大壩系統(tǒng)

美國·Patrick J.Regan

（Federal Energy Regulatory Commission-Division of Dam Safety and Inspections）

0 前言

“黑天鵝”一詞意為之前從未遭遇過的稀有事件，因此也無法預(yù)見到。“完美風(fēng)暴”一詞意為由其他極端事件的組合而引發(fā)的極端事件。這兩個詞已由相關(guān)書籍介紹給了大眾?？偟膩碚f，它們描述的是與認(rèn)知不確定性相關(guān)的“黑天鵝”稀有事件和與偶然不確定性相關(guān)的“完美風(fēng)暴”事件。在某些案例中，這兩個名詞被作為解釋失事的借口，聲稱失事模式是不可知曉的。事實上，更多時候，這只是工程技術(shù)欠佳和缺乏想象力的擋箭牌，這在《911調(diào)查報告》中得到了再一次證實。與黑天鵝事件形成對比，《911調(diào)查報告》中的結(jié)論說到：“我們相信911恐怖襲擊事件反映了四種失?。合胂罅Α⒄?、能力和管理”。

對于人們?yōu)槭裁唇?jīng)常不考慮各種系統(tǒng)失事模式，伊麗莎白·佩特-康奈爾教授持有不同的看法：“也可能存在毀滅性的‘不完美風(fēng)暴’，它并非是涉及其中的所有因素的最壞情況的組合，但同樣也具有毀滅性。這里的關(guān)鍵是，這些因素沒被預(yù)見到，因為它們的結(jié)合看上去真的太稀有，從而不足以引起重視”。

要應(yīng)對“黑天鵝”事件和“完美風(fēng)暴”事件（或“不完美風(fēng)暴”事件），有兩種選擇：被動和主動。被動方法是指之前什么都不做，直到有重大的統(tǒng)計數(shù)據(jù)證實有必要（或監(jiān)管者要求）采取行動。主動方法則是識別系統(tǒng)弱點、評估失事的概率和根據(jù)優(yōu)先順序采取主動措施。職業(yè)道德會引導(dǎo)人們采用主動的方法。

1 目前的實踐現(xiàn)狀

1.1 基于標(biāo)準(zhǔn)的決策

以標(biāo)準(zhǔn)為依據(jù)的大壩安全方案通常是提出某些特定的荷載工況和必要的安全因子，通過將這些工況和因子進行對比，來衡量分析結(jié)果。標(biāo)準(zhǔn)經(jīng)過了多年發(fā)展，已包含了有利性狀并剔除了不利性狀。典型的以標(biāo)準(zhǔn)為依據(jù)的決策在許多州和聯(lián)邦的大壩安全導(dǎo)則中都有充分體現(xiàn)，例如許多章節(jié)是關(guān)于確定可能最大洪水（Probable Maximum Flood,PMF）、選擇入流設(shè)計洪水（Inflow Design Flood,IDF）、分析混凝土重力壩、土石壩和拱壩在三種荷載工況（正常工況、洪水工況和地震工況）下與規(guī)定安全因子的對比等。在基于標(biāo)準(zhǔn)的方案之外加上潛在潰壩模式分析（Potential Failure Modes Analy?sis,PFMA），就能開發(fā)可導(dǎo)致失事的事件的線性鏈。在許多案例中，潛在潰壩模式分析并不會涉及已有標(biāo)準(zhǔn)包含事件范圍之外的事件，如果它們涉及到處理“非標(biāo)準(zhǔn)中”的失事模式，通常會留給參與人員，讓其訓(xùn)練他們自己關(guān)于失事模式臨界點的判斷。

1.2 風(fēng)險確定的決策

通過估算某一組成部分失事的概率并結(jié)合該組成部分失事事件中的潛在后果信息，以風(fēng)險信息為依據(jù)所做的決策延展了基于標(biāo)準(zhǔn)的方法。風(fēng)險確定過程同樣也改變了衡量大壩安全的尺度。相比于簡單地將某一分析結(jié)果與規(guī)定的標(biāo)準(zhǔn)相比較，風(fēng)險確定的過程則嘗試評估計算所得風(fēng)險和社會風(fēng)險容忍度的對比。社會風(fēng)險容忍度中包含的概念是：正在積極地對風(fēng)險進行管理并將風(fēng)險降低到了合理可行的最低標(biāo)準(zhǔn)。但是，大壩安全團體通常所用的風(fēng)險確定方法是線性的，沒有考慮系統(tǒng)失事模式。

