法国新大坝管理条例中要求的风险评估——法国国家工业环境和风险研究协会建立的方法

崔弘毅编译

（国家电力监管委员会大坝安全监察中心，浙江杭州310014）

1 简介

1.1 大坝安全规章

2007年12月11日，随着n°2077-1735号法令的颁布，法国关于水工建筑物的管理条例发生了改变，其在大坝和堤坝安全方面提出了新要求。根据各自特点，将水工建筑物分为4类，分别为A、B、C、D。对于大坝，考虑的因素为地面以上的坝高（H，单位为m）和水库的库容（V，单位为m3）。

之前提及的n°2077-1735号法令，和其他强制措施相比，要求业主为A、B类大坝提供安全报告，然后当局对该安全报告加以分析，决定该报告是否通过审批。若安全报告未能通过审批，当局有权索取其他信息。

表1 法国管理条例中对大坝的分类标准Table 1 Classification of dams in French regulation

1.2 安全报告的目的

安全报告的目的之一是表明已对某大坝可能遇见的所有风险都进行了识别和管理。必须对大坝失事的风险加以研究，例如在洪水事件或地震事件中发生失事，但所有事件（事故或巧合）必须与当前的运行有关。安全报告还应提出安全措施和其他可能的措施以避免或限制事故发生，将风险降低到合理可行的最低水平（As Low As Reasonably Practicable,ALARP）。

2008年6月12日的部长令规定了安全报告的标准时间表和内容，分为11项内容：（1）安全报告的非技术性总结；（2）管理信息；（3）研究目的；（4）建筑物的功能分析和其所处环境；（5）对防止主要事故所采取的政策和对安全管理系统的表述；（6）潜在风险的识别和特性分析；（7）对自然风险的特性分析；（8）现场经验和反馈；（9）在发生概率、影响的强度和反应动力、严重性方面对风险进行识别和特性分析；（10）降低风险；（11）制图。

第3-7章给出了进行严重性、年概率评估和特性分析所需的数据。图1显示了风险评估研究的过程，识别出可能遇见的所有风险。

图1 安全报告的结构组成Fig.1 Structure of the safety report

介绍了法国国家工业环境和风险研究协会建立的评估方法（从风险评估阶段到降低风险阶段）来识别和量化所有事故，分为4部分：①风险分析；②后果评估；③概率评估；④风险接受准则和降低风险。

2 风险分析

2.1 总体框架

风险分析是风险评估的第一步。在法国新的管理规定中，业主必须识别所有可能发生在大坝上的主要事故情况，并且还需要提出采取的可以阻止其发生或可以限制其后果的安全措施。必须要考虑会导致大坝失事的情况，但不限于此：需识别出所有失事模式，包括泄空阀失事或溢流闸门破裂。要在对大坝特性认识的基础上进行风险识别，包括对大坝环境的识别，其作为一个潜在外部威胁而存在。识别当然也要结合现场的经验。

法国的管理规定未对某种特定的风险评估方法做强制性要求。业主可以根据自己的便利，自由地选择运用失效模式和效果分析、预危害分析或其他任何方法，只要其选择是合理的，并能得出大坝失事模式和相关情况描述的详尽明细表即可。

2.2 情景识别之法国国家工业环境和风险研究协会方法

风险评估由一专业工作小组提供支持。小组成员包括专家和运行人员，其对大坝和风险分析方法都有很好的认识。该工作组会填写一个表格，表中每行都代表一种情景，见表2。

表2 用于情景识别的表例Table 2 Example of table used for scenarios identification

分析中，必须考虑所有的大坝使用模式，比如常规运行模式、维护、放空水库或充水、汛期的运行等。上游大坝失事造成的洪水情况也需加以考虑。该表的总结即形成一个详尽的事故明细表，包括其反应动力和直接对大坝而来的估算洪流。

现在，该明细表可以简化。例如，洪水事件可导致一种失事模式，其造成的影响不会比下游预期的大，因为洪水本身原因。如此一来，该失事模式就不作为主要事故考虑，因此，在选择后，剩下的明细表为已识别的大坝面临的所有主要事故以及相关的预估洪流和反应动力。对其中一些，至少对溃坝，需要建模来获取其后果数据。需对涉及流量较低的主要事故进行定性研究，无需建模。

