崔弘毅編譯

（國家電力監(jiān)管委員會大壩安全監(jiān)察中心，浙江杭州310014）

1 簡介

1.1 大壩安全規(guī)章

2007年12月11日，隨著n°2077-1735號法令的頒布，法國關(guān)于水工建筑物的管理條例發(fā)生了改變，其在大壩和堤壩安全方面提出了新要求。根據(jù)各自特點，將水工建筑物分為4類，分別為A、B、C、D。對于大壩，考慮的因素為地面以上的壩高（H，單位為m）和水庫的庫容（V，單位為m3）。

之前提及的n°2077-1735號法令，和其他強制措施相比，要求業(yè)主為A、B類大壩提供安全報告，然后當局對該安全報告加以分析，決定該報告是否通過審批。若安全報告未能通過審批，當局有權(quán)索取其他信息。

表1 法國管理條例中對大壩的分類標準Table 1 Classification of dams in French regulation

1.2 安全報告的目的

安全報告的目的之一是表明已對某大壩可能遇見的所有風險都進行了識別和管理。必須對大壩失事的風險加以研究，例如在洪水事件或地震事件中發(fā)生失事，但所有事件（事故或巧合）必須與當前的運行有關(guān)。安全報告還應(yīng)提出安全措施和其他可能的措施以避免或限制事故發(fā)生，將風險降低到合理可行的最低水平（As Low As Reasonably Practicable,ALARP）。

2008年6月12日的部長令規(guī)定了安全報告的標準時間表和內(nèi)容，分為11項內(nèi)容：（1）安全報告的非技術(shù)性總結(jié)；（2）管理信息；（3）研究目的；（4）建筑物的功能分析和其所處環(huán)境；（5）對防止主要事故所采取的政策和對安全管理系統(tǒng)的表述；（6）潛在風險的識別和特性分析；（7）對自然風險的特性分析；（8）現(xiàn)場經(jīng)驗和反饋；（9）在發(fā)生概率、影響的強度和反應(yīng)動力、嚴重性方面對風險進行識別和特性分析；（10）降低風險；（11）制圖。

第3-7章給出了進行嚴重性、年概率評估和特性分析所需的數(shù)據(jù)。圖1顯示了風險評估研究的過程，識別出可能遇見的所有風險。

圖1 安全報告的結(jié)構(gòu)組成Fig.1 Structure of the safety report

介紹了法國國家工業(yè)環(huán)境和風險研究協(xié)會建立的評估方法（從風險評估階段到降低風險階段）來識別和量化所有事故，分為4部分：①風險分析；②后果評估；③概率評估；④風險接受準則和降低風險。

2 風險分析

2.1 總體框架

風險分析是風險評估的第一步。在法國新的管理規(guī)定中，業(yè)主必須識別所有可能發(fā)生在大壩上的主要事故情況，并且還需要提出采取的可以阻止其發(fā)生或可以限制其后果的安全措施。必須要考慮會導(dǎo)致大壩失事的情況，但不限于此：需識別出所有失事模式，包括泄空閥失事或溢流閘門破裂。要在對大壩特性認識的基礎(chǔ)上進行風險識別，包括對大壩環(huán)境的識別，其作為一個潛在外部威脅而存在。識別當然也要結(jié)合現(xiàn)場的經(jīng)驗。

法國的管理規(guī)定未對某種特定的風險評估方法做強制性要求。業(yè)主可以根據(jù)自己的便利，自由地選擇運用失效模式和效果分析、預(yù)危害分析或其他任何方法，只要其選擇是合理的，并能得出大壩失事模式和相關(guān)情況描述的詳盡明細表即可。

2.2 情景識別之法國國家工業(yè)環(huán)境和風險研究協(xié)會方法

風險評估由一專業(yè)工作小組提供支持。小組成員包括專家和運行人員，其對大壩和風險分析方法都有很好的認識。該工作組會填寫一個表格，表中每行都代表一種情景，見表2。

表2 用于情景識別的表例Table 2 Example of table used for scenarios identification

分析中，必須考慮所有的大壩使用模式，比如常規(guī)運行模式、維護、放空水庫或充水、汛期的運行等。上游大壩失事造成的洪水情況也需加以考慮。該表的總結(jié)即形成一個詳盡的事故明細表，包括其反應(yīng)動力和直接對大壩而來的估算洪流。

