国际化大坝风险评估方法述评

[英国]　M.埃德尔斯顿

战略与规划

国际化大坝风险评估方法述评

[英国]M.埃德尔斯顿

摘要：风险评估结果报告的重要内容之一是通过对具体大坝风险的描述，判识大坝是否需要采取降低风险措施；而对于系列大坝而言，还需要提出措施实施的优先次序。对大坝风险评估结果的多种描述方法进行了调查；基于风险可容忍度概念，分析了这些描述方法与风险评估导则之间的联系；基于造价-效益分析，建立了潜在风险防范措施的复核判识；基于大坝风险现状，提出了一种可行的英国大坝风险分级方法。

关键词：大坝；风险评估；出险概率；个体风险；社会风险；风险降低措施；风险分级

英国环境署水库安全管理风险评估(RARSM)导则(2013年)将土石坝的风险评估工作划分为如下3个层次：

(1) 第1层次。引入基础性定性方法与技术，描述风险；

(2) 第2层次。采用基础性定量方法，辨识出险概率；

(3) 第3层次。引入精细性定量方法与风险不确定性分析方法。

RARSM导则列举了详细的风险评估方法及相应的支撑文件，旨在保证风险分析目标的圆满完成，并与风险评估结果的协调一致。基于可能出险概率的估算方法及相应的风险后果(以可能死亡人数表征)，人们对于可能出险模式与风险不确定性的认识将由第1层次至第3层次逐步深入。

风险评估自身具有不精确性与“指数”表述形式。只有当评估结果达成一致时，才能应用于不同大坝之间的风险比较与排序。虽然基于相对风险，也可以进行不同风险评估选项的决策和评估结果与颁布导则之间的对比(这对于有降低风险需求大坝的风险决策十分有益),但是这些导则决不能也不旨在用作“刚性”的决策准则，或者仅凭一个风险评估“指数”来判别一座大坝的“安全”与否。由于风险评估“指数”既不准确也不精确，加上“宽容”风险导则存在一定灵活性，因而风险论证的合理性对于推荐措施的复核尤显重要。

1核实风险评估结果

风险评估过程涉及严格的数据收集、严密的推理分析以及实施措施的复核等，这些均需要技巧和大量“直觉”思维，其中判识能力尤其重要。学者维克(2002年)提出了一种基于现状分析的概念性“沙漏模型”方法(图1)，将“直觉”思维过程分解为“诊断-分析-诠释”3个阶段。获得合理性风险评估结果的关键因素在于评估小组组员的实际经验，维克对此的解释是：一般观点认为解决岩土工程问题主要依靠推理和基于钻探、测试和分析的指导性规范。常常受此误导，“新手”容易在不考虑工程实际背景与意义的情况下僵化地分析错误问题，基于数据得出“数值”结果与标准规范对比。而“专家”则不采用推理解决问题，他们在推理之前已经有了解决方案，分析主要是为了在工程实际背景和意义下求证和判识解决方案。概括而言，“新手”始于数据终于“数值”，而专家则起于认知止于理解。

图1　现状分析“沙漏模型”

获得出险概率、将风险分析结果进行纯“数值化”处理、再与颁布的导则进行严格对比是一种“不良”的风险评估做法，它仅遵循了“沙漏模型”中“诊断”和“分析”阶段而缺失了“诠释”阶段，可能导致不必要控制措施的采用或者更重要措施的遗漏。因此，风险评估必须借助于“常识”和工程判断。挪威岩土技术研究院认为，进行判识主要依靠的是基于信息的认知，而信息应来源于理论认识、实践方法、测量监测和已往经验等；这些信息与认知是进行工程判识的基本“建筑材料”，它们十分明显且无处不在，但需要经过识别、组合和评估之后才能转换为判识；工程判识依赖于汇总所有信息而形成全景图，依此才能够评估出其中合理的与不合理的部分。

