第五章 对风险的估价

风险估价同时涉及概率和后果，在第二章中我们第一次评述了测量概率和后果的方法。本章将更加仔细地研究概率。就像本书开始时提到的，风险的最基本因素是偶然性——即我们不知道是否会造成伤害以及何时何地会造成伤害。当然也有不涉及概率的造成伤害的方式，但它们不是风险。一个人从高高的悬崖上跳下来，无疑会立即发生糟糕的事情。（尽管有一个古老的笑话说，一个人从摩天大楼顶上摔下来，经过第四层楼的窗户时，人们听见他说，“到现在为止，一切都还好。”）这注定是要死的，而不只是风险。概率因偶然性而引起人们对它的辩论，它对风险估价至关重要。

本书的第三部分将对概率和统计进行更加透彻地讨论，所有的这些讨论都会更为准确和完整。但有一个特点——也许是最重要的特点——应占主角地位，这就是著名的 N 的平方根规则，尽管没有一个博学的统计学家会这样称呼它。我们将解释这一规则，并举例说明它的合理性。任何一个了解平方根在统计学中的作用的人都差不多已经明白这一规则了。

这一规则——通常是正确的，但也有些例外——简单地说就是一个偶然事件发生次数的难以控制的波动大约等于预计数字的平方根加上或减去一些小的因素。（统计学家把这一魔术般的数字称作标准误差。）因此，从计算事件发生的次数得来的信息大约是同样地不清楚或不可靠的。（这些评论不一样：第一种情况是从信息到观察，而第二种情况则是从观察到信息。）

N的平方根（用 N表示）表示其值相乘等于N。因此9的平方根等于3；

25 的平方根等于 5。更常见的情况是平方根不是整数，但这并不重要。例如，

50 的平方根略大于 7，因为 7 乘 7 等于 49，略小于 50。事实上，50 的平

方根约等于7. 071，写作

50＝7. 071

，你愿意加上多少个小数位就 加

上多少，使得答案越来越精确。在风险分析中，这是浪费时间。请看这样一个例子。

假设我们喜爱的一个棒球队有一名强有力的击球员，他的安打率是 300

（30％的安打率，这是一个可畏的平均数，1988 年主要棒球队中有 20 名击球员达到这一数字）。这个人每赛季都能达到这个水平，因此成为俱乐部不可缺少的人物。可是在最后十几次的比赛中，他有 50 次打数，但却只打出

10 次，因此这段时间他的安打率只是可怜的 200，即使是糟糕的击球员，这一水平也让人嗤之以鼻。这一平均安打率远远低于他的正常水平，当地报纸的体育专栏评论员就会宣称他处于“萎靡”状态，他很可能会在下面几场比赛前的早晨来到公园作额外的击球练习。老板和教练就会找他谈话，讨论出了什么问题，甚至很可能让他坐几天板凳体息一下。这一切有没有道理呢？ 如果假设每次击球都是一个独立事件（这一假设也许正确，也许不正确）， 上面的一切就毫无道理，请看统计数字。

在那 50 次击球中，“正常”情况下他应打出 15 次，这就不会使人担忧了。15 的平方根接近于 4，如果在轮到击球的 50 次中他在任何一个方向出现4 次偏差，没有人会感到奇怪。打出 10 个球是有点超出了范围，但这还不足以使人焦虑。事实上，在这个特别的例子中，我们的击球员在正常发挥的情况下，在 50 次轮到击球时打出 10 次或更少的概率是 0. 079，因此偶然发生的对其不利的机会不到 11 比 1，这并无真正的意义。当然发生这种情况可能性不大，但也并非荒谬绝伦，可能每个赛季会发生一次。

击球员在 50 次击球时打出 20 次或更多的概率是 0. 085，与上面提到

的差不多。因此在这一阶段他的安打率达到 400 的机会与达到 200 的机会差

不多。但达到 400 人们当然会说他手气好，这种情况也可能是平均每赛季发生一次。这种随机事件中的波动并不罕见，如果它们处于预期数值的合理范围内，则不应该从中得出太多的结论。合理范围指的是当 N 是预期值时，加