現(xiàn)在，該明細表可以簡化。例如，洪水事件可導(dǎo)致一種失事模式，其造成的影響不會比下游預(yù)期的大，因為洪水本身原因。如此一來，該失事模式就不作為主要事故考慮，因此，在選擇后，剩下的明細表為已識別的大壩面臨的所有主要事故以及相關(guān)的預(yù)估洪流和反應(yīng)動力。對其中一些，至少對潰壩，需要建模來獲取其后果數(shù)據(jù)。需對涉及流量較低的主要事故進行定性研究，無需建模。

為顯示業(yè)主對大壩風險的控制，對這些主要事故后果會造成的影響和它們的年發(fā)生概率進行綜合分析是必須的。

3 后果評估

法國國家工業(yè)環(huán)境和風險研究協(xié)會關(guān)于大壩主要事故的后果評估是基于對洪水波影響范圍和識別出的受洪水波影響人群范圍的疊加。

3.1 影響評價

主要事故后果的影響描述特征為局部反應(yīng)動力和強度。局部反應(yīng)動力是指洪水波首次影響發(fā)生到其達到最大流量的時間，可能是平緩的，也可能是突如其來的，關(guān)鍵看人口能否在影響發(fā)生后迅速疏散。

3.1.1 局部反應(yīng)動力

對每個受影響的居民，根據(jù)以下兩個參數(shù)對局部反應(yīng)動力進行評估：洪流速度和洪流深度，可得到水位上升速度。《法國防洪導(dǎo)則》中指出，當水深為0.5 m時，人在水中就不能自如地行動，并且以洪流流速0.5 m/s為分界線，若流速超過0.5 m/s，則人可能被水流攜帶的物品傷害或本人被水沖走。

若洪流局部流速和水流局部上升速度都在速度分界線以下，局部運動是平緩的，可認為人群疏散是可能的。若情況并非如此，則認為運動是突發(fā)的。若不能獲得速度數(shù)據(jù)，比如沒有建模，事故是靠定性研究，則在保守方法中，運動被認為是突發(fā)的。

3.1.2 局部強度

如表3所示，對每個居民，通過比較局部洪流和基準局部回流來評估強度水平。

若局部洪流數(shù)據(jù)未知，則根據(jù)大壩處的波浪流，采用保守方法。若該洪流低于直接作用于大壩的重現(xiàn)期10年的洪流，法國國家工業(yè)環(huán)境和風險研究協(xié)會則認為事故洪流波在下游會很快減弱，且會消納于河床中。若該洪流高于重現(xiàn)期10年的洪流時，則法國國家工業(yè)環(huán)境和風險研究協(xié)會認為該洪流在行進過程中會保持恒定，當洪流變成低于局部重現(xiàn)期10年的洪流時，則其行進過程終止。該洪流應(yīng)該消納在河床中，除一些關(guān)鍵點外（例如橋梁、公路等……），而這些地方的消納容量應(yīng)加以確認。應(yīng)特別注意的是，這些地方的洪流，應(yīng)該這樣考慮：其洪流是波浪流加上天然的河道洪流。

表3 法國國家工業(yè)環(huán)境和風險研究協(xié)會使用的強度水平Table 3 Intensity levels used by INERIS

3.1.3 分區(qū)

局部反應(yīng)動力和強度特性導(dǎo)致了影響地圖的分區(qū)：法國國家工業(yè)環(huán)境和風險研究協(xié)會根據(jù)使用來制定法國應(yīng)急預(yù)案的方法，定義了3類分區(qū)，具體見表4。

表4 根據(jù)強度和反應(yīng)動力水平的分區(qū)Table 4 Zoning based on intensity and kinetics levels

分區(qū)關(guān)系到每個人，因此地圖分區(qū)可由圖2所示。

圖2 簡化的影響分區(qū)地圖Fig.2 Simplified representation of a zoned effects map

3.2 受影響人口統(tǒng)計

一旦影響特性被確定，則必須確定受影響的人口，以評估嚴重性等級。法國國家工業(yè)環(huán)境和風險研究協(xié)會的方法是基于風險人口（Population At Risk,PAR）因子。

按照2016年水利部等9部門印發(fā)的《“十三五”實行最嚴格水資源管理制度考核工作實施方案》，增加了對重要水功能區(qū)污染物總量減排量的考核內(nèi)容。