1.1诊断阶段

维克模型的诊断阶段起始于以下基本问题：

(1) 哪些状况可能导致大坝的不利运行？

(2) 在地质、设计和施工中，哪些环节可能让人产生“脆弱”联想？

(3) 已经或者应该开展哪些现场调查、实验室测试和计算分析？

(4) 现场调查和监测数据揭示出大坝与坝基的哪些物理特性受到影响？

(5) 已有信息数据是否一致和有效？

在此基础之上，辨识出大坝最可能的出险模式，开展第1层次的风险分析。一旦辨识风险得到认可，就可以立刻开展收集数据的深入调查与分析工作。

1.2分析阶段

分析阶段更多地涉及到第2和第3层次详细的定量分析。通过证据资料的收集、分类与处理，评估每一种出险模式关联事件发生的可能性；构建“事件树”模型，开展最佳和最劣“愿景”及敏感性分析(可能会使用到蒙特卡罗模拟方法)；辨识风险评估的不确定性，评价其对评估结果的影响。

1.3诠释阶段

诠释阶段通过“理性”检验，确保风险评估结果的合理性。必须在大坝地质、设计、施工、结构和运行等背景下，评述风险评估“数值”的争议性与协调性，辨识影响出险概率和评估结果合理性与重要性的关键因子及其不确定性。风险可容忍度的诠释涉及个体与社会因子、影响措施复核可信度的关键理由以及采取措施的形式等内容。当所采取的降低风险措施涉及到实体工程、运行限制和监测监视时，还需要基于比值失衡评价进行措施的造价-效益评估。

2英国大坝风险评估导则

在英国健康安全执委会(HSE)迈克尔·伦纳德论坛上，有学者提出：现在已经难以接受只给出决策而不作进一步解释的做法，更不能以事实为借口掩饰决策，而是越来越多地要求提供决策行为的合规性证明，以确保决策的活力与可追溯性。在有关英国出险大坝可接受风险导则实际应用的最新述评中，有学者总结了英国HSE发布的相关研究成果的应用，提出总体上可以从个体与社会2个方面评估风险。

2.1个体风险

2.1.1可容忍风险

HSE“减免风险保护居民”(R2P2)报告(2001年)提出了风险可容忍度的指导性意见：对于个体风险而言，人口(包括工程人员和公众)年死亡数百万分之一对应于非常低的风险水平，可作为“广泛可接受”风险区域与“可容忍”风险区域的分界指导线(图2)。

图2　HSE个体与社会风险判识标准

2.1.2不可容忍风险

HSE提出的“不可容忍”风险区域界线为相关公众人员(他们承担的风险受到社会的广泛关注)年死亡数万分之一。

2.1.3合适可行低风险(ALARP)

“不可容忍”与“可接受”之间存在着“可容忍”风险区域，该区域风险必须减小至“合适可行低风险”(ALARP)，其主要风险来源于居民准备容忍以期获取利益的行为活动，同时希望符合以下预期。

(1) 风险的特性与水平必须得到合适评估，评估结果已在控制措施决策中得到了正确应用，风险评估必须建立在最优科学证据或者建议(证据缺乏时)的基础之上；

(2) 居民区风险不宜过高而应该保持ALARP，这主要针对降低风险措施造价(费用、时间、困难等)与居民区风险之间存在明显比值失衡的情形；

(3) 必须进行周期性评价风险以确保ALARP，要确定是否需要引进新的或更进一步的控制措施，以将一些随时间推移而产生的新变化考虑进来，如关于风险的新认识，降低或消除风险的新技术的可用性等。

2.2社会风险

虽然人们越来越关注社会风险，但目前还没有一种普遍认可的社会风险可容忍度衡量方法。这并不意外，由于社会组成群体的价值观存在差异，因此他们对于社会风险可容忍度的衡量也就难以客观公正。有学者指出，社会风险的复杂性尤其表现在心理与政治领域，各派政党观点分歧较大难以真正相互理解；部分民众基于“数学”评价风险，而更多的普通民众对于风险评估争议只是漠不关心。

