灾难的模型生意

把时钟拨回1994年，深圳。华为公司的C&C08程控交换机开始大规模进入中国电信市场。这台设备的功能超越了当时主流的进口交换机，价格却只有同类产品的一半。

它迅速占领了农村电信市场，随后进入城市。华为的销售额从1994年的8亿元跃升至次年的15亿元，此后以每年超过100%的速度增长。C&C08系列最终成为全球销量最大的交换机。

它的成功不仅在于技术，更在于一种商业逻辑：将复杂的通信技术封装为可大规模销售的产品，以价格优势和精准的市场定位，彻底改变了电信设备的竞争格局。工程师们将数以万计的电路设计、信号处理算法和网络协议压缩进机柜，用户不需要理解其内部如何运作，只需要知道它能接通电话，而且比竞争对手便宜。

同一时期，在地球另一端的加利福尼亚州帕洛阿尔托，另一群工程师也在进行一场封装——但他们的工作对象不是通信信号，而是地震波、飓风路径和建筑物的崩塌方式。这场封装的源头，可以追溯到更早的行业危机。

他们的起点，是一个看似纯粹学术的问题：如果一场千年一遇的灾难同时击中保险公司承保的所有资产，这家公司会破产吗？这个问题在1980年代末之前，并没有精确的答案。保险业依赖的是历史损失记录、粗糙的风险地图和再保险经纪人基于经验的直觉。一家保险公司知道自己承保了多少旧金山的写字楼、多少迈阿密的海滨公寓，但它无法回答：当地震或飓风的强度超过历史记录时，这些资产会同时遭受多大损失？

传统精算学建立在“大数定律”之上——当风险事件数量足够大且彼此独立时，平均损失趋于稳定，保费可以据此精确定价。但地震、飓风这类巨灾恰恰违背了这一定律：它们发生频率极低，一旦发生，损失高度相关，会同时冲击成千上万张保单。保险公司赖以生存的风险分散机制，在巨灾面前是失效的。

这个缺陷在1980年代末至1990年代初被一系列灾难残酷地暴露出来。1989年洛马普列塔地震袭击旧金山湾区，造成63亿美元的保险损失。

1992年安德鲁飓风横扫佛罗里达，保险业赔付高达155亿美元，十余家保险公司因无法承受赔付而破产。劳合社（Lloyd‘s of London）的私人承保人——那些以无限责任个人财产为担保的“名人”（Names）——遭遇了毁灭性打击。巨灾损失的不可预测性和潜在规模，动摇了整个保险业的定价基石。

正是在这种行业性焦虑中，斯坦福大学、麻省理工学院等研究机构的工程师和地球科学家们，开始尝试用计算机模拟来回答那个关于破产的问题。

他们的工具并非凭空创造。冷战时期积累的国防与航天技术提供了现成的方法库：有限元分析用于模拟建筑结构在应力下的响应，计算流体动力学用于模拟飓风的风场结构，地震波传播方程来自石油勘探和核试验监测。这些原本用于设计飞机机翼、潜艇壳体和预测核爆冲击波的技术，被转而用于模拟风如何撕碎屋顶、地震波如何使钢筋混凝土建筑扭曲崩塌。早期的模型运行在大型计算机上，一次模拟可能需要运算数天。

地理分辨率粗糙，建筑类型分类简单——所有混凝土建筑可能被归为同一类别，忽略设计年代、施工质量和维护状态的差异。

但其核心逻辑已经确立：将自然灾害的物理过程、暴露在灾害下的资产分布、以及资产在特定灾害强度下的易损性，三者结合在同一个计算框架中。用后来的行业术语说，这就是“致灾因子模块”、“暴露模块”和“易损性模块”的耦合。

这个逻辑链条的每一环都需要数据。地震波传播方程需要地下岩层结构的数据，飓风路径模拟需要数十年历史风暴的轨迹和强度记录，建筑易损性曲线需要大量灾后调查数据——某次地震中，按照某种规范设计的建筑在某个烈度下倒塌的比例是多少。这些数据一部分来自公共机构：美国地质调查局（USGS）的地震动图、国家气象局的风速记录、大学和政府的灾后调查报告。

