美國(guó)·Patrick J.Regan

（Federal Energy Regulatory Commission-Division of Dam Safety and Inspections）

0 前言

“黑天鵝”一詞意為之前從未遭遇過(guò)的稀有事件，因此也無(wú)法預(yù)見(jiàn)到?！巴昝里L(fēng)暴”一詞意為由其他極端事件的組合而引發(fā)的極端事件。這兩個(gè)詞已由相關(guān)書(shū)籍介紹給了大眾?？偟膩?lái)說(shuō)，它們描述的是與認(rèn)知不確定性相關(guān)的“黑天鵝”稀有事件和與偶然不確定性相關(guān)的“完美風(fēng)暴”事件。在某些案例中，這兩個(gè)名詞被作為解釋失事的借口，聲稱失事模式是不可知曉的。事實(shí)上，更多時(shí)候，這只是工程技術(shù)欠佳和缺乏想象力的擋箭牌，這在《911調(diào)查報(bào)告》中得到了再一次證實(shí)。與黑天鵝事件形成對(duì)比，《911調(diào)查報(bào)告》中的結(jié)論說(shuō)到：“我們相信911恐怖襲擊事件反映了四種失?。合胂罅Α⒄?、能力和管理”。

對(duì)于人們?yōu)槭裁唇?jīng)常不考慮各種系統(tǒng)失事模式，伊麗莎白·佩特-康奈爾教授持有不同的看法：“也可能存在毀滅性的‘不完美風(fēng)暴’，它并非是涉及其中的所有因素的最壞情況的組合，但同樣也具有毀滅性。這里的關(guān)鍵是，這些因素沒(méi)被預(yù)見(jiàn)到，因?yàn)樗鼈兊慕Y(jié)合看上去真的太稀有，從而不足以引起重視”。

要應(yīng)對(duì)“黑天鵝”事件和“完美風(fēng)暴”事件（或“不完美風(fēng)暴”事件），有兩種選擇：被動(dòng)和主動(dòng)。被動(dòng)方法是指之前什么都不做，直到有重大的統(tǒng)計(jì)數(shù)據(jù)證實(shí)有必要（或監(jiān)管者要求）采取行動(dòng)。主動(dòng)方法則是識(shí)別系統(tǒng)弱點(diǎn)、評(píng)估失事的概率和根據(jù)優(yōu)先順序采取主動(dòng)措施。職業(yè)道德會(huì)引導(dǎo)人們采用主動(dòng)的方法。

1 目前的實(shí)踐現(xiàn)狀

1.1 基于標(biāo)準(zhǔn)的決策

以標(biāo)準(zhǔn)為依據(jù)的大壩安全方案通常是提出某些特定的荷載工況和必要的安全因子，通過(guò)將這些工況和因子進(jìn)行對(duì)比，來(lái)衡量分析結(jié)果。標(biāo)準(zhǔn)經(jīng)過(guò)了多年發(fā)展，已包含了有利性狀并剔除了不利性狀。典型的以標(biāo)準(zhǔn)為依據(jù)的決策在許多州和聯(lián)邦的大壩安全導(dǎo)則中都有充分體現(xiàn)，例如許多章節(jié)是關(guān)于確定可能最大洪水（Probable Maximum Flood,PMF）、選擇入流設(shè)計(jì)洪水（Inflow Design Flood,IDF）、分析混凝土重力壩、土石壩和拱壩在三種荷載工況（正常工況、洪水工況和地震工況）下與規(guī)定安全因子的對(duì)比等。在基于標(biāo)準(zhǔn)的方案之外加上潛在潰壩模式分析（Potential Failure Modes Analy?sis,PFMA），就能開(kāi)發(fā)可導(dǎo)致失事的事件的線性鏈。在許多案例中，潛在潰壩模式分析并不會(huì)涉及已有標(biāo)準(zhǔn)包含事件范圍之外的事件，如果它們涉及到處理“非標(biāo)準(zhǔn)中”的失事模式，通常會(huì)留給參與人員，讓其訓(xùn)練他們自己關(guān)于失事模式臨界點(diǎn)的判斷。