尽管如此，英国还是尝试性提出了社会风险判识标准，以应对“发生单一事件存在大量人口死亡风险时社会关注度急剧上升的情况。R2P2报告(2001年)第135段对HSE社会风险判识标准方法进行了如下描述：采用所谓f-N曲线，建立事件出险概率(f)与可能死亡人数(N)之间的关系，由此获得HSE社会风险判识方法(图3)。该方法提供了一种将人为事故影响曲线与自然灾害等价曲线(社会生活其中)之间进行比较的实用途径。虽然也存在缺陷，但在还没有其他办法情况下，如果使用适当仍不失为一种有效的手段。然而该方法仅适用于大型工业设施的社会风险判识，而不能应用于突发溃坝洪水、体育场馆踩踏事件等其他类型的社会风险判识。

图3　RARSM社会风险可容忍区域示意

在重大事故灾害防控(COMAH)ALARP决策导则中，HSE(2012年)采用了类似于个体风险可容忍度的风险制图方法(图2)，提出了风险综合指数RI(式中用R表示)概念，并应用于工业设施重大灾害风险评估。RI的定义是：

R=f(N)·Na

式中，f(N)为导致死亡人数N的事件出险概率百万分之一，cpm；a为常数，在进行COMAH风险评估时取值 1.4。以此确定，RI判识标准(RICOMAH)为2 000(“广泛可接受”风险)至500 000(“重大”风险)，同时给出了相应的可能死亡人数预估值。

应该指出的是，HSE目前仍遵循社会风险降低措施不强制实施的原则，建议短期内责任人应本着自愿精神，寻求低成本、较可行风险降低措施的实施；对于长期大规模降低风险措施，可以随着设施使用寿命期限的临近再着手实施，或者采用低成本的降低风险替代措施。

R2P2报告风险图中的“HSE参照点”采用的是单一事件造成50人及以上死亡人数时所对应的事故风险，如果相应估算的年出险概率大于5 000 a一遇，将视为“不可容忍”风险。基于f-N曲线和社会对造成大量人口死亡事故的“反感度”假定，可以采用多种外插值方法，获得对应于“HSE参照点”的其他死亡人数与出险概率临界值。为了确定R2P2判识标准中社会风险的“可容忍”界线，必须在f-N曲线上选取直线斜率，学者保尔和佛罗德(1998年)研究认为：大多数判识标准的做法是在双对数坐标f-N图上，选择直线斜率为-1或-2。一般认为斜率-1属于“中性风险”，此时重大事故风险权重与死亡人数N之间呈线性正比例关系且“幂次”又不至于过高(高“幂次”通常认为属于“偏重风险或多死亡数反感度”的定线方法)。目前英国和中国香港颁布的判识标准大多数采用斜率-1，因此RARSM在第2层次风险评估中也采用了这一定线方法，并以此定义HSE导则中的“广泛可接受”与“不可容忍”风险界线(图3)。

此外，在第1层次定性风险评估中，RARSM采用传统的风险矩阵对风险评估结果进行描述(表1)。基于平均死亡人数(ASLL)及其对经济活动、环境和文化遗产等的影响，针对洪水给居民造成的可能后果，提出了0～4风险级别的评估指导建议。

表1　RARSM第1层次方法风险描述

注：ALARP表示合适可行低风险。

3其他国家风险评估导则

美国垦务局(USBR)最佳实践导则(2012年)对英国、美国、加拿大、荷兰、中国香港和澳大利亚等国家或地区曾经采用过的个体与社会风险评估方法进行了述评。虽然总体上所有评估方法类似，但国家之间或内部存在某些变化。本文仅以美国和澳大利亚评估方法为例说明它们与英国方法之间的某些变化，这些变化涉及到有限资源节俭使用需求与个体或系列大坝公众安全维护之间的权衡与考量。

图4给出了USBR与美国陆军工程师兵团(USACE)风险导则之间的对比，两个导则非常类似，但表述用语各有侧重。USBR使用了诸如“增强复核”、“减弱复核”等用语以强调导则的指导性，同时在其“大坝安全公众保护导则”(2011年)中还特别强调指出：鉴于风险评估的“近似”特性，接近临界线下方和上方大坝的风险在本质上是一样的，两者风险降低措施“增强复核”程度几乎一样。USACE则使用了与英国HSE相同的“不可接受”与“可容忍”等术语，传递出更加的“规范性”立场，但在实际应用中也趋向于“指导性”导则而非“刚性”判识标准。