另一部分则来自保险公司自己的理赔档案——那些记录了每次灾害中每张保单赔付金额的数据库，蕴含着关于建筑实际表现的宝贵信息，但此前从未被系统性地用于风险建模。

1987年，一位名叫凯伦·克拉克（Karen Clark）的波士顿经济学家在一家再保险公司内部建立了第一个商业意义上的巨灾模型。她的工具还很原始，但逻辑清晰：将历史飓风路径平移和旋转，生成数千个可能的“合成飓风”，计算每种情景下公司承保资产的损失。

这是后来被称为“随机模拟”或“蒙特卡洛方法”的核心思想——不试图预测下一次灾难会在何时何地发生，而是生成数万种可能的灾难情景，计算每种情景的损失，然后统计损失的概率分布。

保险公司关心的不是平均损失，而是“尾端风险”——概率极低但损失极大的极端事件。一家公司可能在99%的年份盈利，但如果在那个1%的年份损失超过资本储备，它就会破产。巨灾建模的核心价值，就是量化这个尾端。

克拉克的模型在业内引起了注意，但她所在的再保险公司并未将其作为独立产品销售。

真正的产业转折发生在1980年代末至1990年代初，几位从大学实验室走出的研究者意识到，这些算法可以封装成商业软件，以高昂的授权费出售给整个保险行业。1987年，斯坦福大学土木工程系的研究者成立了应用保险研究公司（Applied Insurance Research），后来更名为AIR Worldwide。几乎同时，斯坦福的另一位研究者与合作伙伴在加州门洛帕克成立了风险管理系统公司（Risk Management Solutions，简称RMS）。这两家公司，加上后来在伦敦成立的EQECAT，构成了此后三十年全球巨灾建模市场的三巨头。

这个时间点并非偶然。安德鲁飓风之后，保险公司和再保险公司陷入恐慌。它们急需一种比历史经验更可靠的风险评估工具，以说服评级机构、投资者和监管者：自己不会在下一次巨灾中破产。

个人计算机和工作站的计算能力在1990年代初达到临界点，使得原本需要大型机的模拟可以在桌面设备上运行。

第三个因素同样关键：再保险市场正在经历结构性变化，传统的“关系型”承保——依赖经纪人的人际网络和长期合作关系——开始让位于“交易型”承保，后者要求以标准化、可量化的风险信息为基础。巨灾模型正好提供了这种标准化语言。

AIR和RMS的产品形态从一开始就遵循了类似的商业逻辑。核心算法被封装为“黑箱”——客户可以输入自己的资产组合数据，点击运行，得到损失概率分布，但无法查看或修改模型内部的假设和计算过程。授权费按公司规模和使用的模型种类收取，从每年数十万美元到数百万美元不等。对于一家在全球承保巨灾风险的再保险公司，这可能意味着每年支付上百万美元，购买地震模型、飓风模型、洪水模型等多个模块的使用权。

这种商业安排意味着，城市中每一栋写字楼、每一片港口设施、每一个住宅社区的灾害风险，不再首先由市政工程师或公共机构评定，而是由私有公司开发的商业模型以“期望损失”和“尾端风险”的形式量化。

这个量化结果直接决定了资产的保费水平，进而影响其能否获得贷款、以何种条件获得贷款。银行和抵押贷款机构开始要求借款人提供巨灾风险分析报告——而这些报告通常只能由购买了模型授权的咨询公司或保险经纪人出具。风险定价的权力，从公共领域转移到了私有领域。

这一转变的核心机制在于数据。巨灾模型的精度取决于输入数据的质量和数量。

地震动衰减公式——描述地震波从震源向外传播时强度如何衰减的数学方程——是地震模型的核心。不同的衰减公式适用于不同的地质构造区域：加州圣安德烈亚斯断层的地震波衰减方式，与日本南海海槽完全不同。选择哪个公式，直接决定了模拟损失的结果。