1.2 風(fēng)險(xiǎn)確定的決策

通過(guò)估算某一組成部分失事的概率并結(jié)合該組成部分失事事件中的潛在后果信息，以風(fēng)險(xiǎn)信息為依據(jù)所做的決策延展了基于標(biāo)準(zhǔn)的方法。風(fēng)險(xiǎn)確定過(guò)程同樣也改變了衡量大壩安全的尺度。相比于簡(jiǎn)單地將某一分析結(jié)果與規(guī)定的標(biāo)準(zhǔn)相比較，風(fēng)險(xiǎn)確定的過(guò)程則嘗試評(píng)估計(jì)算所得風(fēng)險(xiǎn)和社會(huì)風(fēng)險(xiǎn)容忍度的對(duì)比。社會(huì)風(fēng)險(xiǎn)容忍度中包含的概念是：正在積極地對(duì)風(fēng)險(xiǎn)進(jìn)行管理并將風(fēng)險(xiǎn)降低到了合理可行的最低標(biāo)準(zhǔn)。但是，大壩安全團(tuán)體通常所用的風(fēng)險(xiǎn)確定方法是線性的，沒(méi)有考慮系統(tǒng)失事模式。

1.3 討論

凱倫·馬雷等人稱：“要確定一座電站是否達(dá)到了可接受的安全程度，不可能僅靠檢查電站中一個(gè)單一的閥門來(lái)實(shí)現(xiàn)?！边@或許聽(tīng)上去是顯而易見(jiàn)的，但當(dāng)前的許多大壩安全決策制定過(guò)程并沒(méi)有明顯的不一樣。基于標(biāo)準(zhǔn)的決策制定過(guò)程對(duì)某些特定的組成部分進(jìn)行分析，比如分析作為一個(gè)整體的壩體，來(lái)確定其在各種荷載工況下是否滿足應(yīng)用標(biāo)準(zhǔn)，比如對(duì)溢洪道進(jìn)行分析，來(lái)確定它是否能安全排出設(shè)定的入庫(kù)設(shè)計(jì)洪水。風(fēng)險(xiǎn)確定過(guò)程除了其過(guò)程中會(huì)評(píng)估失事發(fā)生的概率，而不是簡(jiǎn)單地將某一分析結(jié)果與某一特定洪水標(biāo)準(zhǔn)進(jìn)行對(duì)比外，其做的是本質(zhì)上相同的事情。風(fēng)險(xiǎn)確定過(guò)程還包括在評(píng)估設(shè)計(jì)洪水造成的風(fēng)險(xiǎn)是否在可容忍范圍內(nèi)時(shí)進(jìn)行后果評(píng)估。這兩種情況中，本質(zhì)上都是在試圖通過(guò)檢查大壩的某些組成部分來(lái)確定大壩的安全，一次檢查一個(gè)組成部分，各組成部分分開(kāi)進(jìn)行。

2 作為系統(tǒng)的大壩

大壩不是僅包含其本身的單一實(shí)體，而是一個(gè)包含了自然和人造部分、單元和子系統(tǒng)的大系統(tǒng)。“部分”可被認(rèn)為是一個(gè)單一的部件，比如閘門啟閉機(jī)?！皢卧笔怯稍S多功能相關(guān)的部分組成的組合，比如閘門提升機(jī)構(gòu)，包括了電動(dòng)機(jī)、齒輪箱和起重鏈條?！白酉到y(tǒng)”則是單元的組合，比如溢洪道，包括了閘門和其完整的提升和控制系統(tǒng)、溢洪道陡槽和消力池。大壩系統(tǒng)不僅包括人們通常與某座大壩聯(lián)系起來(lái)的所有子系統(tǒng)，還包括壩基、壩肩、水庫(kù)、水庫(kù)邊緣和運(yùn)行機(jī)構(gòu)，同樣還可以包括發(fā)電廠房以及所有與發(fā)電廠房相關(guān)的子系統(tǒng)。更大規(guī)模上來(lái)講，大壩可以是更大的系統(tǒng)中的一個(gè)子系統(tǒng)，這個(gè)更大的系統(tǒng)可以是一個(gè)建有多個(gè)工程項(xiàng)目的流域，這些工程項(xiàng)目歸一個(gè)實(shí)體單位或多個(gè)實(shí)體單位所有，也可以是整個(gè)地區(qū)的電力網(wǎng)。