根據(jù)波浪模擬圖，可以算出事故引發(fā)洪水波的受影響人口數(shù)量。管理規(guī)定未要求給出精確的數(shù)量，但要求計算網(wǎng)絡(luò)足夠精細，以對最大PAR得出良好的預(yù)估。統(tǒng)計可基于顯示了土地覆蓋地圖的Corine土地覆蓋數(shù)據(jù)庫。也可采用曾用于關(guān)鍵工業(yè)基礎(chǔ)設(shè)施的計算方法來完成，該計算方法出現(xiàn)在2010年5月10日發(fā)布的通告中“安全報告中的嚴重性等級評估所需要素”一章節(jié)，總結(jié)了適用于安全報告的方法原則、從源頭降低風險的辦法和防止技術(shù)風險的預(yù)案。例如，該方法推薦每戶人家的人口算2.5，推薦了整個建筑接納公眾的總?cè)萘康挠嬎惴椒ǖ取?/p>

一旦最大PAR確定下來，則事故的總體反應(yīng)動力可用來調(diào)整折減因子的使用。整個反應(yīng)動力分為兩類：事故前反應(yīng)動力和事故后反應(yīng)動力。事故前反應(yīng)動力是指事故前趨勢被發(fā)現(xiàn)到實際事故發(fā)生的時間。若事故前趨勢能被發(fā)現(xiàn)，因此事故預(yù)測能快速展開，在事故實際發(fā)生前就能完成人群疏散，則對最大PAR可使用折減系數(shù)。事故后反應(yīng)動力是指直接對受影響人群首次造成影響的波浪到達時間。對距離大壩足夠遠的人群，其需要用于疏散的時間比首次造成影響的波浪的到達時間短，則在這部分中，對最大PAR因子可使用折減系數(shù)。

但是，緊急疏散預(yù)案的評估并非易事，折減系數(shù)也需仔細評估。若評估不能完成，或因其間存在太多不確定因素而致使獲得的數(shù)據(jù)不可信時，在保守方法中，采用最大PAR是更安全的做法。

3.3 嚴重性等級

一旦分區(qū)和PAR已知，就可以應(yīng)用如圖5所示的標準對嚴重性等級進行評估。

表5 法國國家工業(yè)環(huán)境和風險研究協(xié)會使用的嚴重性等級評價標準（單位：風險人口）Table 5 Severity levels scale used by INERIS(unit:people ex?posed)

根據(jù)PAR，每個分區(qū)都有對應(yīng)的嚴重性等級（Severity Level,SL）。整個事故的嚴重性等級是每個分區(qū)嚴重性等級的最大值。因此，分區(qū)和PAR如圖3顯示的事故，其嚴重性等級為SL3。

圖3 簡化的分區(qū)和相關(guān)PAR示例Fig.3 Example of a simplified zoning and PAR associated

4 概率評估

風險分析通常會識別可能發(fā)生的中心事件（例如，消納損失）和其后果（危險的現(xiàn)象），但同時，起始的事件導(dǎo)致了這一系列事件的發(fā)生。為表示識別過程的結(jié)果，法國國家工業(yè)環(huán)境和風險研究協(xié)會使用領(lǐng)結(jié)圖。

圖4 領(lǐng)結(jié)圖示例Fig.4 Example of a bow-tie diagram

領(lǐng)結(jié)圖是簡化的故障樹和事件樹的綜合。領(lǐng)結(jié)圖的左邊是起始事件。起始事件可能是蓄水工序中的人為失誤、車輛撞擊事故造成的影響等等。這些起始肇因?qū)е铝酥行娘L險事件的發(fā)生，通常是造成消納損失。因此，這些中心事件會導(dǎo)致許多危險的現(xiàn)象。

在安全報告中，通過使用領(lǐng)結(jié)圖對起始事件、中心風險事件、防止和保護安全屏障及可能后果進行定性識別是一主要步驟，可對各種情景有一個概率性的量化。

要實現(xiàn)量化，在識別步驟完成后，需要對安全屏障防止預(yù)測情景的發(fā)生或限制其后果的能力進行評估。

4.1 安全屏障評估

屏障分析是表明風險控制的主要事件，因為屏障分析通常可證明安全系統(tǒng)滿足“合理可行的最低水平”的要求。確定了3類安全屏障：技術(shù)屏障、人為屏障和結(jié)合了技術(shù)和人為因素的屏障，如圖5所示。