飓风模型的分辨率同样关键：风场模型能否准确模拟风眼壁的结构、登陆后风速的衰减速率、以及地形对风场的干扰？建筑易损性曲线——给定风速或地震烈度下，某类建筑遭受特定程度损坏的概率——也是模型中最不确定的部分，因为它依赖于对建筑规范、施工质量和材料性能的假设。

在学术领域，这些假设和方法通常在同行评议的期刊上公开讨论。但在商业模型中，它们被视作商业机密。

AIR和RMS的模型文档会说明模型的基本框架，但不会公开具体的衰减公式参数、易损性曲线的数据来源和校准方法。一家保险公司如果质疑模型的结果——比如认为模型高估了加州某类钢结构建筑的损失——它无法自行验证模型内部的计算过程，只能选择相信，或者购买另一家公司的模型进行对比。

这种黑箱化在1990年代并未引起太多争议，因为整个行业还处于学习阶段。保险公司的高管们惊叹于模型能够在数小时内生成数千种灾难情景的损失分布，而此前这需要精算师数周的手工计算。模型提供了一种前所未有的“精确感”——损失数字精确到美元，概率精确到小数点后四位。这种精确感本身就是一种商品：它让保险公司能够在评级机构和投资者面前展示自己的风险管理能力，能够在与再保险公司谈判时引用“科学”的数据，能够说服监管者自己持有的资本足以应对极端事件。但精确感并不等同于精确。

1994年北岭地震暴露了早期地震模型的严重缺陷。这场发生在洛杉矶郊区的6.7级地震造成约150亿美元的保险损失，远超大多数模型对同等震级事件的预测。原因很快被查明：模型低估了北岭地区特定地质条件下地震动的放大效应，也低估了木结构住宅在地震中的易损性——尤其是那些带有“软层”（底层车库上方为居住空间）的建筑。

模型公司迅速修正了参数，但问题已经暴露：模型的“精确”输出，取决于输入假设的质量，而这些假设往往只有在灾难发生后才被证伪。

1995年阪神大地震进一步加剧了这种认知。日本的地震保险体系与欧美不同，巨灾风险主要由政府再保险计划覆盖，商业模型的市场较小。但阪神地震中现代城市基础设施的级联失效——高架桥倒塌、港口液化、燃气管道破裂引发火灾——让全球建模者意识到，模型需要考虑的不仅是单体建筑的损害，还包括基础设施互依性导致的间接损失。

这正是第15章所描述的那种“系统间的韧带”问题，但商业模型公司在1990年代的技术条件下，几乎无法将这种复杂性纳入概率框架。

尽管如此，巨灾建模产业在1990年代后期经历了爆发式增长。到2001年，全球约60%的巨灾再保险保费使用模型定价。AIR和RMS的员工从最初的十几人扩张到数百人，客户遍及全球主要保险市场。模型覆盖的灾害种类从地震和飓风扩展到洪水、冰雹、龙卷风、甚至恐怖袭击。2001年“9·11”事件后，恐怖主义风险模型迅速成为新的增长点——尽管这类模型的科学基础远比自然灾害模型薄弱，因为恐怖袭击的概率几乎无法从历史数据中推断。

产业重组的后果是多重的。第一重后果是定价权力的转移。在巨灾模型出现之前，再保险定价主要依赖再保险经纪人——那些在伦敦金融城、苏黎世和百慕大穿梭的人，他们掌握着保险公司和再保险公司之间的信息流。经纪人的判断力、经验和人际关系构成了定价的核心。模型改变了这一切。

经纪人仍然重要，但他们越来越多地扮演模型结果的解释者，而非独立判断者。再保险交易的谈判桌上，双方争论的不再是“这场飓风可能造成多大损失”，而是“你的模型用了哪个衰减公式”和“你的易损性曲线为什么和我的不一样”。定价权力从人转移到了算法，而算法掌握在模型公司手中。

第二重后果是风险认知的标准化。在多家模型公司竞争的市场中，每家公司的模型输出并不相同。同一份资产组合，AIR可能计算出年均损失为5000万美元，RMS可能得出7000万美元。这种差异源于模型假设的不同——但这些假设并不公开。保险公司面临一个困境：应该相信哪个数字？实践中，许多公司选择同时购买两家或三家公司的模型，取平均值或保守值。