大壩失事和事故很少是由某種單一的、很容易識(shí)別的原因引起，在之前討論的案例歷史中，失事通常是多種作用的結(jié)果，這些作用以未預(yù)見(jiàn)到的方式結(jié)合在一起，最終形成了不可控制地泄放水流的必要條件。要有效地管理大壩安全風(fēng)險(xiǎn)，必須意識(shí)到以下兩點(diǎn)：（1）大壩是系統(tǒng)，而不是各個(gè)組成部分的簡(jiǎn)單集合；（2）單個(gè)組成部分和子系統(tǒng)之間的相互作用如何對(duì)大壩的風(fēng)險(xiǎn)造成巨大影響。

2.1 大壩的系統(tǒng)失事

對(duì)幾個(gè)關(guān)鍵大壩的失事和安全相關(guān)事故進(jìn)行深入的研究，結(jié)果表明，大部分失事和事故都不是由某種單一的、容易分析的、某組成部分的失事而引起，而是各個(gè)組成部分和子系統(tǒng)間相互作用的結(jié)果。南?？耍⊿outh Fork）、湯溯（Taum Sauk）、諾皮科斯基（Noppikoski）大壩的失事以及薩揚(yáng)-舒申斯克（Sayano-Shushenskya）和克爾克霍夫（Kerckhoff）水電站發(fā)生的事故都是失事之前未意識(shí)到的系統(tǒng)因素和非線性相互作用的結(jié)果。由于失事之前未意識(shí)到引起事故的這些因素，并且通常未使用基于標(biāo)準(zhǔn)的分析或風(fēng)險(xiǎn)確定方法，因此，可以將這些因素當(dāng)成“黑天鵝”，并聲稱沒(méi)辦法提前知道或找到其他方法來(lái)評(píng)估大壩的安全、幫助識(shí)別系統(tǒng)失事模式。

對(duì)美國(guó)湯溯大壩、瑞典諾皮科斯基大壩發(fā)生的失事和對(duì)美國(guó)克爾克霍夫大壩、俄羅斯薩揚(yáng)-舒申斯克水電站的發(fā)電廠房發(fā)生的事故進(jìn)行檢查，檢查結(jié)果都強(qiáng)調(diào)了將大壩作為系統(tǒng)進(jìn)行檢查的必要。分析顯示，復(fù)雜的相互作用、依賴關(guān)系和性態(tài)狀況會(huì)以不可預(yù)知的方式互相作用，最終釀成事故，甚至引起失事。下面著重討論諾皮科斯基大壩發(fā)生的事故。

諾皮科斯基大壩是一分區(qū)土石壩，壩高約20 m，位于瑞典中部的?re?lven河上。泄水建筑物包括連接到發(fā)電廠房引水隧洞的導(dǎo)流隧洞。在兩條隧洞的交叉口有一鉸接鋼閘門，用以封鎖引水隧洞。需要開(kāi)啟該閘門來(lái)利用引水隧洞時(shí)，兩條隧洞都要求排空。該泄水建筑物的泄流能力約60 m3/s。

諾皮科斯基大壩溢洪道有兩個(gè)出口，在最高水位時(shí)，每個(gè)出口的泄流量為70 m3/s。溢洪道出口由4扇疊梁鋼閘門關(guān)閉，其中三扇高為0.8 m，另外一扇高1.3 m。疊梁鋼閘門采用傳統(tǒng)的起重機(jī)啟閉，其電動(dòng)機(jī)和機(jī)架位于一個(gè)臺(tái)車上，該臺(tái)車被移動(dòng)到疊梁鋼閘門需要上下升降的出口處。

