大坝安全风险管理的改进方法

［美国］ D.W.奥斯曼 等

对于众多的大坝，追加研究和修正措施通常不能在确认需要后就立即实施。这些措施必须与其他待定措施相比较，年度决策将决定哪些措施会获得最高优先权。15 a来，垦务局一直使用风险知情的方法进行优先排序和管理大坝安全风险。部分关键概念包括:减少对数值风险评估本身的依赖，更多倚重于支持该评估的大坝安全实例;认识到风险评估的不确定性和置信度是各种优先措施中的重要考虑因素;引进大坝安全优先次序等级系统来帮助确定大坝安全措施的优先顺序;对估计有极低的年度失事概率但失事后果很严重的大坝采用“最低合理可行”(ALARP)思路。

1 概述

垦务局从多年使用其《公共保护指南》的经验中学到了很多，吸取了很多经验教训并将其纳入了修订的指南中。15 a来，垦务局在是否需要采取降低大坝安全风险的措施的决策过程中并在确定这些措施的优先次序中一直采用了风险指南，发现其中有一些方面需要改进，如下文所示。

(1)垦务局先前颁布的指南对年度生命损失风险设定了一个临界值，超过该临界值就有正当理由采取“加急”措施。对于那些已经被认定为有加急风险的大坝来说，需要在90 d内制定应对这些问题的行动计划。这些“加急”类别的大坝仅仅依据风险评估数而忽略了与这些评估有关的不确定度和置信度。然而，风险评估的结果只是近似的，而且是由各风险评估员或者风险评估团队采用具有不同的数据和置信度的不同方法得出的。因此，使用风险评估来确定行动的紧迫性(采取加急行动的正当理由)，并且将其作为确定大坝安全度改进工作优先次序的首要依据并不被认为是最好的方法，在指南的2011年修订版中已经删除了有关加急处理的类别。

(2)正如后面要讨论的，这就导致在确定这些措施的紧急性和优先次序时，会采用大坝安全优先次序等级(DSPR)系统。

(3)并非所有坝都可通过风险知情的方法来进行评估，估计的失事概率很低，但失事相关后果十分严重的大坝便是其中的代表。对于估计在垦务局先前指南要求水平下的年度生命损失所需的那些微小概率事件，要花费超常的努力才能得出其荷载和失事概率。即使做了这种努力，其结果也具有高度不确定性。因此，正如下面所讨论的，处理这些大坝所采用的方法会有所不同。

(4)垦务局先前的年度生命损失指南以荷载类型(静力荷载，水文荷载，地震荷载)对比为基础。这使得大坝间的对比很困难，并且与其他机构解决此问题的方法不相同。

《公共保护指南》2011年修订版由3个独立的文件组成，分别为《大坝安全公共保护指南——支撑大坝安全决策的风险框架》、《制定垦务局的大坝安全公共保护指南所采用的基本原理》，以及《大坝安全公共保护指南应用实例》。

2 风险评估准则

垦务局使用2种风险测度来评估大坝安全风险。第1种风险测度是年度失事概率，用来履行因大坝失事(即使失事后果很小，大坝也不能经常失事)而曝光的机构的相关的公众信托责任。年度失事概率表示大坝在给定年里失事的可能性。垦务局将这种风险测度称为年度失事概率，并采用每年万分之一的概率作为所有会导致威胁生命安全的水库意外泄洪的失事模式所积累的概率的指南标准。当评估的平均值超过临界值水平时，通常采取措施来降低或更好地深入了解这些风险的正当理由就增强，低于这一临界水平时采取措施来降低或者更好地深入了解这些风险的正当理由就减弱。

第2个风险测度为由于大坝失事而可能造成多人伤亡的年度生命损失。年度生命损失为年度失事概率和与大坝失事有关的生命损失的估算值的乘积。随着失事后果(生命损失)规模的增大，社会团体越来越排斥这些危害。垦务局将此类风险定义为年度生命损失，并且用每年死亡率为0.001的标准来强调此种风险测度。当评估的平均值超过每年死亡率0.001的标准时，通常采取措施来降低或者进一步深入了解这些风险的正当理由就增大，低于准则值时通常采取措施来降低或更好的深入了解这些风险的正当理由就减少。