为显示业主对大坝风险的控制，对这些主要事故后果会造成的影响和它们的年发生概率进行综合分析是必须的。

3 后果评估

法国国家工业环境和风险研究协会关于大坝主要事故的后果评估是基于对洪水波影响范围和识别出的受洪水波影响人群范围的叠加。

3.1 影响评价

主要事故后果的影响描述特征为局部反应动力和强度。局部反应动力是指洪水波首次影响发生到其达到最大流量的时间，可能是平缓的，也可能是突如其来的，关键看人口能否在影响发生后迅速疏散。

3.1.1 局部反应动力

对每个受影响的居民，根据以下两个参数对局部反应动力进行评估：洪流速度和洪流深度，可得到水位上升速度。《法国防洪导则》中指出，当水深为0.5 m时，人在水中就不能自如地行动，并且以洪流流速0.5 m/s为分界线，若流速超过0.5 m/s，则人可能被水流携带的物品伤害或本人被水冲走。

若洪流局部流速和水流局部上升速度都在速度分界线以下，局部运动是平缓的，可认为人群疏散是可能的。若情况并非如此，则认为运动是突发的。若不能获得速度数据，比如没有建模，事故是靠定性研究，则在保守方法中，运动被认为是突发的。

3.1.2 局部强度

如表3所示，对每个居民，通过比较局部洪流和基准局部回流来评估强度水平。

若局部洪流数据未知，则根据大坝处的波浪流，采用保守方法。若该洪流低于直接作用于大坝的重现期10年的洪流，法国国家工业环境和风险研究协会则认为事故洪流波在下游会很快减弱，且会消纳于河床中。若该洪流高于重现期10年的洪流时，则法国国家工业环境和风险研究协会认为该洪流在行进过程中会保持恒定，当洪流变成低于局部重现期10年的洪流时，则其行进过程终止。该洪流应该消纳在河床中，除一些关键点外（例如桥梁、公路等……），而这些地方的消纳容量应加以确认。应特别注意的是，这些地方的洪流，应该这样考虑：其洪流是波浪流加上天然的河道洪流。

表3 法国国家工业环境和风险研究协会使用的强度水平Table 3 Intensity levels used by INERIS

3.1.3 分区

局部反应动力和强度特性导致了影响地图的分区：法国国家工业环境和风险研究协会根据使用来制定法国应急预案的方法，定义了3类分区，具体见表4。

表4 根据强度和反应动力水平的分区Table 4 Zoning based on intensity and kinetics levels

分区关系到每个人，因此地图分区可由图2所示。

图2 简化的影响分区地图Fig.2 Simplified representation of a zoned effects map

3.2 受影响人口统计

一旦影响特性被确定，则必须确定受影响的人口，以评估严重性等级。法国国家工业环境和风险研究协会的方法是基于风险人口（Population At Risk,PAR）因子。

按照2016年水利部等9部门印发的《“十三五”实行最严格水资源管理制度考核工作实施方案》，增加了对重要水功能区污染物总量减排量的考核内容。

根据波浪模拟图，可以算出事故引发洪水波的受影响人口数量。管理规定未要求给出精确的数量，但要求计算网络足够精细，以对最大PAR得出良好的预估。统计可基于显示了土地覆盖地图的Corine土地覆盖数据库。也可采用曾用于关键工业基础设施的计算方法来完成，该计算方法出现在2010年5月10日发布的通告中“安全报告中的严重性等级评估所需要素”一章节，总结了适用于安全报告的方法原则、从源头降低风险的办法和防止技术风险的预案。例如，该方法推荐每户人家的人口算2.5，推荐了整个建筑接纳公众的总容量的计算方法等。

一旦最大PAR确定下来，则事故的总体反应动力可用来调整折减因子的使用。整个反应动力分为两类：事故前反应动力和事故后反应动力。事故前反应动力是指事故前趋势被发现到实际事故发生的时间。若事故前趋势能被发现，因此事故预测能快速展开，在事故实际发生前就能完成人群疏散，则对最大PAR可使用折减系数。事故后反应动力是指直接对受影响人群首次造成影响的波浪到达时间。对距离大坝足够远的人群，其需要用于疏散的时间比首次造成影响的波浪的到达时间短，则在这部分中，对最大PAR因子可使用折减系数。

但是，紧急疏散预案的评估并非易事，折减系数也需仔细评估。若评估不能完成，或因其间存在太多不确定因素而致使获得的数据不可信时，在保守方法中，采用最大PAR是更安全的做法。