諾皮科斯基水電站以及上游一個(gè)水電站都由下游的富路達(dá)水電站（Furudal Plant）遠(yuǎn)程操作，富路達(dá)水電站位于下游約50 km處。諾皮科斯基水電站內(nèi)、電站周圍以及上游電站都沒(méi)有日常運(yùn)行人員，每周的某幾天或在需要的時(shí)候，才會(huì)有運(yùn)行人員造訪這些電站。

上游電站的溢洪道閘門，其泄流能力為95 m3/s。1985年9月初，該電站溢洪道閘門歷史上第一次完全打開(kāi)，并且，諾皮科斯基大壩兩條溢洪道的所有疊梁門也都被移開(kāi)。9月5日，星期四，由于來(lái)水量逐漸減少，溢洪道的疊梁門被重新放回了左邊的溢洪道，在右邊的溢洪道放回了較矮的疊梁門。星期五早上，水庫(kù)水位降到了最高水位下30 cm。電站人員意識(shí)到未來(lái)將有更多降雨量，所以他們沒(méi)有將所有疊梁門都放回右邊壩段的溢洪道中。

星期五下午，一名運(yùn)行人員造訪了各個(gè)電站，增加了上游電站的泄流量，并決定不再另外開(kāi)啟諾皮科斯基水電站的溢洪道，但電站右側(cè)溢洪道的疊梁門應(yīng)隨時(shí)做好開(kāi)啟的準(zhǔn)備。此時(shí)，左側(cè)溢洪道仍然由疊梁門封閉著。

本格特·斯科格先生是業(yè)主單位的一名工程師。當(dāng)天晚上，他前往位于諾皮科斯基水電站東部的夏季別墅。大約晚上8點(diǎn)，他遭遇了“最壞情況的傾盆大雨”，他立即用無(wú)線電警示了電站管理人員。電站管理人員告訴他，一名運(yùn)行人員已經(jīng)在前往諾皮科斯基水電站的路途中。斯科格先生之后一直與該名運(yùn)行人員保持著無(wú)線電通訊。該名運(yùn)行人員一到達(dá)富路達(dá)，就發(fā)現(xiàn)溪流切斷了通往諾皮科斯基水電站的常規(guī)道路。由于需要從其他線路繞行，正常50 km的路程現(xiàn)在增加到了90 km。

在開(kāi)車前往諾皮科斯基大壩的途中，該名運(yùn)行人員被告知諾皮科斯基大壩的水位已達(dá)到了最高水位。若水位再上升5 cm，右側(cè)疊梁門則會(huì)自動(dòng)提升。當(dāng)運(yùn)行人員到達(dá)諾皮科斯基大壩時(shí)，聯(lián)接好的疊梁門正在往上提升，但之后不久就被卡停在了導(dǎo)軌上。之前也曾發(fā)生過(guò)類似情況，但大家認(rèn)為已經(jīng)“解決”好了。該運(yùn)行人員無(wú)法將疊梁門提起，于是給一名操作工程師打電話，確定該操作工程師必須親自駕車前往諾皮科斯基大壩給予幫助。另外，維護(hù)部門的另外兩名工作人員也被要求隨時(shí)準(zhǔn)備給予協(xié)助，如果需要的話。該名運(yùn)行人員在諾皮科斯基大壩處等待協(xié)助的空擋，他駕車前往上游電站，打開(kāi)了溢洪道閘門，將泄流量從35 m3/s增加到了55 m3/s。

晚上11點(diǎn)左右，仍認(rèn)為可以提升起疊梁門。他們聯(lián)系了一家設(shè)備租賃公司，讓其提供一臺(tái)移動(dòng)吊車來(lái)替代起重機(jī)開(kāi)啟被卡住的疊梁門，但設(shè)備租賃公司找不到吊車操作人員，因?yàn)槟菚r(shí)已經(jīng)是周五晚間。