3 后果考虑

为评估风险起见，垦务局将潜在的生命损失看作为大坝失事的主要后果。尽管经济损失后果没有包含在垦务局的大坝安全风险评估指南中，但在决策程序中可能会考虑这些后果。大坝失事既有直接后果，也有不能直接用金钱来衡量的间接后果。这些后果是由溃坝后的洪水和水库损失对环境、文化及历史资源的影响而产生的。在大坝安全评估时通常没有考虑这些类型的后果，但是在决策过程中它们可能会作为重要的考虑因素。

4 指南与标准

该指南的意图是赋予现场具体因素适当的重要性，并且允许决策者们在选择实施措施的过程中有回旋的余地。《大坝安全公共保护指南》为该指南提供了更进一步的理论基础。由于风险评估的近似性，恰好低于该直线的风险与恰好高于该直线的风险在本质上是相同的。因此风险评估标绘恰好低于该直线时，其需采取措施的正当理由与风险评估标绘恰好高于此直线需采取相关措施的正当理由强弱程度几乎相同。当风险接近该指南值，且在风险评估中置信度不高时，采取谨慎的行动过程可能需要收集额外的数据或者进行额外的分析研究来更好地界定该风险。接下来将讨论大坝的安全措施以及它们的优先次序。

5 大坝安全优先次序等级(DSPR)

垦务局分析和描绘风险的指南被用来帮助指导采取的措施是否具有正当理由，这些指南没有规定这些措施的优先性或者紧迫性。作为一种通用规定，随着年度失事概率和年度生命损失的增加，采取相关措施的紧迫性和正当性也在增加。垦务局力图通过已经建立起来的方法和审查来研发一致性风险评估。然而，风险评估是由多种数据源发展而来的，虽然一致性是一个目标，但在评估中并没有预料到或获得完全的一致性。因此，风险数本身可能不是确定大坝安全措施优先次序的最好方法。

为了帮助确定风险管理活动的优先次序和制定风险管理活动的紧迫性，垦务局采用了一种大坝安全优先性等级评定系统来协助决策。一座大坝的分类在时间上是动态的，且随着工程特性的改进或者可获得的影响荷载、年度失事概率或失事后果等更加精确的信息而变化。

该DSPR系统提出了不同的紧急水平和相应的措施。下面的DSPR类型包括了与风险水平相关的主题词以及用于协助规定DSPR的置信度。

5.1 DSPR1(立即优先级)

这类DSPR用于年度生命损失或者年度失事概率极高且置信度高的事例。对正在发生的主动(active)失事模式的设施或者当失事的可能性被认定为极高的设施规定为DSPR1类将会很恰当。采取立即降低风险的临时措施加上随后长期的降低风险的措施将比较恰当。

5.2 DSPR2(紧迫优先级)

该类DSPR用于年度生命损失或年度失事概率被评定为很高且置信度也很高的案例，或者年度生命损失与年度失事概率被猜测为很高至极高但置信度为低至中等的案例。在前一个案例中，实施临时的和长期的降低风险的措施比较合适。在后一个案例中，及时确认风险并实施降低风险的临时措施比较合理。DSPR1类与DSPR2类的主要差别是DSPR1类特别表明了正处于紧急状况，需要立即采取措施，因为此时大坝有可能即将失事。DSPR2类设施具有很高的失事风险或失事的可能性，但没有处于时刻会发生危险的境地。

5.3 DSPR3(中度至高度优先级)

该类DSPR用于年度生命损失风险或年度失事概率被评估为中度至高度(接近、一般高于指南的值)且置信度为中度至高度的案例。对于置信度高的案例，实施降低风险的长期措施比较合适。对于置信度为中等的案例，一旦他们可以被安排在其他优先级的计划中就对风险进行确认比较合理。采用合理审慎的临时措施也比较恰当。DSPR3类规定表示该设施有潜在的大坝安全缺陷，其失事的风险或可能性相当大，有正当理由采取措施来更好地确认或降低风险。

下面的条款可以被用来帮助确定该类大坝中所有大坝的相对优先等级:

(1)年度失事概率和年度生命损失都为中度至高度的案例的优先等级通常比只有一个指标为高度的案例的要高。

(2)年度生命损失高或年度失事概率高且由单个潜在失事模式驱使的案例的优先等级通常比由多个失事模式导致的风险积累而达到的中度至高度风险水平的案例的要高。

(3)由正常运行条件下显现的潜在失事模式产生的风险案例的优先等级比主要由更遥远的水文或地震荷载产生的风险案例的要高。

5.4 DSPR4(低度至中度优先级)

该类DSPR包括年度生命损失和年度失事概率被评估为低(典型地，不总是低于指南的值)，但置信度为低至中等，以至于收集的补充信息很可能将将该评估值移至降低风险的正当理由需增强的区域的案例。此外，这类DSPR还包括评估的风险和失事概率为中等至高，但置信度低以至于增加补充信息可能会降低该风险的设施。DSPR4类设施可能会有“潜在”的担心，但这些问题通常并不急需采取相关措施。可能建议进行补充研究来确认此风险，而且在时间和预算允许的情况下应该安排这样做。可以预料，在绝大多数情况下，这些工作可以推迟至大坝的下一次综合审查之后。

