de 24 a 48 horas para decisões de resposta de emergência fora do local. O processo de desenvolvimento também destacou o valor da cooperação internacional: os funcionários da OPG trabalharam com especialistas de utilidades europeias que já haviam retrofitado as aberturas de ventilação filtradas em PWRs, adaptando as lições à geometria de contenção única da CANDU. O relatório técnico da Agência Internacional de Energia Atómica que inclui muitas das estratégias testadas em Darlington, e o estudo informou as expectativas atualizadas da CNSC para a gestão de acidentes graves em todas as estações nucleares canadenses.

Lições aprendidas: Um Quadro Estruturado para Segurança Operacional

A partir desses estudos de caso e da experiência operacional diária da frota de CANDU, emergem vários temas recorrentes, que não são teorias abstratas, mas estão incorporadas em procedimentos de estação, requisitos regulatórios e padrões de toda a indústria que têm sido refinados ao longo de décadas de operação.

1. Redundância que Funciona na Prática

Uma característica definidora da segurança de CANDU é o compromisso com a separação física e funcional dos sistemas de segurança. Os testes Cernavodă provaram que dois mecanismos de desligamento independentes podem ser validados com sinais de energia reais, e o conceito de ventilação filtrada de Darlington mostra que o sistema de contenção pode ser atualizado sem comprometer suas margens de projeto originais. Para os gerentes de plantas, a lição é resistir à tentação de consolidar funções em plataformas digitais únicas que podem ser econômicas, mas reintroduzir vulnerabilidades de causa comum. A associação da indústria, o Grupo de Proprietários de CANDU, emitiu diretrizes que recomendam manter pelo menos um backup analógico para funções de segurança chave. Esta abordagem foi validada durante transientes reais de plantas, como quando uma falha de controle de computador em Bruce B foi gerenciada com segurança pelos circuitos independentes de viagem analógica, evitando qualquer escalada.

2. Gestão Proativa do Envelhecimento

O evento do tubo de pressão Pickering sublinhou que os limites de projeto determinístico são apenas o ponto de partida. Componentes degradam-se e as taxas de degradação podem ser influenciadas por transientes de química de água, excursões de temperatura e irradiação de neutrões. A frota aplica agora um processo de gerenciamento sistemático do envelhecimento, com estações como Bruce Power implementando inspeções de tubos de pressão in situ usando sensores de corrente de corrente de tubo de calandria eddy. Esta prática foi codificada no documento regulatório CNSC ]RD-334, que estabelece expectativas para avaliações de aptidão para serviço a cada 10 anos. A abordagem proativa também foi aplicada à integridade do tubo gerador de vapor, com todas as estações canadenses de CANDU adotando um programa de manutenção baseado em condições que substitui os tubos quando a degradação atinge limiares pré-definidos. No Ponto Lepreau, as inspeções pós-refurbamento confirmaramm que novos materiais de tubo de pressão reduziram as taxas de captação de deutério em quase 40%, prolongando a vida operacional esperada para além de 30 anos.

3. O elemento humano em resposta de emergência

O exercício de Lepreau mostrou que até mesmo um excelente hardware de plantas pode ser prejudicado pelo fluxo lento de informações. A lição é que a engenharia de fatores humanos deve ser parte integrante de demonstrações de segurança. Isto inclui projetar interfaces de sala de controle que apresentam informações prioritárias e acionáveis durante transientes, e garantir que os centros de emergência fora do local recebam uma imagem clara e não filtrada das condições das plantas. Muitas estações de CANTU agora realizam brocas regulares baseadas em simuladores que incluem partes interessadas externas, medindo não só o desempenho técnico, mas também a latência da comunicação. As brocas levaram a melhorias no projeto de monitores de instalações de resposta de emergência, com gráficos de tendência que substituem leituras numéricas para parâmetros chave. O centro de operações de emergência de Darlington agora usa um painel que agrega dados de plantas, leituras radiológicas e informações meteorológicas em uma única tela acessível por todas as equipes de resposta.

4. Engajamento Transparente com Reguladores e o Público

As estações de CANDU no Canadá operam sob um quadro regulatório vivo que requer revisões periódicas de segurança e audiências públicas. O ciclo de vida do CNSC permite a supervisão contínua e quando as estações implementam modificações significativas – como o estudo de viabilidade de ventilação filtrada em Darlington – o processo inclui consultas públicas através do processo de notificação e comentários da Comissão. A abertura sobre as razões e resultados de demonstrações de segurança aumenta a confiança e garante que as expectativas regulatórias evoluam de forma gradual com as melhorias tecnológicas. O exercício Point Lepreau, por exemplo, foi documentado publicamente no relatório anual de conformidade do CNSC, e as lições aprendidas foram compartilhadas em conferências abertas organizadas pela Sociedade Nuclear Canadense. Essa transparência se estende aos fóruns internacionais: operadores da CANDU contribuem regularmente para conferências de segurança da AIEA, onde seus estudos de caso informam as melhores práticas globais.