晚上11∶45，操作工程師到達(dá)諾皮科斯基大壩。第二天凌晨1∶30，上游大壩的閘門被開(kāi)啟到最大，泄流量為93 m3/s。雖然上游電站達(dá)到最大泄洪量會(huì)加劇達(dá)諾皮科斯基大壩的險(xiǎn)情，但大家認(rèn)為這是必要的，以避免上游大壩受損。由于附近的一條溪流漫水出來(lái)，在一段50 m長(zhǎng)的公路路段，水深達(dá)到了30 cm，因此，不可能由此前往上游電站。

凌晨3∶23，打電話給縣應(yīng)急響應(yīng)工作人員，通知其險(xiǎn)情。由于溢洪道自身的泄流能力不足，因此要求采用一架直升飛機(jī)將工作人員運(yùn)送到上游水電站去開(kāi)啟引水隧洞的閘門。但是，天亮之前，直升飛機(jī)無(wú)法起飛，且要開(kāi)啟閘門，需將隧洞排空。溢洪道泄流導(dǎo)致大量回水流進(jìn)了引水隧洞中。工作人員調(diào)集了卡車和裝載車，要在引水隧洞入口前修建一個(gè)圍堰，同時(shí)，還需要卡車和裝載車將被洪水切斷的道路維修好。

凌晨3∶30，諾皮科斯基大壩處的電話已不能正常工作，無(wú)線電系統(tǒng)成了唯一的通訊方式，并且還需要通過(guò)一名在家的操作人員轉(zhuǎn)接。這時(shí)候本應(yīng)下達(dá)要求，工作人員應(yīng)駕車前往上游大壩，查看水位上漲了多少，但由于道路被水流切斷了，工作人員無(wú)法到達(dá)上游大壩。

凌晨4∶00，工作人員努力保持諾皮科斯基電站盡可能處于運(yùn)行狀態(tài)。這時(shí)水流開(kāi)始從距大壩右側(cè)100 m處自然低壩段向外漫流。漫頂水流流向50 kV的配電房和電站。凌晨4∶15，電站已被水包圍，水開(kāi)始流進(jìn)發(fā)電廠房。電站停止了運(yùn)行，導(dǎo)致泄流量減小了18 m3/s。

凌晨4∶25，斯科格先生接到通知，移動(dòng)吊車停在了距大壩幾百米外，因?yàn)榈缆芬淹耆灰粭l溪流切斷。大壩處的工作人員當(dāng)時(shí)僅有一些手動(dòng)工具來(lái)處理和啟動(dòng)起重機(jī)。同時(shí)，水位已上漲很高，現(xiàn)場(chǎng)的工作人員意識(shí)到大壩保不住了。下游的應(yīng)急響應(yīng)工作人員接到通知，大壩不久后就會(huì)潰決，受影響的道路都必須關(guān)閉，并且被告之了預(yù)計(jì)的洪水量。

約凌晨5∶10，工作人員試著利用厚板和其他材料來(lái)抬高靠近溢洪道處的岸坡，以引導(dǎo)漫過(guò)混凝土溢洪道的洪水。凌晨5∶25，水位超過(guò)了壩頂，溢洪道旁邊開(kāi)始發(fā)生沖蝕破壞，接著大壩下游面的頂部邊緣也開(kāi)始發(fā)生沖蝕破壞。起初，這是一個(gè)緩慢的過(guò)程，但幾分鐘后，水流已經(jīng)沖出了一條伸向下游面的沖溝。水流還沖蝕了壩頂上的公路，不久后，壩頂上的公路就被切斷，沖蝕加快。沖蝕縱向速度很快，在邊上的速度稍緩。45 min之后，即早上6∶10，幾乎所有庫(kù)水（約10萬(wàn)m3）都已從水庫(kù)流出。