1.3 討論

凱倫·馬雷等人稱：“要確定一座電站是否達(dá)到了可接受的安全程度，不可能僅靠檢查電站中一個單一的閥門來實現(xiàn)?！边@或許聽上去是顯而易見的，但當(dāng)前的許多大壩安全決策制定過程并沒有明顯的不一樣。基于標(biāo)準(zhǔn)的決策制定過程對某些特定的組成部分進行分析，比如分析作為一個整體的壩體，來確定其在各種荷載工況下是否滿足應(yīng)用標(biāo)準(zhǔn)，比如對溢洪道進行分析，來確定它是否能安全排出設(shè)定的入庫設(shè)計洪水。風(fēng)險確定過程除了其過程中會評估失事發(fā)生的概率，而不是簡單地將某一分析結(jié)果與某一特定洪水標(biāo)準(zhǔn)進行對比外，其做的是本質(zhì)上相同的事情。風(fēng)險確定過程還包括在評估設(shè)計洪水造成的風(fēng)險是否在可容忍范圍內(nèi)時進行后果評估。這兩種情況中，本質(zhì)上都是在試圖通過檢查大壩的某些組成部分來確定大壩的安全，一次檢查一個組成部分，各組成部分分開進行。

2 作為系統(tǒng)的大壩

大壩不是僅包含其本身的單一實體，而是一個包含了自然和人造部分、單元和子系統(tǒng)的大系統(tǒng)?！安糠帧笨杀徽J(rèn)為是一個單一的部件，比如閘門啟閉機?！皢卧笔怯稍S多功能相關(guān)的部分組成的組合，比如閘門提升機構(gòu)，包括了電動機、齒輪箱和起重鏈條?！白酉到y(tǒng)”則是單元的組合，比如溢洪道，包括了閘門和其完整的提升和控制系統(tǒng)、溢洪道陡槽和消力池。大壩系統(tǒng)不僅包括人們通常與某座大壩聯(lián)系起來的所有子系統(tǒng)，還包括壩基、壩肩、水庫、水庫邊緣和運行機構(gòu)，同樣還可以包括發(fā)電廠房以及所有與發(fā)電廠房相關(guān)的子系統(tǒng)。更大規(guī)模上來講，大壩可以是更大的系統(tǒng)中的一個子系統(tǒng)，這個更大的系統(tǒng)可以是一個建有多個工程項目的流域，這些工程項目歸一個實體單位或多個實體單位所有，也可以是整個地區(qū)的電力網(wǎng)。

大壩失事和事故很少是由某種單一的、很容易識別的原因引起，在之前討論的案例歷史中，失事通常是多種作用的結(jié)果，這些作用以未預(yù)見到的方式結(jié)合在一起，最終形成了不可控制地泄放水流的必要條件。要有效地管理大壩安全風(fēng)險，必須意識到以下兩點：（1）大壩是系統(tǒng)，而不是各個組成部分的簡單集合；（2）單個組成部分和子系統(tǒng)之間的相互作用如何對大壩的風(fēng)險造成巨大影響。

2.1 大壩的系統(tǒng)失事

對幾個關(guān)鍵大壩的失事和安全相關(guān)事故進行深入的研究，結(jié)果表明，大部分失事和事故都不是由某種單一的、容易分析的、某組成部分的失事而引起，而是各個組成部分和子系統(tǒng)間相互作用的結(jié)果。南?？耍⊿outh Fork）、湯溯（Taum Sauk）、諾皮科斯基（Noppikoski）大壩的失事以及薩揚-舒申斯克（Sayano-Shushenskya）和克爾克霍夫（Kerckhoff）水電站發(fā)生的事故都是失事之前未意識到的系統(tǒng)因素和非線性相互作用的結(jié)果。由于失事之前未意識到引起事故的這些因素，并且通常未使用基于標(biāo)準(zhǔn)的分析或風(fēng)險確定方法，因此，可以將這些因素當(dāng)成“黑天鵝”，并聲稱沒辦法提前知道或找到其他方法來評估大壩的安全、幫助識別系統(tǒng)失事模式。

對美國湯溯大壩、瑞典諾皮科斯基大壩發(fā)生的失事和對美國克爾克霍夫大壩、俄羅斯薩揚-舒申斯克水電站的發(fā)電廠房發(fā)生的事故進行檢查，檢查結(jié)果都強調(diào)了將大壩作為系統(tǒng)進行檢查的必要。分析顯示，復(fù)雜的相互作用、依賴關(guān)系和性態(tài)狀況會以不可預(yù)知的方式互相作用，最終釀成事故，甚至引起失事。下面著重討論諾皮科斯基大壩發(fā)生的事故。