圖5 法國國家工業(yè)環(huán)境和風險研究協(xié)會方法中建立的安全屏障類型圖Fig.5 Safety barrier typology as developed in the INERIS meth?odology

為了能在法國管理條例中加以考慮，安全屏障需滿足以下要求：①獨立性：安全屏障必須獨立于預(yù)測情景的肇因或獨立于情景本身；②有效性：在使用條件下，在單獨運行過程中或獨立于其他安全屏障運行過程中，能實現(xiàn)選擇時希望其發(fā)揮的安全功能；③響應(yīng)時間與預(yù)測情景反應(yīng)動力相協(xié)調(diào)；④可測試；⑤為保證一定時間內(nèi)保持較高的性能水平，要求對其進行定期維修。

若以上條件都滿足了，則在危險場景概率性量化過程中可考慮安全屏障因素，因為其可以降低給定場景的發(fā)生頻率。接下來要點是評估屏障失效的概率，以及屏障對事故發(fā)生頻率的影響。就某一特定屏障的失效概率，則基本沒有數(shù)據(jù)可尋。并且，可獲得的數(shù)據(jù)通常是平均失效率，并不適用于某特定設(shè)施、特定環(huán)境。

法國國家工業(yè)環(huán)境和風險研究協(xié)會的方法是基于“可信度水平”。通過標準NF EN 61508和NF EN 61511中定義的安全整體性水平的外推算法可計算主動屏障的風險降低因子。這些規(guī)范中描述的方法可延伸應(yīng)用于所有的主動屏障。關(guān)于被動屏障和人為屏障，通過文獻考證確定了最大可信水平。然后根據(jù)不同標準降低可信度水平。

所有確定的屏障評估完以后，再預(yù)估主要事故的發(fā)生頻率。

4.2 危險現(xiàn)象的概率

因業(yè)主可自由選擇安全報告中用于評估危險現(xiàn)象發(fā)生概率的方法，各方法間可能千差萬別。自2005年起，法國國家工業(yè)環(huán)境和風險研究協(xié)會基于領(lǐng)結(jié)圖，使用“從起始事件到危險現(xiàn)象”的量化評估。為預(yù)測起始事件的頻率，使用了兩種主要方法。

第一種是使用可靠性數(shù)據(jù)或通過使用可靠性數(shù)據(jù)得到的通用頻率。若失事與設(shè)備有關(guān)，這些數(shù)據(jù)是可以獲取的。若事故是因為人為失誤或組織失誤所致，則能獲得的數(shù)據(jù)非常有限。法國國家工業(yè)環(huán)境和風險研究協(xié)會使用的第二種方法是通過對工作團隊（其中包括設(shè)施的風險管理者、運行、維護的工作人員等）進行問卷調(diào)查來評估頻率。使用頻率分級，工作團隊對每一起始事件進行研究。表6為通常使用的頻率分級標準。

表6 法國國家工業(yè)環(huán)境和風險研究協(xié)會使用的頻率分級標準來量化起始事件Table 6 Frequency classes used by INERIS to quantify initiat?ing events

通過使用“與”門、“或”門，可將導(dǎo)致常見中心事件的起始事件頻率結(jié)合起來：

（1）若任一起始事件都能導(dǎo)致中心風險事件，則使用“或”門，此種情況中，中心事件的頻率分級等于該起始事件的最小頻率分級。

（2）若中心風險事件的發(fā)生要求多個起始事件的發(fā)生為前提（這些事件的頻率低于10-1），則使用“與”門。此種情況中，中心事件的頻率分級等于要求發(fā)生的起始事件的頻率分級之和。

（3）若存在防止屏障，則屏障的風險折減因子加到?jīng)Q定中間事件頻率分級的起因的頻率分級中。該方法其中一個更明顯的優(yōu)點是，它是由對安全、對可能發(fā)生的事故場景以及其肇因和防止其發(fā)生的屏障進行深度分析而來。因此，在概率計算中，明確考慮了大壩的特定方面（如連鎖效應(yīng)）和風險防止事宜。在這個框架中，可較好地促進運行人員在安全方面所做的工作，并且也定性和定量地論證了其有效性。根據(jù)頻率，事故的主要可能肇因被確定并分級，在此基礎(chǔ)上，運行人員明確未來防范系統(tǒng)的實施。