上或减去小的 N的倍数。

在这个具体的例子中，5 次击球中的 4 次多一点处于“正常”范围，如果赛季不长，他远远超出范围的情况就不寻常了，但棒球赛季如今有 162 次比赛，就是说有许多持续十几次的比赛周期，在其中任何一个周期他都有可能偏离他正常的平均水平。在这些周期内，他会不时被宣称处于“手热”或“萎靡”状态，而事实上，这完全是由于运气。

当然，人应当是理智的。如果击球手在 50 次击球中一次也没有打出，我们就有理由表示怀疑了。发生这种情况的可能性不到 5000 万比 1。如果真的发生这种情况，一定出了严重的事情。

这种思维适用于所有的此类比赛。棒球（美国的全国性运动）是人们在统计分析中最喜欢用的对象，事实上人们发现，所谓的“击球员萎靡”只不过是一种幻想，但几乎所有棒球运动员，经理和体育记者都相信这一点。在篮球运动中，某一个运动员的投篮命中数次数越小，随机波动的相对效果越大。但大部分运动员、教练以及球迷都相信运动员是有“手热”的，从而设计比赛时把球传给他，因为他“命中率高”。我们还没有谈到赛马，轮盘赌、掷骰赌博以及其他这种靠运气的游戏中的一连串胜利的情况，财产的获得和失去是在追寻好运期中发生的。更不用说股票市场了，几乎所有的统计研究都表明短期行为的主要因素是随机波动。

现在看看常在新闻媒介中出现的具体例子：有两个镇，我们姑且把它们叫作阿尔德瓦克和日佐米斯，这两个镇子在社会问题方面非常相似，人口相同，但日佐米斯处于一个为公众市场生产齐特拉琴的大工厂的下风。在 10

年的时间里，人们发现在阿尔德瓦克出生的婴儿有 100 名是音盲的，而在日

佐米斯却有 110 名。那么是否应该责备这家工厂并禁止它生产齐特拉琴，或者只能在政府的严格规定下才能生产呢？或者坚持这家工厂装上隔音装置， 使得无辜的日佐米斯免受试琴的灾难之苦呢？答案是不（即使不考虑公认的制造齐特拉琴的社会效益），因为这两个数字的平方根大约都是 10，人们一般能预计这种偶然波动。如果日佐米斯有 150 位音盲的儿童，差别就远远大于 10，也就更难以用统计波动来说明，会被认为具有“统计意义”。音盲是否应归咎于齐特拉琴的制造是另外一回事，因为两个镇子之间可能会有以前未注意到的区别。这也是烟草业的辩护士惯用的一个借口，在吸烟引起肺癌的大量证据面前，他们说“统计方面的联系并不一定意味着因果关系”。尽管在技术上他们是正确的，但在烟草问题上显示因果关系的还有其他证据。而齐特拉琴却不是这样。

因此，我们讲数据“意义”时使用事件发生次数的平方根来确定我们看到的差异是否有意义。当然标准可以定得更精确一些，但现在这样已经足够了。对于概率不到 0. 05 的事情来说，如果偶然事件发生的机会与观察结果相比大于 19 比 1，生物学家就习惯于把数据看作具有统计意义。这一选择没有理论基础，完全是任意决定的，但它在生物培植中的地位根深蒂固，很少受到怀疑。

这种分析在别的场合也很重要。本章在第一次撰写时恰逢是总统大选季节，我们有时看见民意测验的模拟投票的结果大体是这样宣布的：“在调查的 100 名登记选民中，候选人 A 稍稍领先候选人 B，他获得选票的 52％。” 由于几个有竞争力的候选人的差距很可能是随机波动的，我们知道所谓的稍稍领先没有任何意义。事实上，下一个星期的调查也许会发现该候选人落后2％。而如果发生了这种情况，也许会有人宣称，毫无疑问这是因为他不是同自己的妻子，而是和另一女人一同在公共场合出现的结果。这一数字同样不重要，至少在统计上是如此。我们越是深入研究某些特定灾难的概率，这种小数字的问题就越麻烦，特别是在这一事件带有较大的自然发生率时。有些结果会在 N 的平方根水平上，但是否应把它们当作事情的真相对待还不清楚。