3.3 严重性等级

一旦分区和PAR已知，就可以应用如图5所示的标准对严重性等级进行评估。

表5 法国国家工业环境和风险研究协会使用的严重性等级评价标准（单位：风险人口）Table 5 Severity levels scale used by INERIS(unit:people ex⁃posed)

根据PAR，每个分区都有对应的严重性等级（Severity Level,SL）。整个事故的严重性等级是每个分区严重性等级的最大值。因此，分区和PAR如图3显示的事故，其严重性等级为SL3。

图3 简化的分区和相关PAR示例Fig.3 Example of a simplified zoning and PAR associated

4 概率评估

风险分析通常会识别可能发生的中心事件（例如，消纳损失）和其后果（危险的现象），但同时，起始的事件导致了这一系列事件的发生。为表示识别过程的结果，法国国家工业环境和风险研究协会使用领结图。

图4 领结图示例Fig.4 Example of a bow-tie diagram

领结图是简化的故障树和事件树的综合。领结图的左边是起始事件。起始事件可能是蓄水工序中的人为失误、车辆撞击事故造成的影响等等。这些起始肇因导致了中心风险事件的发生，通常是造成消纳损失。因此，这些中心事件会导致许多危险的现象。

在安全报告中，通过使用领结图对起始事件、中心风险事件、防止和保护安全屏障及可能后果进行定性识别是一主要步骤，可对各种情景有一个概率性的量化。

要实现量化，在识别步骤完成后，需要对安全屏障防止预测情景的发生或限制其后果的能力进行评估。

4.1 安全屏障评估

屏障分析是表明风险控制的主要事件，因为屏障分析通常可证明安全系统满足“合理可行的最低水平”的要求。确定了3类安全屏障：技术屏障、人为屏障和结合了技术和人为因素的屏障，如图5所示。

图5 法国国家工业环境和风险研究协会方法中建立的安全屏障类型图Fig.5 Safety barrier typology as developed in the INERIS meth⁃odology

为了能在法国管理条例中加以考虑，安全屏障需满足以下要求：①独立性：安全屏障必须独立于预测情景的肇因或独立于情景本身；②有效性：在使用条件下，在单独运行过程中或独立于其他安全屏障运行过程中，能实现选择时希望其发挥的安全功能；③响应时间与预测情景反应动力相协调；④可测试；⑤为保证一定时间内保持较高的性能水平，要求对其进行定期维修。

若以上条件都满足了，则在危险场景概率性量化过程中可考虑安全屏障因素，因为其可以降低给定场景的发生频率。接下来要点是评估屏障失效的概率，以及屏障对事故发生频率的影响。就某一特定屏障的失效概率，则基本没有数据可寻。并且，可获得的数据通常是平均失效率，并不适用于某特定设施、特定环境。

法国国家工业环境和风险研究协会的方法是基于“可信度水平”。通过标准NF EN 61508和NF EN 61511中定义的安全整体性水平的外推算法可计算主动屏障的风险降低因子。这些规范中描述的方法可延伸应用于所有的主动屏障。关于被动屏障和人为屏障，通过文献考证确定了最大可信水平。然后根据不同标准降低可信度水平。

所有确定的屏障评估完以后，再预估主要事故的发生频率。

4.2 危险现象的概率

因业主可自由选择安全报告中用于评估危险现象发生概率的方法，各方法间可能千差万别。自2005年起，法国国家工业环境和风险研究协会基于领结图，使用“从起始事件到危险现象”的量化评估。为预测起始事件的频率，使用了两种主要方法。

第一种是使用可靠性数据或通过使用可靠性数据得到的通用频率。若失事与设备有关，这些数据是可以获取的。若事故是因为人为失误或组织失误所致，则能获得的数据非常有限。法国国家工业环境和风险研究协会使用的第二种方法是通过对工作团队（其中包括设施的风险管理者、运行、维护的工作人员等）进行问卷调查来评估频率。使用频率分级，工作团队对每一起始事件进行研究。表6为通常使用的频率分级标准。

表6 法国国家工业环境和风险研究协会使用的频率分级标准来量化起始事件Table 6 Frequency classes used by INERIS to quantify initiat⁃ing events