大壩潰決之后，斯科格先生列出了導(dǎo)致這一失事的許多因素，包括：

（1）極端降雨和地下水位高；

（2）起重機(jī)設(shè)備和機(jī)械故障；

（3）道路使用上遇到了巨大的困難，因?yàn)樵搮^(qū)域的一些普通溪流切斷了所有的道路，這使增援人員以及提升設(shè)備和工具不可能到場(chǎng)；

（4）電話停止工作；

（5）輸電電桿倒塌，導(dǎo)致了大停電；

（6）所有情況都發(fā)生在夜間，周圍漆黑一片且還在下雨；

（7）要在周五夜間獲得一臺(tái)移動(dòng)吊車和操作人員，這是一個(gè)難題；

（8）直升飛機(jī)在夜間不能飛行；

（9）直升飛機(jī)的無(wú)線電只能和空軍基地聯(lián)系，但在周六也失效了，因?yàn)榭哲娀囟缄P(guān)閉了；

（10）要上游電站提供大流量的抽水泵很困難；

（11）工作人員都筋疲力盡了；

（12）沒(méi)預(yù)見(jiàn)到下游水位高，這阻礙了引水隧洞閘門的正常開(kāi)啟；

（13）當(dāng)試圖排空隧洞時(shí)，情況很復(fù)雜，因?yàn)樯蠞q的上游水位淹沒(méi)了進(jìn)水閘門，水進(jìn)入到隧洞中；

（14）工作人員的問(wèn)題：周末期間很難找到額外有資質(zhì)的工作人員來(lái)進(jìn)行24 h輪班。

總的來(lái)說(shuō)，斯科格先生提出了以下想法：“在大壩安全方面，現(xiàn)在的形勢(shì)是，我們要認(rèn)識(shí)到以前科學(xué)地分析過(guò)哪些事情——降雨將導(dǎo)致怎樣的、未考慮到的入庫(kù)流量。我認(rèn)為，目前很重要的一個(gè)問(wèn)題是，在不增強(qiáng)泄流能力并考慮之前提及的各種復(fù)雜性的情況下，該怎樣調(diào)整電站來(lái)適應(yīng)實(shí)際運(yùn)行，而這一重要問(wèn)題之前從未同樣程度地認(rèn)真給予考慮或正規(guī)文件記錄。”

換句話說(shuō)，斯科格先生是在提倡大壩安全的系統(tǒng)觀念，其中包括了上述所列的所有因素。

圖1 諾皮科斯基大壩潰壩后的情景Fig.1 Noppikoski dam-post failure

2.2 大壩系統(tǒng)

每座大壩都在其特定的系統(tǒng)內(nèi)運(yùn)行。對(duì)水力發(fā)電的大壩來(lái)說(shuō)，其頂層的系統(tǒng)可能是區(qū)域性電網(wǎng)。大壩，特別是那些發(fā)電的大壩，會(huì)對(duì)電網(wǎng)產(chǎn)生影響，同時(shí)，電網(wǎng)的運(yùn)行也會(huì)影響大壩的安全和可靠運(yùn)行。俄羅斯薩揚(yáng)-舒申斯克水電站發(fā)生的事故說(shuō)明了一座水電站的失事將怎樣影響電網(wǎng)以及電網(wǎng)將怎樣影響一座遠(yuǎn)處的水力發(fā)電設(shè)施。

電網(wǎng)系統(tǒng)包括發(fā)電源、輸電線路、配電線路和負(fù)荷源。同樣，在電網(wǎng)系統(tǒng)中還包括發(fā)電源、負(fù)荷源、輸電線路、配電系統(tǒng)的業(yè)主和運(yùn)行人員、區(qū)域電網(wǎng)的運(yùn)行人員以及如美國(guó)電力安全委員會(huì)（（Na?tional Electric Reliability Council，NERC）或國(guó)家公共設(shè)施委員會(huì)等監(jiān)管者。同時(shí)，電網(wǎng)還會(huì)受外部因素的影響，比如自然環(huán)境、其所在國(guó)家或州的經(jīng)濟(jì)、政治影響、社會(huì)影響、人為事故或恐怖活動(dòng)等。來(lái)源于自然環(huán)境的影響包括洪水和地震，通常這兩者會(huì)在確定性大壩分析中僅作為荷載工況加以考慮，此外，自然環(huán)境影響可能還包括雪災(zāi)、滑坡、雷電、火災(zāi)以及極寒或極熱的極端天氣。