前面提到过 4 种风险，现在应该问一下到底怎样估计这些风险发生的概率。如果我们逐一进行讨论，问题会越来越大。

人们熟悉的严重风险

这是最容易的一关，因为糟糕的主角们——汽车事故，飞机事故，甚至谋杀——经常出现，所以统计数字也很完整，其社会风险也易于估计和测量。在第二章中我们举了个例子，这里需要作点补充。统计数字是直接用来确定事件发生的概率的，在估计中的统计上的不确定性常常由 N 的平方根法则来决定。最频繁的事件因此（相对来讲）也是人们最熟悉的。

低概率但后果严重的风险

尽管前面用大地震作为这种风险的范例，但它们与技术的联系微乎其微。的确，人们进行了大量的科学工作来预测地震和设计抗震楼房及其他建筑物，但这种风险的起因不是本书的主题，大坝倒塌也不是，尽管它的威胁极大。（从历史上看，每 300 座大坝中有一座刚建成就倒塌，其他的后来倒塌。）

然而大建筑在结构上的失败却是不能完全忽略的，尽管这种失败几乎总可归因于人在设计、建设和维修中的失误。这种不时发生的错误可被看作是因为不懂得基础技术。下面就有这样一个例子。

1940 年，跨越皮吉特海峡南端的世界第三长吊桥塔科马海峡大桥在一片喧嚣声中交工使用了。它有半英里多长，只有跨越旧金山湾入口的金门桥和飞架哈得孙河，连接纽约和新泽西的乔治·华盛顿大桥比它长。那两座桥建于前 10 年，那是个建吊桥的年代。不用说，这座新桥是由一位杰出的桥梁设计家设计的，结构很优美。

仅仅在 4 个月以后，它在一阵不大的风中倒塌了，倒塌的过程持续了几个小时，是人们可以想象的最富有戏剧性的场面之一——大桥发生剧烈的摇摆和扭曲，巨型吊缆像孩童的跳绳一样抽打，惊慌失措的司机们弃车而逃， 竭尽全力保持平衡地爬向安全的地方。由于整个倒塌过程的时间持续很长， 桥上的每个人都得以逃生，生命财产没有受到损失，除了一只丢弃在一辆车里的小狗。这种大规模的旋转运动从未在吊桥上发生过，这一场面给人留下的主要印象是吊桥结构的巨大弹性。该桥在最后坍塌之前遭到了极端的辱

骂，但有一点很关键，它的设计和建造都是完美的。

例行的调查披露了好几件事，其中之一是那个倒霉的经手该桥 600 万美元保险单的代理人——那笔钱大约为该桥的建筑费用——侵吞了保险费。大概他深以为桥梁是不会坍塌的，保险只是浪费纳税人的钱，他最后进了监狱。但主要由一些杰出的桥梁专家组成的委员会进行的技术调查却没有发现原设计有任何错误，在短时期里，华盛顿州州长甚至还想根据旧的图纸重新建桥， 以省点钱。庆幸的是这种想法为期不长，该桥在 1950 年重新设计和建造，现在桥还在，至少在我写这本书的时候还在。什么事情都无法保证。

发生了什么事？飞机和轮船的设计者熟知的涡流现象桥梁设计者显然不知道，这种现象在第一次刮大风时就会造成了灾难。这种涡流被称作冯·卡曼涡流，是以一位著名的航空工程师的名字命名的，他如何参与桥梁建筑的故事记载在他的自传中。任何人划船时都能在水面上看见涡流——它们是在橹或桨的尾部形成的小旋涡。风使桥的尾部形成类似的涡流。在那致命的一天，涡流以所谓的共振频率推动着桥，摇摆越来越大，最后桥坍塌了。我们在推孩子荡秋千时使用共振——如果推的时机抓得准，振幅可以很大。那一天，风正是抓住了时机。

因此，即使是专家有时也犯严重的原则错误（不是操作错误，那是另外一回事），但其概率很难估计，我们从经验中得知这种情况会发生，因此我们从来都不认为人是完美的。要知道人到底有多大程度的不完美是一更加难以估计的风险问题。