这导致了一个悖论：模型本应提供更精确的风险认知，但模型间的分歧反而增加了不确定性。更深刻的问题在于，当整个行业都使用相同的几套模型时，风险认知被标准化了。

如果所有主要保险公司都使用AIR的地震模型定价加州地震风险，那么整个行业的定价都依赖于AIR对加州地震风险的理解。如果这个理解存在系统性偏差——正如北岭地震所揭示的——那么整个行业都暴露在相同的偏差之下。第三重后果是风险分配的隐性化。当市政工程师评定一栋建筑的地震风险时，这个过程至少在原则上受到公共审查：建筑规范的修订需要公开听证，地震区划图的更新需要发布征求意见稿。但当一家商业模型公司将同一栋建筑的风险量化为期望损失和尾端风险时，其方法是不透明的。建筑业主、租户、城市政府——这些与风险分配直接相关的利益方——无法获知模型如何评估他们面临的风险，更无法挑战模型中的假设。保费和贷款条件的变化是模型输出的结果，但导致这些结果的逻辑链条隐藏在商业机密的帷幕之后。这种隐性化在2005年卡特里娜飓风之后遭遇了前所未有的挑战。这场飓风造成超过600亿美元的保险损失，是美国历史上最昂贵的自然灾害。

灾难发生后，保险公司和再保险公司之间爆发了大规模的理赔诉讼。争议的核心之一，就是巨灾模型在事前对卡特里娜级别飓风的损失预测。一些再保险公司指控，保险公司在购买再保险时提供的模型分析严重低估了风险，导致再保险费率定价过低。保险公司则反驳说，模型公司提供的飓风模型本身存在缺陷——尤其是对墨西哥湾沿岸堤防系统失效后的洪水损失估算不足。诉讼过程产生了意想不到的后果：模型公司被迫在法庭上部分公开其模型假设。在专家证词和证据开示程序中，AIR和RMS的建模者不得不解释他们如何选择飓风风场模型的分辨率、如何估算新奥尔良地区建筑在长时间浸泡后的易损性、以及为什么模型未能充分考虑堤防溃决后的级联效应。这些此前被严密保护的商业机密，在诉讼压力下被部分曝光。行业观察者第一次有机会窥见黑箱内部的构造——他们发现，模型中的许多关键参数并非基于严格的实证研究，而是基于建模者的“专家判断”，即在一定范围内的主观估计。卡特里娜飓风后的诉讼潮持续了数年。

到2010年，相关的保险和再保险诉讼案件累计超过两千件，涉及金额数百亿美元。虽然大多数案件以和解告终，但整个过程暴露了巨灾建模产业的核心矛盾：模型越精确，风险定价越“科学”——但模型的商业封闭性，恰恰削弱了民主过程对风险分配的审视能力。城市中数百万居民和企业的保费水平、贷款条件、乃至能否获得保险，取决于几家公司内部算法中的参数选择。而这些参数的选择，在卡特里娜飓风之前，几乎完全不受外部审查。这个矛盾在2010年代进一步深化。巨灾模型的市场继续扩大，全球巨灾再保险市场在2019年达到约2500亿美元的保费规模，其中绝大多数使用模型定价。AIR和RMS各自占据约40%的市场份额，EQECAT和其他小型公司分享剩余的20%。三家公司的年收入合计超过十亿美元。模型覆盖的地理范围从北美和日本扩展到全球几乎所有主要灾害暴露区域：拉丁美洲的地震、东南亚的台风、欧洲的洪水、澳大利亚的丛林火灾。