諾皮科斯基大壩是一分區(qū)土石壩，壩高約20 m，位于瑞典中部的?re?lven河上。泄水建筑物包括連接到發(fā)電廠房引水隧洞的導(dǎo)流隧洞。在兩條隧洞的交叉口有一鉸接鋼閘門，用以封鎖引水隧洞。需要開啟該閘門來利用引水隧洞時，兩條隧洞都要求排空。該泄水建筑物的泄流能力約60 m3/s。

諾皮科斯基大壩溢洪道有兩個出口，在最高水位時，每個出口的泄流量為70 m3/s。溢洪道出口由4扇疊梁鋼閘門關(guān)閉，其中三扇高為0.8 m，另外一扇高1.3 m。疊梁鋼閘門采用傳統(tǒng)的起重機啟閉，其電動機和機架位于一個臺車上，該臺車被移動到疊梁鋼閘門需要上下升降的出口處。

諾皮科斯基水電站以及上游一個水電站都由下游的富路達(dá)水電站（Furudal Plant）遠(yuǎn)程操作，富路達(dá)水電站位于下游約50 km處。諾皮科斯基水電站內(nèi)、電站周圍以及上游電站都沒有日常運行人員，每周的某幾天或在需要的時候，才會有運行人員造訪這些電站。

上游電站的溢洪道閘門，其泄流能力為95 m3/s。1985年9月初，該電站溢洪道閘門歷史上第一次完全打開，并且，諾皮科斯基大壩兩條溢洪道的所有疊梁門也都被移開。9月5日，星期四，由于來水量逐漸減少，溢洪道的疊梁門被重新放回了左邊的溢洪道，在右邊的溢洪道放回了較矮的疊梁門。星期五早上，水庫水位降到了最高水位下30 cm。電站人員意識到未來將有更多降雨量，所以他們沒有將所有疊梁門都放回右邊壩段的溢洪道中。

星期五下午，一名運行人員造訪了各個電站，增加了上游電站的泄流量，并決定不再另外開啟諾皮科斯基水電站的溢洪道，但電站右側(cè)溢洪道的疊梁門應(yīng)隨時做好開啟的準(zhǔn)備。此時，左側(cè)溢洪道仍然由疊梁門封閉著。

本格特·斯科格先生是業(yè)主單位的一名工程師。當(dāng)天晚上，他前往位于諾皮科斯基水電站東部的夏季別墅。大約晚上8點，他遭遇了“最壞情況的傾盆大雨”，他立即用無線電警示了電站管理人員。電站管理人員告訴他，一名運行人員已經(jīng)在前往諾皮科斯基水電站的路途中。斯科格先生之后一直與該名運行人員保持著無線電通訊。該名運行人員一到達(dá)富路達(dá)，就發(fā)現(xiàn)溪流切斷了通往諾皮科斯基水電站的常規(guī)道路。由于需要從其他線路繞行，正常50 km的路程現(xiàn)在增加到了90 km。

在開車前往諾皮科斯基大壩的途中，該名運行人員被告知諾皮科斯基大壩的水位已達(dá)到了最高水位。若水位再上升5 cm，右側(cè)疊梁門則會自動提升。當(dāng)運行人員到達(dá)諾皮科斯基大壩時，聯(lián)接好的疊梁門正在往上提升，但之后不久就被卡停在了導(dǎo)軌上。之前也曾發(fā)生過類似情況，但大家認(rèn)為已經(jīng)“解決”好了。該運行人員無法將疊梁門提起，于是給一名操作工程師打電話，確定該操作工程師必須親自駕車前往諾皮科斯基大壩給予幫助。另外，維護部門的另外兩名工作人員也被要求隨時準(zhǔn)備給予協(xié)助，如果需要的話。該名運行人員在諾皮科斯基大壩處等待協(xié)助的空擋，他駕車前往上游電站，打開了溢洪道閘門，將泄流量從35 m3/s增加到了55 m3/s。

晚上11點左右，仍認(rèn)為可以提升起疊梁門。他們聯(lián)系了一家設(shè)備租賃公司，讓其提供一臺移動吊車來替代起重機開啟被卡住的疊梁門，但設(shè)備租賃公司找不到吊車操作人員，因為那時已經(jīng)是周五晚間。