但这使我们难以估计那些罕见但又偶然会发生的事件的概率。有两种方法：根据经验和根据分析。经验方法也就是这个词的字面意思——搜集发生的可比事件中所有能得到的数据，作人们所谓的有情报根据的估计。分析方法当然更具分析性，其最高形式被称为概率风险估价，概率风险估计是对风险的估计，把概率考虑在内。

基本思想是，极少有灾难会突然出现，许多灾难都是一些结局并不总是很槽的小事发展到极点。最后的不幸也许是罕见的，但造成不幸的那些事情却不罕见，我们在这方面也许有一些有用的数据，即便没有，也至少可以有专家作较好的估计。因此，如果（问题就在这里）我们知道最后事件发生的大部分方式，我们可以把每一个中间事件发生的机会加在一起，对最后的概率作一个像样的估计。误差是不可避免的，但知道一些总比什么也不知道好。

作为一个基本逻辑的例子，考虑一下一场精彩的棒球赛，在这场球赛中， 投球手使他面对的所有 27 名击球手退场。这种情况非常罕见，尽管投球手使任何一位击球手退场的机会有 70％。我们来估计一场完美球赛的机会——罕有事件——从使一位击球手退场的概率开始，假设击球手都是独立的，这意味着使一位击球手退场的概率是 0.7，两位是 0. 49，乘上 27 次。其结果是15，000 次中有一次，或者说对一名投球手来说，其概率是 15，000 比 1。

这一估计准确程度如何？在过去的几十年中，主要联队每年平均有 3000

场比赛（对两位击球手每场比赛算了 2 次，每位击球手都有一次机会），因

此我们可以期待每 5 年左右会见到一场完美的比赛。事实上，在过去 40 年中，

即“现代”，恰恰出现了 8 场完美的比赛，因此我们的估测是对的。这种计算确实是行得通的。

知道了单个起作用者（每一个杀出局）的基本概率，假设他们互相没有关系，并且知道它们如何依次导致了罕有事件（完美的比赛），就有可能估

计后者发生的概率。这是一个简单的例子，因为次序很简单而且完全被人知晓——投手必须先使第一位击球手退场，然后是第二个、第三个、直到第九盘。要达到最后的结果只有这一条路。其结果最后令人惊讶地接近于实际经验，而本来并不一定要接近事实——记住平方根法则。我们很幸运。

这种计算在大多数长期的好运或坏运降临时是行得通的，就像一连串的胜利或一连串的失败一样。体育运动中确实有一次例外，即 1941 年乔·迪马

吉奥的 56 场比赛连续安打期。没有人能接近这一记录。斯蒂芬·杰伊·古尔德认为，尽管迪马吉奥的击球技术很高（一生平均安打率为 O.325）。这一时期对他来说也是很幸运的。好的击球手在某一年达到这个记录的概率是100 比 1。但这里也有一个熟悉的教训——低概率不等于零概率。事情是可能发生的。

举一个较难的例子——譬如说商用飞机在飞行时掉了一个机翼。这较为复杂，仍是罕有事件，但发生的方式较多。我们以列举不同的事故原因开始， 虽然心里知道不可能列出所有可能发生的事故原因。我们会想到由于遇到坏的天气，飞行对机翼的压力过大，并估计这种事发生的概率。我们会想到维修失误使翼梁压力过大（1979 年在芝加哥坠毁的 DC—10 飞机就是由于维修不善导致引擎座架断裂），并估计这种失误的概率。我们也许会查询飞机的飞行历史，因为金属疲劳最终导致脆化以及裂缝的增加，后者又导致结构失灵。（所有金属成分都有裂缝，它随着时间和使用而不断发展、增大，但大多数裂缝不会导致结构失灵，除非裂缝太大，或受到重压。重复压力是最槽的， 1988 年阿洛哈航空公司一架飞机因发生了机身故障。在我撰写这本书时，我们老化的商用喷气式飞机大队似乎在流行裂缝以致结构失灵。）如果我们比那时的人聪明，我们也许会想到飞机刚开始投入使用时会引起一些厄勒克特拉机翼失灵的颤动——那种现象与发生在塔科马海峡大桥身上的现象并无二致，等等。