5. Compartilhamento Internacional de Conhecimento

A comunidade CANDU abrange o Canadá, Romênia, Argentina, Coreia do Sul, China e Índia (onde os projetos PHWR compartilham a linhagem comum).A experiência operacional é compartilhada através do Grupo de Proprietários de CANDU (COG) e da Associação Mundial de Operadores Nucleares. Demonstrações de segurança realizadas em uma estação – como os testes do sistema de desligamento de Cernavodă – rapidamente se tornam benchmarks para outros.A COG mantém uma base de dados de eventos de experiência operacional que as estações membros podem pesquisar por insights sobre falhas ou melhorias específicas do sistema de segurança.Esta cultura colaborativa multiplica o valor de cada evento do mundo real, transformando as lições locais em conhecimentos globalmente aplicáveis.Por exemplo, as técnicas de inspeção de tubos de pressão refinadas na Pickering foram adotadas pela estação Wolsong na Coreia do Sul após uma troca técnica de COG em 1998.Mais recentemente, engenheiros romenos compartilharam seus dados termo-hidráulico moderador com designers canadenses, ajudando a validar o caso de segurança para altas taxas de potência na Bruce Power.

6. Supervisão Regulatória como Motor de Melhoria Contínua

O regulador nuclear do Canadá desempenha um papel ativo na aplicação de demonstrações de segurança. O CNSC exige que cada estação apresente uma revisão periódica de segurança a cada dez anos, que inclui análises determinísticas e probabilísticas atualizadas, bem como avaliações da gestão do envelhecimento e desempenho humano. Este ciclo regulatório cria uma oportunidade recorrente para incorporar lições da experiência operacional. Por exemplo, a revisão periódica de segurança de 2018 em Darlington incorporou insights do exercício Point Lepreau e dos testes de comissionamento Cernavodă, levando a refinamentos nos procedimentos operacionais de emergência da estação e diretrizes de gestão de acidentes graves. O regulador também realiza inspeções direcionadas após eventos significativos, empurrando as estações para adotar ações corretivas que são então compartilhadas em toda a frota.

Aplicando as Lições aos Projetos de Reatores Futuros

À medida que a energia nuclear se expande para atingir objetivos de energia limpa, a próxima geração de projetos derivados de CANDU, incluindo o Reator avançado proposto (ACR-1000) e pequenos reatores modulares usando moderação de água pesada, como o SR-24 SSE, se beneficiará diretamente das demonstrações de segurança atuais. O conceito ACR integra muitas das lições descritas acima: usa urânio ligeiramente enriquecido para aumentar a queima, mantendo os canais de combustível horizontal e moderador de baixa pressão, elimina algumas tubulações de grande diâmetro através de um circuito primário compacto, e incorpora sistemas de controle avançados que mantêm a filosofia de sistema de dois cortes com lógica de atuação totalmente digital mas separada. As avaliações iniciais indicam que a frequência de danos do núcleo do ACR seria uma ordem de magnitude inferior às atuais unidades CANDU operando, refletindo aprendizagem operacional cumulativa de eventos como o vazamento de tubo de pressão de Pickering e os testes de desligamento Cernavodă.

Para as estações existentes, o caminho para o futuro envolve investimentos contínuos em pesquisa e desenvolvimento.Os parceiros Candu Energy e universitários estão explorando recombinadores autocatalíticos passivos para gerenciamento de hidrogênio, estratégias de isolamento sísmico aprimoradas para equipamentos relacionados à segurança e modelos digitais gêmeos que podem simular sequências complexas de acidentes em tempo real para treinamento de operadores. Cada nova demonstração de segurança – seja um teste de componentes em escala completa, uma broca de emergência multi-dia ou uma validação integrada do sistema – acrescenta outra camada de evidência empírica à filosofia de defesa em profundidade que protegeu as estações de CANTU através de bilhões de quilowatts-horas de operação. A indústria também está examinando o potencial de usar o sistema moderador como um caminho adicional de remoção de calor de decaimento durante acidentes graves, construindo a capacidade passiva de dissipador de calor demonstrada no estudo de ventilação filtrada de Darlington.

O registro de segurança da frota de CANDU não é resultado de uma única escolha inspirada de design, mas de um refinamento sustentado e baseado em evidências que abrange cinco décadas. Estudos de caso como Pickering, Point Lepreau, Cernavodă e Darlington fazem mais do que contar eventos passados; eles oferecem um guia prático para engenheiros, operadores e reguladores que se esforçam para manter os mais altos padrões de segurança nuclear. Ao tratar cada desafio operacional como uma oportunidade de aprendizagem e compartilhar essas lições abertamente, a comunidade de CANDU continua a demonstrar que a energia nuclear segura e confiável é alcançável e reprodutível em diversos ambientes regulatórios e condições operacionais. A próxima geração de plantas será ainda mais segura, com base em um conhecimento de difícil ganho que nenhum teste ou simulação pode substituir totalmente.