5.5 DSPR5(低度优先级)

该类DSPR包括年度生命损失和年度失事概率被评估为低至很低且置信度高以至于估计值不太可能随补充的调查或研究而改变。大坝正常安全风险管理活动(包括监测)、运行、维护还将继续。

6 DSPR系统的用法

垦务局可用于解决大坝安全问题的资源有限。确认进一步的措施是至关重要的，但确认其优先次序或与这些措施相关的时间框架也很重要。启动各种应对风险的措施的优先次序部分取决于可利用的资源和遍及垦务局的大坝的风险。DSPR系统的意图是在该计划中有限的资源内最大限度地降低遍及整个垦务局大坝的风险，同时保证没有大坝在短期内表现出不合理的高风险。

DSPR系统形成了优先排序的初步基础，之后优先次序可能会因为其他原因而调整。最后，必须为单座大坝推荐的DSPR类别提供一个案例并作为风险分析和风险评估工作的一部分。在每种DSPR类别中考虑优先级排序时，假设年度失事概率和年度生命损失风险的权重是一样的。在每种DSPR类别及其子类中，其他各项指标也都是平等的，真实的数值可以被用来设定优先级。然而，风险不是确定优先级所使用的唯一的一项数据，因为其他数据和独特机遇也会影响优先级的次序。其他因素可能包括(但不限于)风险估计值中的置信度、引起该风险的潜在失事模式的数量、荷载条件的类型和采取补充措施来降低风险或更好地确定该风险的估计费用。

7 大坝安全措施及其优先级

大坝安全措施的最终目标是降低大坝下游公众的风险。在风险估计值置信度低的情况下，潜在的措施(如果有的话)应该集中在增加置信度方面。对于风险估计值高且置信度也高的情况，措施应该集中在降低这些风险方面。图1举例说明了可能的措施如何导致在风险评估中增加置信度的一般过程。一旦风险被评估且考虑了风险水平，在给出风险描述的情况下，技术团队将推荐合适的措施，根据风险后果有6种能得到支持的可能措施。

(1)估计的风险处在降低或更好了解此风险的正当理由减弱的区域，且其置信度高以至于在当前认为不必要采取进一步的措施或研究。

(2)估计的风险处在降低或更好了解此风险的正当理由减弱的区域，但其置信度低且存在这样的可能，即补充信息可以将置信度以及估计的风险提高到降低风险的措施可能是合理的程度。提出合理的建议来更好地了解潜在的失事模式并使风险评估更精细。

(3)估计的风险处于降低或者更好地了解该风险的正当理由增加的区域，但其置信度低且存在补充信息可以提高置信度的潜力。推荐了附加措施。理想的情况是，这将会得出更精确的风险评估结果，这样结果可能会增加、降低或维持原水平。

(4)估计的风险处于降低或更好了解此风险的正当理由减弱的区域，其置信度高，但尽管如此，还是推荐了费用很低的合理且审慎的措施。

(5)估计的风险处于降低或更好了解该风险的正当理由增强的区域，其置信度高，所以在开展矫正措施研究和可能会实施降低风险的临时方案之前没有必要进行进一步的研究。

(6)估计的风险处于概率极低的区域，且失事后果严重以至于满足ALARP标准，继续对风险和可能减缓风险的选择方案进行深入研究。

每个可能的措施需要就以下2个主要问题来创建大坝安全案例:

(1)技术团队必须说服决策者们，使其认识到这些降低风险的措施是合理的(或者不合理)。

(2)必须为风险估计值的置信度，以及为补充的勘测、研究或分析是否有潜力改变所察觉的风险，使其归入不同的类型创建一个案例。正是该案例的基本原理和结构框架有助于使决策者们确信得出的风险数以及推荐的措施是否合理。