图4　USBR与USACE风险导则

图5　ANCOLD与新南威尔士州大坝安全导则

2003年10月，澳大利亚大坝国家委员会(ANCOLD)出台的风险评估导则规定：大坝安全由联邦州立法负责，联邦政府无权干预。自导则颁布以来，风险评估技术应用不断提升，澳大利亚部分联邦州在其大坝安全规定中同时采用了传统的和最新的风险评估技术。图5显示了ANCOLD风险评估方法及其新南威尔士州的改进。这些方法与美国USACE和 USBR导则类似，其中一项重要的变化是：相对于新建大坝，它们对于运行历史已知的现状大坝采取了更加宽松和容忍的判识标准。

新南威尔士州大坝个体风险判识标准与ANCOLD一样(现状大坝年出险概率为万分之一，新建大坝年出险概率为十万分之一)，但其“可接受”社会风险的判识标准与ANCOLD稍有差别。同时，无论个体风险还是社会风险，均要求大坝业主基于以下几个方面证明大坝符合ALARP原则。

(1) 安全升级代价(造价、时间、困难与难度等)与风险降低效果之间的比值失衡性；

(2) 风险水平与“可容忍”、“可忽略”风险界线之间的关系；

(3) 安全升级方案的造价-效益；

(4) 相关认可的良好运行实践；

(5) 大坝业主或赞助方与社会团体或股东之间协议中的有关社会关注问题。

4降低风险措施实施复核

对于所有不能满足以下可容忍度判识标准的风险“不可容忍”大坝，均必须考虑潜在的风险降低措施。

(1) 假设个体风险中大坝出险导致的人口年死亡概率大于万分之一，则大坝风险“不可容忍”，且不需要进一步复核；

(2) 假设大坝年出险概率处在f-N曲线社会风险上临界线的上方(图3)，则大坝属于社会风险“不可容忍”，但需要进行复核。

一旦所有风险“不可容忍”大坝完成修复工作，进一步的降低风险措施仍需要考虑ALARP原则。为了证明ALARP原则的合理性，需要对风险减免措施的可能比值失衡性进行评估。HSE(2004年)提出了一种风险降低措施(作为ALARP评估前置输入条件)比值失衡率的定量估算方法，其中比值失衡率表述为防止一例死亡的合理费用与具体风险降低措施(RRM)或修复的造价之比。这一方法也常被非正式地称为“引导图”方法(图6)。以估算出险概率8×10-5的大坝为例，本文考虑了以下若干方案选项。

图6　风险降低措施复核中的ALARP应用(基于HSE导则)

(1) 方案选项1。虽然风险降低幅度达到要求，但比值失衡费用过高；

(2) 方案选项2。在没有更低造价方案可选的条件下，可将出险概率移至比值失衡费用较高区域；

(3) 方案选项3。提供的风险效益可将风险降低至“广泛可接受”区域；

(4) 方案选项4。虽然没有将风险降至“广泛可接受”区域，但鉴于其他设施可能存在更大风险，暂缓降低风险投资可以接受；

(5) 方案选项5。风险有一定幅度的下降，但考虑到大坝剩余风险，方案难以接受。

一旦实施风险降低措施，出险概率将会减小，新风险水平将由剩余出险概率与下阶段降低风险措施比值失衡率确定，其结果是方案选项“箭头”末端发生上下垂向移动。风险降低措施复核的其他方面包括：

表2　英国大坝安全可能措施及其分类(尽可能减轻风险；尽可能减小风险)

表3　英国大坝安全可能措施及其分类(核心内容)