晚上11∶45，操作工程師到達(dá)諾皮科斯基大壩。第二天凌晨1∶30，上游大壩的閘門被開啟到最大，泄流量為93 m3/s。雖然上游電站達(dá)到最大泄洪量會加劇達(dá)諾皮科斯基大壩的險情，但大家認(rèn)為這是必要的，以避免上游大壩受損。由于附近的一條溪流漫水出來，在一段50 m長的公路路段，水深達(dá)到了30 cm，因此，不可能由此前往上游電站。

凌晨3∶23，打電話給縣應(yīng)急響應(yīng)工作人員，通知其險情。由于溢洪道自身的泄流能力不足，因此要求采用一架直升飛機將工作人員運送到上游水電站去開啟引水隧洞的閘門。但是，天亮之前，直升飛機無法起飛，且要開啟閘門，需將隧洞排空。溢洪道泄流導(dǎo)致大量回水流進了引水隧洞中。工作人員調(diào)集了卡車和裝載車，要在引水隧洞入口前修建一個圍堰，同時，還需要卡車和裝載車將被洪水切斷的道路維修好。

凌晨3∶30，諾皮科斯基大壩處的電話已不能正常工作，無線電系統(tǒng)成了唯一的通訊方式，并且還需要通過一名在家的操作人員轉(zhuǎn)接。這時候本應(yīng)下達(dá)要求，工作人員應(yīng)駕車前往上游大壩，查看水位上漲了多少，但由于道路被水流切斷了，工作人員無法到達(dá)上游大壩。

凌晨4∶00，工作人員努力保持諾皮科斯基電站盡可能處于運行狀態(tài)。這時水流開始從距大壩右側(cè)100 m處自然低壩段向外漫流。漫頂水流流向50 kV的配電房和電站。凌晨4∶15，電站已被水包圍，水開始流進發(fā)電廠房。電站停止了運行，導(dǎo)致泄流量減小了18 m3/s。

凌晨4∶25，斯科格先生接到通知，移動吊車停在了距大壩幾百米外，因為道路已完全被一條溪流切斷。大壩處的工作人員當(dāng)時僅有一些手動工具來處理和啟動起重機。同時，水位已上漲很高，現(xiàn)場的工作人員意識到大壩保不住了。下游的應(yīng)急響應(yīng)工作人員接到通知，大壩不久后就會潰決，受影響的道路都必須關(guān)閉，并且被告之了預(yù)計的洪水量。

約凌晨5∶10，工作人員試著利用厚板和其他材料來抬高靠近溢洪道處的岸坡，以引導(dǎo)漫過混凝土溢洪道的洪水。凌晨5∶25，水位超過了壩頂，溢洪道旁邊開始發(fā)生沖蝕破壞，接著大壩下游面的頂部邊緣也開始發(fā)生沖蝕破壞。起初，這是一個緩慢的過程，但幾分鐘后，水流已經(jīng)沖出了一條伸向下游面的沖溝。水流還沖蝕了壩頂上的公路，不久后，壩頂上的公路就被切斷，沖蝕加快。沖蝕縱向速度很快，在邊上的速度稍緩。45 min之后，即早上6∶10，幾乎所有庫水（約10萬m3）都已從水庫流出。

大壩潰決之后，斯科格先生列出了導(dǎo)致這一失事的許多因素，包括：

（1）極端降雨和地下水位高；

（2）起重機設(shè)備和機械故障；

（3）道路使用上遇到了巨大的困難，因為該區(qū)域的一些普通溪流切斷了所有的道路，這使增援人員以及提升設(shè)備和工具不可能到場；

（4）電話停止工作；

（5）輸電電桿倒塌，導(dǎo)致了大停電；

（6）所有情況都發(fā)生在夜間，周圍漆黑一片且還在下雨；

（7）要在周五夜間獲得一臺移動吊車和操作人員，這是一個難題；

（8）直升飛機在夜間不能飛行；

（9）直升飛機的無線電只能和空軍基地聯(lián)系，但在周六也失效了，因為空軍基地都關(guān)閉了；

（10）要上游電站提供大流量的抽水泵很困難；

（11）工作人員都筋疲力盡了；

（12）沒預(yù)見到下游水位高，這阻礙了引水隧洞閘門的正常開啟；

（13）當(dāng)試圖排空隧洞時，情況很復(fù)雜，因為上漲的上游水位淹沒了進水閘門，水進入到隧洞中；

（14）工作人員的問題：周末期間很難找到額外有資質(zhì)的工作人員來進行24 h輪班。

總的來說，斯科格先生提出了以下想法：“在大壩安全方面，現(xiàn)在的形勢是，我們要認(rèn)識到以前科學(xué)地分析過哪些事情——降雨將導(dǎo)致怎樣的、未考慮到的入庫流量。我認(rèn)為，目前很重要的一個問題是，在不增強泄流能力并考慮之前提及的各種復(fù)雜性的情況下，該怎樣調(diào)整電站來適應(yīng)實際運行，而這一重要問題之前從未同樣程度地認(rèn)真給予考慮或正規(guī)文件記錄?！?/p>