在我们列举了所有结构性故障原因并确定了每一种原因导致事故的概率以后，我们可以把那些概率相加、相乘，以估计机翼脱落的总概率。这被称作“错误之树”，因为一张标明了所有不同原因及其相关的概率的图表看起来像一棵树。设立一棵错误之树的一个附带好处是我们可以被迫明确地考虑该系统不同部分的相互作用。概率风险估计包括建立错误之树和事件之树（在后面），从而对事件的可能发生的原因以及与此相关的概率作一个总的估测。一个罕见事件的发生是因为许多东西失灵所造成的，但这种事仍然可以进行探讨，因为每个导致最后结果的单个事件也许并不太罕见。

事件之树是倒立的错误之树。在错误之树中，我们集中注意最后事件的发生，并列举导致其发生的各种原因，而在事件之树中，我们从事件开始， 列举其可能造成的后果。一个典型的概率风险估计从建造事件之树开始，对飞机来说，事件之树也许从引擎失灵开始。是在低海拔发生的吗？飞行员技术如何？引擎能否重新启动？在每一阶段，都有事情变糟或变好的可能，然后再进入下一个戏剧性场面，这就像想出一步棋的各种结果。大部分结果都会是无人受伤，但总有发生灾难的概率。这个数字这时也能估计出来。

许多这些概率都取决于系统中其他部分的运转。引擎设备是否还在工作？电子系统是否还有效？水压系统是否完好无损？这里的每一项都有一个概率，估计概率的方法就是对每个项目设立一棵错误之树。这样这些错误之树就可以用来确定事件之树各枝条的概率，其组合就称为概率风险估计。

整个过程从概念上来讲很简单，但在实际中也可以极为复杂。目前最高水平的概率风险估计是对核电厂事故风险的估计——第二部分中会讲得更多

——它估计了几千种潜在的事故发展原因。核电厂老板如果希望为他的工厂作概率风险估计，最好先为这项工作准备几百万美元。但这是估计这种复杂系统失败概率的最佳方法，而它又不经历实际的灾难。这才是问题的要点。存在一些固有的问题，即你不能考虑到所有的因素，你只能尽力而为，

这样的问题属于完整性问题。如果整个系统中有人，例如飞行员或工程师， 而对他们在紧张状态下其行为的预测不能达到完全的程度，这种问题叫作人的因素问题；有时各部件的故障并不是按顺序依次发生的——地震把某样东西从架子上震下来，打碎了控制板，引起大火，扯断了消防水管，同时震塌了消防站的屋顶，这种问题叫作同一原因（或同一方式）的故障问题。诸如此类的困难很多，但没有一种困难使我们的工作不可能完成。它们只是增加了最终的“末行数字”答案中的不确定性，但一个不确定的答案总比完全没有答案好。这种估计目前常应用于核反应堆领域，并正扩展到其他领域。

概率风险估计可用于——是唯一的方法——估计不大可能发生的事件的概率，如那些也许 100 万年才发生一次的事情。在这种情况下使用概率风险估计并获得结果后，人们很快就发现大部分人，包括在其他方面富有经验的科学家和工程师，都不知道“一百万分之一”是什么意思。核管理委员会提议核安全的合理目标是商业核电厂大事故发生的机会每年是一百万分之一， 这有两方面的麻烦。有些人很得意，因为他们认为这样低的可能性意味着不会发生，并认为整个事情很愚蠢。另一些人则认为无论多大的可能性都是太大了。（甚至核管理委员会似乎也属于第一小组，在宣称百万分之一数字的同一份文件中指出其政策是完全防止这种事件的发生。）如果第二组的人想要找到他们为这么低的概率而着急的合理原因，他们会指出这种可能性接近于个人赢得彩票的可能性，但总有人赢得彩票。当然，区别在于：上百万人购买彩票，而某个人赢和你赢这之间的差别太大了。这就像别人告诉你你是百万分之一——你在认识到这意味着全国像你这样的人数以万计以前一直很兴奋。

对这种低概率的解释和理解远远比不上我们计算这些概率的能力。一个概率，不管多么小，其含义就是数字本身的含义，百万分之一的概率意味着某件事平均试一百万次就会发生一次，如果计算正确的话。它并不意味着永远不会发生，也不意味着它肯定明天就会发生。