電網(wǎng)也可能同樣會(huì)對(duì)某些外部影響因素（如政治和社會(huì)影響、經(jīng)濟(jì)和人為事故）產(chǎn)生反饋影響。電網(wǎng)可靠性降低會(huì)引發(fā)亟需改進(jìn)的政治和社會(huì)需求，這確實(shí)發(fā)生過(guò)。在2003年美國(guó)東北部和加拿大東部的大停電后，確實(shí)引發(fā)了這樣的需求。大停電之后，美國(guó)國(guó)會(huì)要求美國(guó)聯(lián)邦能源監(jiān)管委員會(huì)（Federal Energy Regulatory Commission，F(xiàn)ERC）強(qiáng)制實(shí)施電網(wǎng)可靠性標(biāo)準(zhǔn)，這一責(zé)任使美國(guó)電力安全委員會(huì)的可靠性標(biāo)準(zhǔn)從行業(yè)最佳實(shí)踐進(jìn)化到了法規(guī)要求。類似地，電網(wǎng)系統(tǒng)內(nèi)的業(yè)主、運(yùn)行人員和監(jiān)管者也會(huì)通過(guò)其各種行動(dòng)來(lái)對(duì)電網(wǎng)產(chǎn)生影響，并且依次被政治因素或社會(huì)因素直接或間接影響。

電網(wǎng)系統(tǒng)中的每一個(gè)組成部分都可以被看作是一個(gè)子系統(tǒng)，其將對(duì)下層或?qū)儆谒碌淖酉到y(tǒng)造成影響，例如，負(fù)荷源會(huì)影響發(fā)電源，發(fā)電源也會(huì)影響負(fù)荷源。每一個(gè)子系統(tǒng)（輸電線路、配電線路、發(fā)電源和負(fù)荷源）本身都由若干層次的其他子系統(tǒng)組成。為完全理解可能對(duì)某一特定大壩造成的所有影響，就必須理解所有層次的子系統(tǒng)將會(huì)受到怎樣的影響以及怎樣反饋給在整個(gè)電網(wǎng)系統(tǒng)中的其他子系統(tǒng)。比如，必須了解對(duì)輸電線路、配電線路、負(fù)荷源組織的所有影響以及對(duì)電網(wǎng)的所有外部影響，以充分了解它們可能會(huì)如何影響發(fā)電源，包括水電。類似地，也必須了解所有對(duì)發(fā)電源的潛在影響，這樣就能深入到感興趣的某一座特定大壩，確定對(duì)這個(gè)大壩的直接和非直接影響。

圖2是一個(gè)大壩系統(tǒng)的例子。圖中僅表示出了與大壩相關(guān)的子系統(tǒng)，雖然全面的描述會(huì)要求把所有分支都表示出來(lái)。圖中，實(shí)線表示一定程度的直接影響，虛線表示間接影響。只有一個(gè)箭頭的線段表示影響僅沿箭頭方向發(fā)生，兩端都有箭頭的線段表示連接起來(lái)的事項(xiàng)會(huì)以某種形式的反饋回路互相影響。