通过使用“与”门、“或”门，可将导致常见中心事件的起始事件频率结合起来：

（1）若任一起始事件都能导致中心风险事件，则使用“或”门，此种情况中，中心事件的频率分级等于该起始事件的最小频率分级。

（2）若中心风险事件的发生要求多个起始事件的发生为前提（这些事件的频率低于10-1），则使用“与”门。此种情况中，中心事件的频率分级等于要求发生的起始事件的频率分级之和。

（3）若存在防止屏障，则屏障的风险折减因子加到决定中间事件频率分级的起因的频率分级中。该方法其中一个更明显的优点是，它是由对安全、对可能发生的事故场景以及其肇因和防止其发生的屏障进行深度分析而来。因此，在概率计算中，明确考虑了大坝的特定方面（如连锁效应）和风险防止事宜。在这个框架中，可较好地促进运行人员在安全方面所做的工作，并且也定性和定量地论证了其有效性。根据频率，事故的主要可能肇因被确定并分级，在此基础上，运行人员明确未来防范系统的实施。

由于使用了频率分级，该方法有少许限制性：该评估不以达到使用频率数值得出的评估那样的准确性为目标（该评估不如采用频率值得出的评估准确）。当需要综合不同危险现象的可能性时，这意味着不确定性增加。另外，有些起始事件很难评估，这主要是指一些稀有事件，工作团队在他们的设备或类似设备上从未观察到过。在这种情况下，可使用起始事件的通用数据和可靠性数据，但因为将通用数据用于某一特定工况，这同样意味着不确定性。另一备选方法是评估这些事件的频率可使用专家的判断意见。

5 风险可接受准则和降低风险

一旦后果的严重性和每种事故的发生可能性被确定下来，该方法的最后一步即是评估被研究大坝的风险可接受性。

首先，根据严重性等级（5个水平档次）和发生的年概率分级（分为5级），将每种事故在矩阵中放入合适位置。

表7 风险矩阵Table 7 Risk matrix

在将各种风险后果置于矩阵中合适的位置后，为支持降低风险方面的讨论，大坝业主会明确可接受的规范准则。目前没有强制的矩阵，业主通常会考虑另一法国通告（2010年5月10日发布）中指出的风险接受矩阵，该通告总结了适用于安全报告的方法原则、源头处的降低风险的办法和防止技术风险的预案，还明确了分级或额外补偿措施。该矩阵示例如表8所示。

表8 风险接受性矩阵Table 8 Example of risk acceptability matrix

三个分级分别为：高风险区（H区）、中级风险区（M区）、低风险区（L区）。

这个分级与降低风险的优先顺序相对应，首先应降低最大的风险：

（1）高风险：出现在“高风险”分级中时，在源头处采取额外措施来降低风险；

（2）中级风险：对那些成本与期望收益不相称的措施，控制风险和实施可能性；

（3）低风险：若有措施可以控制风险，也没必要进一步降低风险，但可以做出相关建议。

对位于“高风险”或“中级风险”的事故，业主需提出一系列建议来改进现有的安全屏障，必要时明确其他的措施。目标是降低概率和（或）严重性等级，并将事故转移到较安全分区。剩余的风险水平将与风险接受准则相比较。为降低风险（损坏和（或）概率性）以及达到合理可行的最低水平，可以制订其他的措施。

6 结语

根据法国的新管理条例，为完成大坝安全报告，法国国家工业环境和风险研究协会根据要求的所有准则，建立起来一套对应的方法。该方法已在几个案例研究中加以测试，其有效性已得到证实。但是，关于整体反应动力，还有相关工作需要做，以帮助降低最大PAR和对受影响人群进行更好的模拟。这需明确有关流速和洪流深度的准则，并能评估警示和疏散人群所需的时间。此外，评估完成后，还需确定折减系数。另外，另一个领域的研究是起始事件的概率性评估，对自然风险和人为因素来讲，评估仍十分复杂。

需要注意的是，法国的大坝管理条例相对较新，没有定义严重性等级标准、概率性标准或风险接受矩阵等。为比较安全报告，将来应对这些标准作出规定。期待该管理条例逐步完善，如此，法国国家工业环境和风险研究协会使用的方法在未来也可以得到采用。■

[1]Balouin T,Lahoz A,Bolvin C，Flauw Y.Risk assessment required in the framework of new French regulation on dams——Methodology developed by INERIS[C].Interna⁃tional Symposium on DAMS FOR A CHANGING WORLD.Tokyo,Japan,2012.