由于使用了頻率分級，該方法有少許限制性：該評估不以達到使用頻率數(shù)值得出的評估那樣的準確性為目標（該評估不如采用頻率值得出的評估準確）。當需要綜合不同危險現(xiàn)象的可能性時，這意味著不確定性增加。另外，有些起始事件很難評估，這主要是指一些稀有事件，工作團隊在他們的設(shè)備或類似設(shè)備上從未觀察到過。在這種情況下，可使用起始事件的通用數(shù)據(jù)和可靠性數(shù)據(jù)，但因為將通用數(shù)據(jù)用于某一特定工況，這同樣意味著不確定性。另一備選方法是評估這些事件的頻率可使用專家的判斷意見。

5 風險可接受準則和降低風險

一旦后果的嚴重性和每種事故的發(fā)生可能性被確定下來，該方法的最后一步即是評估被研究大壩的風險可接受性。

首先，根據(jù)嚴重性等級（5個水平檔次）和發(fā)生的年概率分級（分為5級），將每種事故在矩陣中放入合適位置。

表7 風險矩陣Table 7 Risk matrix

在將各種風險后果置于矩陣中合適的位置后，為支持降低風險方面的討論，大壩業(yè)主會明確可接受的規(guī)范準則。目前沒有強制的矩陣，業(yè)主通常會考慮另一法國通告（2010年5月10日發(fā)布）中指出的風險接受矩陣，該通告總結(jié)了適用于安全報告的方法原則、源頭處的降低風險的辦法和防止技術(shù)風險的預(yù)案，還明確了分級或額外補償措施。該矩陣示例如表8所示。

表8 風險接受性矩陣Table 8 Example of risk acceptability matrix

三個分級分別為：高風險區(qū)（H區(qū)）、中級風險區(qū)（M區(qū)）、低風險區(qū)（L區(qū)）。

這個分級與降低風險的優(yōu)先順序相對應(yīng)，首先應(yīng)降低最大的風險：

（1）高風險：出現(xiàn)在“高風險”分級中時，在源頭處采取額外措施來降低風險；

（2）中級風險：對那些成本與期望收益不相稱的措施，控制風險和實施可能性；

（3）低風險：若有措施可以控制風險，也沒必要進一步降低風險，但可以做出相關(guān)建議。

對位于“高風險”或“中級風險”的事故，業(yè)主需提出一系列建議來改進現(xiàn)有的安全屏障，必要時明確其他的措施。目標是降低概率和（或）嚴重性等級，并將事故轉(zhuǎn)移到較安全分區(qū)。剩余的風險水平將與風險接受準則相比較。為降低風險（損壞和（或）概率性）以及達到合理可行的最低水平，可以制訂其他的措施。

6 結(jié)語

根據(jù)法國的新管理條例，為完成大壩安全報告，法國國家工業(yè)環(huán)境和風險研究協(xié)會根據(jù)要求的所有準則，建立起來一套對應(yīng)的方法。該方法已在幾個案例研究中加以測試，其有效性已得到證實。但是，關(guān)于整體反應(yīng)動力，還有相關(guān)工作需要做，以幫助降低最大PAR和對受影響人群進行更好的模擬。這需明確有關(guān)流速和洪流深度的準則，并能評估警示和疏散人群所需的時間。此外，評估完成后，還需確定折減系數(shù)。另外，另一個領(lǐng)域的研究是起始事件的概率性評估，對自然風險和人為因素來講，評估仍十分復(fù)雜。

需要注意的是，法國的大壩管理條例相對較新，沒有定義嚴重性等級標準、概率性標準或風險接受矩陣等。為比較安全報告，將來應(yīng)對這些標準作出規(guī)定。期待該管理條例逐步完善，如此，法國國家工業(yè)環(huán)境和風險研究協(xié)會使用的方法在未來也可以得到采用?！?/p>

[1]Balouin T,Lahoz A,Bolvin C，F(xiàn)lauw Y.Risk assessment required in the framework of new French regulation on dams——Methodology developed by INERIS[C].Interna?tional Symposium on DAMS FOR A CHANGING WORLD.Tokyo,Japan,2012.