从未发生过的事件，但是

在这种情况下概率非常低，我们几乎只能作纯粹的猜测了。下一次大选之前仁慈的外星人来到地球上整顿好美国的政治，发生这种事的概率有多大？也许很低，但要确定一个数字却是愚蠢的。下一次圣安德烈斯断层发生大地震，使得旧金山滑进太平洋的概率有多大？也许还是很低——很抱歉， 各位。地球上人口越来越快的增长——过去 40 年中翻了一番，今后 30 年很

可能要再翻一番——在未来 50 年中给人类带来大灾难的概率有多大？很大，但即使是考虑一下解决方案也会引起社会动荡，因此我们就不去考虑了。

在那些情况下，我们可以作一些有情报根据的猜测。它们也许只是猜测， 但总比什么也没有好。然而，其他一些猜测将让位于概率风险估计，尽管概

率确实微乎其微。这就像一场完美的比赛。

一个勉强可举的例子也许是一块大陨石在未来 10 年内落到美国一个人

口稠密的城市的概率。美国人口超过 100 万的大城市有 40 多个，其面积从

25 平方英里到几百平方英里不等，总面积大约是 3000 平方英里，美国地面

总面积大概有 300 万平方英里，因此落在美国的陨石（如果陨石不是外星投手掷的）落到某个城市的概率有千分之一。近代最大的陨石在亚利桑那州的温斯洛附近砸出一个大坑，直径大约为 4000 英尺，深 600 英尺。我们认为这

发生在 5 万年以前，因此可以合理地估计这种事大约 10 万年发生一次。现在

我们准备以一连串概率为基础作一个估测；未来 10 年中掉下一块大陨石的机会有万分之一，落在大城市的机会是千分之一，那么事件发生的总概率是一千万分之一，或 0.0000001，它的发生不是不可能，它可能会发生，但不要为此睡不着觉。

这一类风险更切合要点的一些问题将在第二部分作更彻底地讨论，例如核冬天，格陵兰冰山由于温室效应而融化，核废料储藏地的泄漏，以及其他一些时间遥远、低概率的技术风险。严格他讲，在这一类中还应该包括美国发生一次大的核事故——到目前我撰写本书为止，它还未发生，但其发生的概率是完全可以计算出来的，如果有充足的时间，它的发生是不可避免的。对于所有这些情况，上面描述的方法都是可以使用的，已经发生的罕有事件和从未发生的事件两者的计算方法实际上没有什么区别。

在“自然”发生的背景中隐藏着的风险

我们前面已列举了一些例子——化学品致癌作用，氧，杀虫剂，饮用水中的污染物等等。问题在于区别出微小的附加后果，检查一下这些后果是否真实，如果是真的，有多重要。（在写作本书时，我们正处于对氡的全国性小型恐慌之中，甚至超级市场也在出售所谓的测氡工具。）这里的主要分析工具是 N 的平方根法则。本章已描述过这个法则，在第三部分中将详细描述。它为我们测量自然环境中微小变化的能力确立了一个界限。

然而还有其他一些工具。例如，在显微镜下，由长期吸入石棉引起的癌症显示出与其他对肺部的侵害例如吸烟（尽管有证据表明它们有相互作用） 引起的癌症的不同。如果损害的原因有具体的标记，那么即使增加量很小， 也可以鉴别出来。（想想对谋杀武器的弹道测试。）

同样，有些风险适用于被控制的实验，这些实验一般是对实验室动物进行的。几年前，动物热爱者反对把小猎犬用于估计吸烟对人的影响的实验， 但通过这些试验人们确实学到了很多东西。用其他有潜在危险的物质对动物进行试验也是如此，因为这些试验可以在那些有问题的物质的影响被隔离的情况下进行。事实上，目前艾滋病研究的一个真正障碍是缺乏易于感染这种病毒的动物。艾滋病似乎注定是人类历史上最大的杀手之一，但这一风险不是技术风险，至少在此时（1989 年末）人们还未能掌握这种风险即将到来的严重性。

那么，对于这一类风险，进行估价的主要工具是仔细的统计和流行病分析，加上对这种现象的实验室研究和理论研究。如果没有后者，我们就只能做到前者，这样，风险估价就会成为一个困难较多的工作。第十二章中会有这方面的例子。