換句話說，斯科格先生是在提倡大壩安全的系統(tǒng)觀念，其中包括了上述所列的所有因素。

圖1 諾皮科斯基大壩潰壩后的情景Fig.1 Noppikoski dam-post failure

2.2 大壩系統(tǒng)

每座大壩都在其特定的系統(tǒng)內(nèi)運行。對水力發(fā)電的大壩來說，其頂層的系統(tǒng)可能是區(qū)域性電網(wǎng)。大壩，特別是那些發(fā)電的大壩，會對電網(wǎng)產(chǎn)生影響，同時，電網(wǎng)的運行也會影響大壩的安全和可靠運行。俄羅斯薩揚-舒申斯克水電站發(fā)生的事故說明了一座水電站的失事將怎樣影響電網(wǎng)以及電網(wǎng)將怎樣影響一座遠(yuǎn)處的水力發(fā)電設(shè)施。

電網(wǎng)系統(tǒng)包括發(fā)電源、輸電線路、配電線路和負(fù)荷源。同樣，在電網(wǎng)系統(tǒng)中還包括發(fā)電源、負(fù)荷源、輸電線路、配電系統(tǒng)的業(yè)主和運行人員、區(qū)域電網(wǎng)的運行人員以及如美國電力安全委員會（（Na?tional Electric Reliability Council，NERC）或國家公共設(shè)施委員會等監(jiān)管者。同時，電網(wǎng)還會受外部因素的影響，比如自然環(huán)境、其所在國家或州的經(jīng)濟、政治影響、社會影響、人為事故或恐怖活動等。來源于自然環(huán)境的影響包括洪水和地震，通常這兩者會在確定性大壩分析中僅作為荷載工況加以考慮，此外，自然環(huán)境影響可能還包括雪災(zāi)、滑坡、雷電、火災(zāi)以及極寒或極熱的極端天氣。

電網(wǎng)也可能同樣會對某些外部影響因素（如政治和社會影響、經(jīng)濟和人為事故）產(chǎn)生反饋影響。電網(wǎng)可靠性降低會引發(fā)亟需改進的政治和社會需求，這確實發(fā)生過。在2003年美國東北部和加拿大東部的大停電后，確實引發(fā)了這樣的需求。大停電之后，美國國會要求美國聯(lián)邦能源監(jiān)管委員會（Federal Energy Regulatory Commission，F(xiàn)ERC）強制實施電網(wǎng)可靠性標(biāo)準(zhǔn)，這一責(zé)任使美國電力安全委員會的可靠性標(biāo)準(zhǔn)從行業(yè)最佳實踐進化到了法規(guī)要求。類似地，電網(wǎng)系統(tǒng)內(nèi)的業(yè)主、運行人員和監(jiān)管者也會通過其各種行動來對電網(wǎng)產(chǎn)生影響，并且依次被政治因素或社會因素直接或間接影響。

電網(wǎng)系統(tǒng)中的每一個組成部分都可以被看作是一個子系統(tǒng)，其將對下層或?qū)儆谒碌淖酉到y(tǒng)造成影響，例如，負(fù)荷源會影響發(fā)電源，發(fā)電源也會影響負(fù)荷源。每一個子系統(tǒng)（輸電線路、配電線路、發(fā)電源和負(fù)荷源）本身都由若干層次的其他子系統(tǒng)組成。為完全理解可能對某一特定大壩造成的所有影響，就必須理解所有層次的子系統(tǒng)將會受到怎樣的影響以及怎樣反饋給在整個電網(wǎng)系統(tǒng)中的其他子系統(tǒng)。比如，必須了解對輸電線路、配電線路、負(fù)荷源組織的所有影響以及對電網(wǎng)的所有外部影響，以充分了解它們可能會如何影響發(fā)電源，包括水電。類似地，也必須了解所有對發(fā)電源的潛在影響，這樣就能深入到感興趣的某一座特定大壩，確定對這個大壩的直接和非直接影響。