(1) 社会关注问题；

(2) 大坝现状风险总体水平；

(3) 是否符合良好运行实践；

(4) 出险历时；

(5) 完成降低风险时间表。

需要指出的是，某些机构(如加拿大BC水电公司)不进行“管涌”出险概率的定量评估，而只针对大坝安全决策所有影响因子中的某一个因子评估出险概率与风险。其理由是：不进行“管涌”风险定量评估并不会影响“正确决策”，真正可能出问题的决策方法是过去一直采用的仅依赖于定量风险与可容忍判识标准之间的比较，这种方法现已遭淘汰。

5辅助风险决策与优先排序

基于风险降低措施实施的紧迫性，美国许多大坝业主研发了大坝风险等级评定系统，澳大利亚部分联邦州也采用了类似方法。表2和表3给出了基于这类方法且符合RARSM导则的英国方法：①将风险评估确定的出险概率换算成1～6可能风险级别；②再将其与可能出险后果级别相结合评定风险等级。表4给出了3座大坝的风险等级评定，其风险等级与表2和表3中相关的风险分级方法是协调一致的。

表4　大坝安全风险等级评定实例

然而，虽然风险等级评定基于详细的风险定量评估，但是年出险概率和预期死亡人数并不精确，存在一定程度的不确定性，有待深入研究。有学者认为风险等级评定可信度是风险评估的重要组成部分，由此提出了下列风险可信度或不确定性的分级方法，所选用的可信度分级名称避免了与可能风险分级名称之间的混淆。

(1) 可信度良好。风险等级评定可信度高，即使增加信息数据也难以改变风险等级；

(2) 可信度较差。风险等级评定可信度差，增加信息数据极可能改变风险等级；

(3) 可信度中度。可信度在“良好”与“较差”之间。

如果可信度较低，通过更加详细的定量风险分析，将有助于厘清为提高评估可信度所需要补充的信息数据；如果风险较低而可信度较高，就没有必要再进行详细的定量风险分析复核工作。

基于评定的风险等级及其可信度，接下来就可以在一系列备选降低风险措施中确定实施措施。此后的工作重点将从详细风险定量评估方法转移至诸如需要采取何种措施、措施的紧迫性、增加信息数据是否改变措施需求以及措施实施时间表等问题。有学者认为还应该考虑以下措施：

(1) 不采取措施，继续正常运行；

(2) 开展深入探索与研究，更好地厘清风险，减小风险评估的不确定性，提高可信度；

(3) 进行措施修正，研究降低风险的替代措施。

第3项措施需要研究其财政预算和实施时间表，如果涉及到系列大坝，还应考虑措施实施的优先次序。

6结语

风险评估方法越来越成为现存老化大坝合理性和透明化评估的有效手段，然而方法的使用必须适当。有学者认为风险评估的合理应用应满足以下要求：

(1) 经常性评估，风险评估结果应表述为一种“价值”判识而非一个“数值”；

(2) 风险问题应得到恰当界定；

(3) 充分认识风险评估的特性及其局限性；

(4) 风险评估结果应用于“信息性”而非“命令性”决策，它只是影响决策的众多因子之一。

将大坝可能出险模式的思考过程视为风险评估的一个部分，更有利于厘清大坝的坚固与薄弱之所在。在比耶鲁姆论坛“所有决策的去向？”演讲中，有学者得出的结论是：即便在大坝造价-效益分析中已经考虑了出险概率，大坝仍应该以不出现风险为设计与建设的目标。既然知道了大坝的薄弱部位，就应该能够找到相应的判识办法，这并不依靠于新理论的获得，而更依赖于人们面向问题的良好工程判识能力。由于这些问题本质上不是“定量化”的，因而其解决办法也是“非数值化”的。大坝出险很少出自不正确或不合适的数值分析，而是因为对于土石坝基及其与大坝交界面等部位突出的风险问题给出了不恰当的判识(无论期望与否)，有时候这些问题在监测过程所表现出来的差异极其细微。

董耀华译

(编辑：朱晓红)

收稿日期：2016-01-11

文章编号：1006-0081(2016)04-0001-07

中图法分类号：TV512；X820.4

文献标志码：A

(译者简介：董耀华，男，长江水利委员会长江科学院，教授级高级工程师。)