模型的技术复杂性也在增加：2010年代后期，AIR和RMS相继发布了“概率性”洪水模型和“时间依赖性”地震模型，后者试图将断层的地震复发周期纳入概率计算。但技术复杂性的增加，并未解决黑箱化的根本问题。相反，模型越复杂，外部的审查就越困难。一个包含数万行代码、数百个参数和数十个数据源的模型，即使其文档完全公开，也只有极少数专家有能力评估其合理性。而当这些代码和参数被作为商业机密保护时，公众对风险定价的监督几乎不可能。城市防灾的一个关键环节——评估谁面临多大风险、谁应该为此支付多少代价——在民主程序之外悄然运行。这种状况并非任何阴谋的产物。它是巨灾建模从公共研究领域进入商业市场时，制度条件、市场压力和关键主体选择共同作用的结果。大学实验室的研究者需要资金来维持和扩展他们的工作，保险业愿意为更好的风险评估工具付费，而知识产权保护是商业软件公司的基本生存策略。每一步选择在当时都有其合理性。

但累积的结果是一个结构性转变：防灾技术从公共品变成了有价资产。美国地质调查局的地震动图、国家气象局的风速记录、大学灾后调查积累的建筑易损性数据库——这些由公共资金支持的工程扩散阶段的成果——被吸纳进商业模型后，其增值部分不再回馈公共领域，而是成为私人公司的利润来源。到2020年，全球巨灾模型市场的年收入估计超过十五亿美元。三大模型公司雇佣了数千名工程师、气象学家、地震学家和精算师。它们的客户不仅包括保险公司和再保险公司，还包括政府机构、国际组织和资本市场投资者。世界银行在评估成员国灾害风险时使用商业模型，评级机构在评估地方政府债券时参考模型输出，对冲基金在交易巨灾债券时依赖模型定价。巨灾建模已经成为全球金融基础设施的一部分——但它仍然是一个黑箱。城市面临的灾害风险正在增加，而非减少。气候变化导致极端天气事件的频率和强度上升，城市化将更多人口和资产集中在灾害暴露区域，基础设施的老化和互依性增加了级联失效的可能性。

这些趋势都指向一个方向：对更精确、更透明的风险定价的需求在增长，而满足这种需求的工具仍然掌握在少数私有公司手中。一组数字勾勒出这个矛盾的轮廓。2019年，全球自然灾害保险损失约为560亿美元，其中超过70%发生在模型覆盖较为成熟的北美和欧洲市场。在模型覆盖较弱的亚洲、非洲和拉丁美洲市场，保险渗透率仍然很低——这意味着灾害损失的大部分由个人、企业和政府自行承担，无法通过保险机制分散。在模型覆盖成熟的市场，保险的可获得性和保费水平越来越依赖于模型输出——2010年代后期，加州和佛罗里达的部分地区出现了保险撤离现象，保险公司因模型显示风险过高而拒绝承保或大幅提高保费。在卡特里娜飓风后的十年间，美国墨西哥湾沿岸地区的商业财产保险保费平均上涨了超过50%，部分地区涨幅超过100%。模型说风险高，保费就涨；模型说风险不可承保，保险就撤离。

城市居民和企业面对的不是一场关于风险分配的公共讨论，而是一组由私有算法生成的数字，以及这些数字带来的账单。这就是巨灾建模产业重组留下的压力点。一个原本用于回答“保险公司是否会破产”的学术工具，经过二十年的商业化演变，已经成为决定城市资产能否获得保险、以何种代价获得保险的定价权力。这种权力的行使是不透明的，其科学基础——尽管远比早期粗糙的历史经验法可靠——仍然充满不确定性。模型在每一次重大灾难后都会被修正，但修正的依据往往是灾难本身暴露的缺陷，而非事前的理论预见。北岭地震修正了地震模型，安德鲁飓风修正了飓风模型，卡特里娜飓风修正了洪水模型，2011年东日本大地震修正了海啸模型——这个模式暗示，模型总是在灾难发生后追赶现实，而非真正预测灾难。而一旦风险可以被定价——即使这种定价存在不确定性——就必然产生下一个问题：这种定价能否被交易？能否将风险从保险公司和再保险公司的资产负债表上转移出去，分散到更广阔的资本市场？

这正是巨灾建模产业为其后续演变铺设的道路。模型将不确定性转化为概率分布，将概率分布转化为期望损失和尾端风险，将风险量化为可以标价的数字。一旦有了价格标签，风险本身就变成了一种可以买卖的商品。这种商品的交易，将在接下来的金融创新中找到它的市场形态。