8 大坝安全案例

垦务局从实施风险分析的初始阶段开始就认识到大坝分析可利用的程序和数据(虽然是定量的)没有提供精确的数值结果。因此，仅仅依靠数值估计值与硬线标准(有时称为基于风险的评估)相比较是不合理的。决策通常比仅仅使用风险分析的结果的描述更加复杂。该机构已经选择使用一种更加“风险知情”的方法，其中包括了补充信息来支持要采取所提出的改进措施(或不采取措施)案例。

图1 风险、置信度和潜在措施

尽管在风险分析期间作出了很多努力以获取高质量的结果，但风险估计值本身只不过是指标。如果以一致的方式达到风险估计值，那么它们在计划管理中会非常有用，因为它们将允许在不同设施间进行相互比较和排序，强调了风险在风险评估指南中的地位。垦务局的风险评估指南的意图并不是把它当做死板的决策标准，且仅依据一个风险估计值来判明某项设施是否安全。由于这些风险数值仅仅是风险的近似测度，且风险指南本身并不是死板的，因此为了证明风险评估值和推荐的措施是正确的，附加的论证必不可少。创建大坝安全案例的意图是以正式的并有条不紊的方式提出一种基本原理以说服决策者们采取认真负责的措施(或者不采取任何措施)。

大坝安全案例是论据的一个逻辑组合，用来主张按规定的时间采取或不采取与安全相关的附加措施是合理的这种立场。这些论据将关于以下3个基本风险组成部分的关键证据串连在一起:荷载概率、响应概率和后果。有必要使决策者们相信大坝现有的状况和其承受未来荷载的能力、风险估计值和推荐的措施都是相互连贯的。由于每次索赔中的不确定性是固有的，这些论据也应该强调对于立足于现有证据基础上作出的结论来说置信度是否足够高。

9 低概率的严重失事事件

对于决策者和风险评估员来说，作出有关久远的将来荷载条件(或失事概率)且失事后果严重情况下的建筑物失事的决策都很困难。将地震和水文风险推算至久远的未来区域的费用很高，且得出的荷载的基本依据也有很高的不确定性。预测每年发生概率小于百万分之一的事件或失事概率预计变得很难站住脚，因而不确定性成为考虑潜在决策的主要因素。

有可能造成重大灾难的建筑物的存在表明，由建筑带来的风险和从其获得的利益之间的权衡应该被论证为具有高度的辩护力。然而，当前论证很低水平的失事概率(每年发生概率小于百万分之一)的专业能力有限，这并不意味着应该忽视这些风险或不应该做出努力在这些案例中获得可能的最优信息。另外，也应权衡补救措施的费用与获得的风险降低量之间的关系。应该考虑ALARP原则并将其与建筑带来的残留风险进行权衡。在考虑建筑物的更多定性因素以及其带来的危害后，决策策略经常会发生改变。当应该考虑ALARP时可能提出以下问题:

(1)为描述风险所做的一切均合理吗?

(2)不确定性能否被表征和解释?

(3)该建筑物对特定参数或特定部件的性能是否敏感?

(4)该建筑物是否有足够且稳固的防护措施，或者它是否只依靠单个部件来保证整个结构的完整性?

(5)进一步降低风险是否经济可行?

(6)是否有应该采取的合理谨慎的措施?

(7)垦务局能否负有责任地运行一项具有风险且风险情况已得到了解和描绘的设施?

10 结语

垦务局进行正式的大坝安全风险分析已经超过15 a，风险分析、风险评估、风险管理是垦务局大坝安全决策过程中的重要组成部分。垦务局已经发现定量的风险分析，若以一种一致的综合方法加以应用，就可使风险识别变得容易，提高决策质量，有助于确定大坝安全措施的优先次序，花费最少资金最大限度地降低公众风险。尽管如此，认识到对垦务局公众保护指南所作的一些改进对继续有效管理垦务局清单上高危害大坝非常有必要。

相对于先前的指南(2003版)，对3个主要领域作了重大改动:增加大坝安全优先等级(DSPR)来帮助确定大坝处理措施的优先次序;与严格依靠数值风险评估来进行有关大坝安全的决策和确定大坝安全措施的优先次序相反，其强调关键因素和证明风险评估合理的论据;为失事概率低且失事后果严重的大坝增加了需特别考虑的因素。

修订的指南已经实施了大约2 a，对大坝安全决策的积极影响是有利的，特别是在强调需要为大坝安全措施创建案例，以及在资源有限的条件下需要通过利用大坝安全优先等级(DSPR)系统确定大坝安全工程的优先次序的情况下更是如此。