圖2是一個大壩系統(tǒng)的例子。圖中僅表示出了與大壩相關(guān)的子系統(tǒng)，雖然全面的描述會要求把所有分支都表示出來。圖中，實線表示一定程度的直接影響，虛線表示間接影響。只有一個箭頭的線段表示影響僅沿箭頭方向發(fā)生，兩端都有箭頭的線段表示連接起來的事項會以某種形式的反饋回路互相影響。

圖2中，利益相關(guān)大壩表格中的每一項也都同樣需要分解，以獲得全面的大壩系統(tǒng)的可視圖。

顯然，完整的系統(tǒng)分析實際上是不可能的，因為需要將整個電網(wǎng)中的每一個發(fā)電源、負(fù)荷源、輸電線路和配電線路都充分分解。因此，必須設(shè)定一些簡化的假設(shè)條件。筆者的建議是，將給定的某一流域中的大壩盡可能分解到如下程度：對許多外部影響因素來說，與它們相對緊密地聯(lián)系，并且為了獲得最大化發(fā)電量和最少溢流，通常將其作為一個單一的子系統(tǒng)來操作。對于特大型的發(fā)電源，如大古力水電站（Grand Coulee）、米卡水電站（Mica）、尼亞加拉水電站（Niagara）、核電站及某些火力發(fā)電廠，應(yīng)分解成更少的層次，因為如果跳閘的話，它們會快速地破壞電網(wǎng)的穩(wěn)定，從而影響到利益相關(guān)大壩。如果一座水電站大壩的運行直接與一座大型熱電廠、核電廠或火電廠的運行相聯(lián)，則該耦合電廠應(yīng)盡可能分解到的程度為：若一座電站出現(xiàn)跳閘、事故或運行問題，則在非常短的時間內(nèi)會對另一電廠造成直接影響。其他的子系統(tǒng)應(yīng)分解到的程度為：必須能了解它們可能對電網(wǎng)造成的影響，然后傳遞到大壩上的影響，以及怎樣使用反饋來落實控制系統(tǒng)，以將不利影響最小化。

圖2 大壩系統(tǒng)Fig.2 The dam system

使用系統(tǒng)方法可以增進對大壩失事后果的理解。若認(rèn)為大壩事故會對電網(wǎng)大部分造成影響時，潛在的經(jīng)濟損失會非常巨大。

3 系統(tǒng)工程的研究

在美國，已有幾所大學(xué)正在開展對系統(tǒng)分析和評估技術(shù)的研究。斯坦福大學(xué)的伊麗莎白·佩特-康奈爾教授和麻省理工學(xué)院的南希·萊韋森教授已就系統(tǒng)工程概念在復(fù)雜建筑物安全評價中的使用發(fā)表了許多文章。此外，南?！とR韋森教授還就此專題出版了一本著作，即《營造一個更安全的世界》（Engineering a Safer World）。馬里蘭大學(xué)的喬治·比徹教授在探索與大壩相關(guān)的系統(tǒng)工程概念方面表現(xiàn)很積極。以上幾位教授和其他人員所完成的工作為未來技術(shù)發(fā)展拓展了空間。未來將以更全面的方式來評價大壩系統(tǒng)，這種方法可以發(fā)現(xiàn)和評價現(xiàn)在認(rèn)為不可知的未知事項。

4 結(jié)語

美國陶氏化學(xué)公司的CEO安德魯·利韋里斯在他的書《美國福地:重塑經(jīng)濟的案例》（Make it in America:The Case for Re-Inventing the Economy）中寫道：“我想我們應(yīng)該對自己誠實，不僅是關(guān)于將要付出什么樣的代價來升級我們的基礎(chǔ)設(shè)施，還有關(guān)于如果我們沒能成功升級，將會付出什么樣的代價。”

向使用綜合系統(tǒng)方法來評價大壩安全的方向努力不是件容易或快速的事情，它需要不同的思維模式、不同的技術(shù)手段和不同的思考方式。它要求想象力和對大壩已經(jīng)或可能怎樣潰決具有更綜合的理解。

對所發(fā)生的失事，如果只埋怨“黑天鵝”事件或“完美風(fēng)暴”是不能接受的。職業(yè)道德要求使用現(xiàn)有的最好的技術(shù)來保證大壩安全在控制之中。毫不夸張地說，這是為那些可能受失事影響的人們應(yīng)該做的。