圖2中，利益相關(guān)大壩表格中的每一項(xiàng)也都同樣需要分解，以獲得全面的大壩系統(tǒng)的可視圖。

顯然，完整的系統(tǒng)分析實(shí)際上是不可能的，因?yàn)樾枰獙⒄麄€(gè)電網(wǎng)中的每一個(gè)發(fā)電源、負(fù)荷源、輸電線路和配電線路都充分分解。因此，必須設(shè)定一些簡(jiǎn)化的假設(shè)條件。筆者的建議是，將給定的某一流域中的大壩盡可能分解到如下程度：對(duì)許多外部影響因素來(lái)說(shuō)，與它們相對(duì)緊密地聯(lián)系，并且為了獲得最大化發(fā)電量和最少溢流，通常將其作為一個(gè)單一的子系統(tǒng)來(lái)操作。對(duì)于特大型的發(fā)電源，如大古力水電站（Grand Coulee）、米卡水電站（Mica）、尼亞加拉水電站（Niagara）、核電站及某些火力發(fā)電廠，應(yīng)分解成更少的層次，因?yàn)槿绻l的話，它們會(huì)快速地破壞電網(wǎng)的穩(wěn)定，從而影響到利益相關(guān)大壩。如果一座水電站大壩的運(yùn)行直接與一座大型熱電廠、核電廠或火電廠的運(yùn)行相聯(lián)，則該耦合電廠應(yīng)盡可能分解到的程度為：若一座電站出現(xiàn)跳閘、事故或運(yùn)行問(wèn)題，則在非常短的時(shí)間內(nèi)會(huì)對(duì)另一電廠造成直接影響。其他的子系統(tǒng)應(yīng)分解到的程度為：必須能了解它們可能對(duì)電網(wǎng)造成的影響，然后傳遞到大壩上的影響，以及怎樣使用反饋來(lái)落實(shí)控制系統(tǒng)，以將不利影響最小化。

圖2 大壩系統(tǒng)Fig.2 The dam system

使用系統(tǒng)方法可以增進(jìn)對(duì)大壩失事后果的理解。若認(rèn)為大壩事故會(huì)對(duì)電網(wǎng)大部分造成影響時(shí)，潛在的經(jīng)濟(jì)損失會(huì)非常巨大。

3 系統(tǒng)工程的研究

在美國(guó)，已有幾所大學(xué)正在開(kāi)展對(duì)系統(tǒng)分析和評(píng)估技術(shù)的研究。斯坦福大學(xué)的伊麗莎白·佩特-康奈爾教授和麻省理工學(xué)院的南希·萊韋森教授已就系統(tǒng)工程概念在復(fù)雜建筑物安全評(píng)價(jià)中的使用發(fā)表了許多文章。此外，南?！とR韋森教授還就此專題出版了一本著作，即《營(yíng)造一個(gè)更安全的世界》（Engineering a Safer World）。馬里蘭大學(xué)的喬治·比徹教授在探索與大壩相關(guān)的系統(tǒng)工程概念方面表現(xiàn)很積極。以上幾位教授和其他人員所完成的工作為未來(lái)技術(shù)發(fā)展拓展了空間。未來(lái)將以更全面的方式來(lái)評(píng)價(jià)大壩系統(tǒng)，這種方法可以發(fā)現(xiàn)和評(píng)價(jià)現(xiàn)在認(rèn)為不可知的未知事項(xiàng)。

4 結(jié)語(yǔ)

美國(guó)陶氏化學(xué)公司的CEO安德魯·利韋里斯在他的書(shū)《美國(guó)福地:重塑經(jīng)濟(jì)的案例》（Make it in America:The Case for Re-Inventing the Economy）中寫道：“我想我們應(yīng)該對(duì)自己誠(chéng)實(shí)，不僅是關(guān)于將要付出什么樣的代價(jià)來(lái)升級(jí)我們的基礎(chǔ)設(shè)施，還有關(guān)于如果我們沒(méi)能成功升級(jí)，將會(huì)付出什么樣的代價(jià)?！?/p>

向使用綜合系統(tǒng)方法來(lái)評(píng)價(jià)大壩安全的方向努力不是件容易或快速的事情，它需要不同的思維模式、不同的技術(shù)手段和不同的思考方式。它要求想象力和對(duì)大壩已經(jīng)或可能怎樣潰決具有更綜合的理解。

對(duì)所發(fā)生的失事，如果只埋怨“黑天鵝”事件或“完美風(fēng)暴”是不能接受的。職業(yè)道德要求使用現(xiàn)有的最好的技術(shù)來(lái)保證大壩安全在控制之中。毫不夸張地說(shuō)，這是為那些可能受失事影響的人們應(yīng)該做的。