2.3 定量风险评价与ALARP：多安全才算安全

2.3 定量风险评价与ALARP：多安全才算安全

本节摘要：风险永远压不到零，于是问题变成"压到多少可以收手"。本节讲清定量风险评价（QRA）的流程与输出，以及安全界最重要的一条决策准则——ALARP（最低合理可行）：在不可容忍线与可忽略线之间，风险要压到"再降就得付出不成比例的代价"为止。

风险治理能治理到零吗？不能。只要系统里有能量、有人作业，剩余风险就存在。于是真正的问题浮出水面：**风险压到多少，可以停下来？**压少了是拿命换产量，压过头是把资源烧在边际收益趋零的地方——而那些钱本可以拿去治理别处更实的风险。回答这个问题，靠感觉不行，需要定量评价给出数字，再由 ALARP 准则给出决策规则。

一、QRA：把风险算成数字的流水线

定量风险评价（Quantitative Risk Assessment）的完整流水线是五步：

1. 系统描述与场景辨识：画出工艺流程与布置图，列出所有潜在事故场景（泄漏、火灾、爆炸、中毒），场景要成对地想——"什么事"加上"防护失效会把它放大成什么"。
2. 频率分析：每个场景的初始事件一年发生几次？数据来自行业失效数据库（如阀门失效频次、管线泄漏率的历史统计）加专家修正。典型量级：法兰小孔泄漏约十年一遇量级，容器灾难性破裂更低几个数量级。
3. 后果分析：泄出来会怎样？用泄漏扩散模型、火灾热辐射模型、爆炸超压模型计算伤害范围——多大半径内人员会死亡、重伤、轻伤，画出后果包络线。
4. 风险合成：频率×后果，得到两个标准输出——个人风险（某位置上一个人每年的死亡概率，画成等值线，如百万分之一每年线压到了厂界外多少米）和社会风险（F-N 曲线，回答"一次事故死 N 人以上"的累积频率）。
5. 对照准则决策：把算出的风险与可接受准则比对——低于可忽略线则接受，高于不可容忍线必须治理，中间进入 ALARP 分析。

图：ALARP 与两个风险阈值

二、ALARP：最低合理可行的两句话

ALARP（As Low As Reasonably Practicable）准则来自英国司法实践，两句话讲完：介于不可容忍线与可忽略线之间的风险，必须持续降低，直到"再进一步降低所需的代价与所获的安全收益严重不成比例"为止；且主张者要能拿出证据证明已做到。

这个准则的精妙在两处。其一，它拒绝了"零风险"的幻觉，也拒绝了"差不多就行"的敷衍——风险要一路压下去，压到边际成本曲线陡然抬升的地方才允许停。其二，它把举证责任压给了风险的制造者而非承受者："我尽力了"不算数，要出示"我比较过每一项 further measure 的成本与收益"才算数。英国法律的经典表述是：除非法方证明"再降一分的代价高得荒谬"，否则剩余风险就不算 ALARP。

实操中 ALARP 分析长这样：对一项落在中间区间的风险，列出所有可行的进一步降低措施（加装隔离、改造联锁、缩短暴露、变更工艺），逐项估计"投入多少、能把风险降多少"，凡是成本与收益仍成比例的都必须上；只有当某项措施的代价明显与其削除的风险不对称时，才允许记录理由后放弃。这套论证文件在化工与核电行业是监管审查的标配，不是内部参考。

三、个人风险与社会风险：两条硬线怎么用

个人风险等值线最典型的用法是安全距离核算。设想一个新建液化烃储罐：QRA 算出个人风险百万分之一每年的等值线压到厂界外居民楼，这表明高风险外溢——ALARP 论证再漂亮也救不回来，唯一下策是改布置（罐区移位、减容、设防液堤）或降低存量。这就是定量评价改设计的能力：它不告诉你"小心点"，它告诉你"你的布置错了多少米"。

社会风险 F-N 曲线回答另一类问题：**多死人的事件必须更罕见。**死一人的事件十年一遇或许可忍，一次死百人的事件十万年都不该有一次——公众对灾难性后果的厌恶远超线性。所以 F-N 曲线的可接受线不是直线而是带斜率的折线，后果每上升一个量级，允许频率就得下降。这条"人越死得多、越要罕见"的逻辑，正是重大危险源监管比一般作业严苛得多的数学根据。

QRA 的数字不是真理，是"有据可查的排序"：失效频次数据带误差、模型有假设、专家修正有主观性。它的价值不在小数点，而在把争论从感觉层面拉到证据层面——从此"我觉得安全"必须让位于"数据显示剩余风险在准则之内，且 ALARP 论证在卷"。

常见追问：两个高频质疑

问题："成本严重不成比例"这句话，会不会变成不投钱的万能借口？

恰好相反——它是用来终结"不投钱"借口的。ALARP 的举证方向是：主张可以停手的一方必须出示"逐项比较过进一步措施的成本与风险削减收益"的分析文件。化工与核电监管实践里，一份合格的 ALARP 论证动辄几十页，逐条列出候选措施、量化各自的风险削减量与费用。拿不出这份文件，"钱太多"三个字在监管审查与事故调查里一文不值。举证责任倒置，正是这条准则的锋刃所在。

问题：个人风险与社会风险，决策时听谁的？

两条线都要过，且经常打架——个人风险等值线达标（没人住在高风险区）不代表社会风险达标（一次死很多人的事件频率仍偏高）。工程惯例是"就严不就宽"：任一指标越线即触发治理。F-N 曲线尤其值得中小企业管理者理解：它从数学上解释了为什么"出大事的概率再小也不行"——社会对灾难性后果的容忍频率随死亡人数上升呈幂律下降，这不是道德口号，是可接受准则的斜率。

四、本节要点回顾

• QRA 五步：场景辨识→频率分析→后果分析→风险合成（个人风险等值线与 F-N 曲线）→对照准则决策。
• ALARP 两句话：中间区间必须持续降低到边际不成比例处；举证责任在风险制造方，要出示逐项比较的证据。
• 两条硬线：个人风险等值线管"风险住到哪了"（安全距离），F-N 曲线管"灾难性事件必须更罕见"。
• 数字观：QRA 输出是有据的排序而非精确预言；它改变的是决策方式，不是提供确定性。

到这里，"哪里风险大、多安全才够"都有了答案。但对复杂系统，你还需要看见失效是怎么一步步走到的——路径本身要能画出来、算出来。第 3 章开始上真正的分析工具：先从向下追因的故障树讲起。