Stochastische Sicherheitstheorie

1 Einleitung

Als Ergebnis dieser Bemühungen wird man jedoch zumindest im professionellen Umfeld einen bedachteren Umgang mit Fachausdrücken fordern müssen. Aussagen wie "Steigende Gefahr erfordert mehr Sicherheit" machen z.B. dann wenig Sinn, wenn gemeint ist: "Steigende Gefahr erfordert einen besseren Schutz, um die Sicherheit zu erhalten", denn Schutz und Sicherheit sind nicht dasselbe.

2 Definitionen

2.1 Wertobjekte und wertbestimmende Eigenschaften (Güter und Werte)

Wertobjekte können materiell oder immateriell sein. Am einfachsten ist es, wenn sich der Wert eines Wertobjekts mit Geld aufwiegen lässt. In der Regel ist dies für Gebrauchsgüter des täglichen Lebens der Fall.

Oft hat man es mit Wertobjekten zu tun, deren Wert sich nicht aus dem Material bestimmt, sondern aus einem ideellen Liebhaberwert, also z.B. dem Preis, den ein Kunstliebhaber für ein berühmtes Gemälde zu zahlen bereit ist. Auch hier lässt sich der Wert des Wertobjekts mit Geld messen. Die wertbestimmende Eigenschaft wäre im ersten Fall z.B. der Materialpreis, im zweiten Fall der erzielbare Liebhaberpreis. Beide Werte lassen sich in unterschiedlichen Zahlen ausdrücken, deren physikalische Einheit z.B. der Euro ist.

Schwieriger wird es hingegen bei Gütern wie dem menschlichen Leben. Die Bestimmung eines geldlichen Gegenwerts stößt hier auf grundsätzliche ethische Probleme. Die Lösung ist einfach, nämlich zweiwertig. Entweder lebt z.B. das Wertobjekt Mensch oder es lebt nicht. Dem Leben als wertbestimmende Eigenschaft lassen sich also ebenfalls (in diesem Fall einheitenlose) Zahlen zuordenen, z.B. 1 für lebendig und 0 für tot. Diese Lösung für Lebewesen ließe sich im Prinzip sogar auf alle Wertobjekte übertragen, die ein definierbares Nutzungsende aufweisen.

Die nachfolgende Tabelle zeigt einige Wertobjekte mit unterschiedlichen wertbestimmenden Eigenschaften. Bei einem Auto könnten dies neben der Nutzbarkeit ("Leben")  auch der Wiederverkaufswert sein.
 

2.2 Gefahr, Bedrohung, Gefährdung

2.3 Schaden

Ein Schaden kann sich als Total- oder als Teilausfall äußern. Von der Definition des Wertes bzw. der Festlegung der wertbestimmenden Eigenschaft hängt es auch ab, ob ein Ausfall zu einem hundertprozentigen Wertverlust führt oder nur zu einer teilweisen Wertminderung z.B. durch Leistungsverlust oder indirekt durch Verkürzung der Lebensdauer. Letzterer Fall setzt entweder den Totalausfall oder eine Folge von Teilausfällen, deren letzter Teilausfall den Wert auf 0 absinken lässt, voraus, um eine einfach definierte Lebensdauermessung zu ermöglichen.

Schäden lassen sich grundsätzlich einem Zeitraum oder einem Ereignis zuordnen. Ereignisbezogene Schäden kennt man z.B. vom russischen Roulette [Wikipedia], wo zum Ereignis eine Schadenswahrscheinlichkeit gehört. In der Regel haben wir es jedoch mit zeitbezogenen Schäden zu tun, deren Größe als Schaden pro Zeiteinheit definierbar ist. Auf solche Schäden wollen wir uns hier beschränken.

Allgemein lässt sich die Wertverminderung eines Wertobjekts über der Zeit durch einen stochastischen Prozess [Wikipedia] X: t ↦ X(t) mit t ∈ ℝ₀ beschreiben, der den Schaden als zeitlichen Wertverlust aufsummiert darstellt. Hierbei lässt sich ein konkreter Wertverlust entweder mit einem diskreten Schadensereignis in Verbindung bringen oder als kontinuierlicher Prozess darstellen, wie z.B. das Leck in einem Tank. Jeder Schaden führt somit zu einer stufenartigen oder kontinuierlichen Vergrößerung des aktuellen Gesamtschadens X(t) mit zunehmender Zeit t. Hierbei betrachten wir u.a. die Fälle:

• X: t ↦ X(t) ist ein stochastischer "Ausfallprozess": der Schaden beginnt bei t = 0 mit X(t) = 0 und springt nach Ablauf der Lebensdauer auf 1 = 100%. Es kann genau eine Stufe auftreten. Dabei wird die Lebensdauer, also der Zeitpunkt der Stufe, in der Regel nicht vorbestimmt, sondern zufällig sein.
• X ist ein stochastischer Prozess mit einmaligem Teilschaden, d.h., zu einem zufälligen Zeitpunkt tritt ein in der Höhe ebenfalls zufälliger Wertverlust zwischen 0 und 100% auf.
• X ist ein stochastischer Prozess, der aus abzählbar oder überabzählbar vielen Stufen zufälliger Höhe mit zufälligen Zeitpunkten besteht. Dabei sind die einzelnen Stufen in der Regel kleiner als 1. Ist der Wert eines Wertobjekts vollständig aufgebraucht, ist dies das Ende der Lebenszeit. Die Lebensdauer wird umso größer sein, je kleiner die Zahl der Schadensereignisse pro Zeiteinheit und je kleiner der Schaden pro Schadensereignis ist.

Die reale Welt besteht nicht nur aus Schäden, sondern bietet auch Wertzuwächse. In zeitlicher Abfolge können für ein und dasselbe Wertobjekt Wertzuwächse und Wertminderungen auftreten. Desweiteren sind viele Schäden reparierbar. Eine Reparatur kann den ursprünglichen Wert wiederherstellen. Allerdings ist eine Reparatur selbst natürlich auch mit Kosten verbunden, die bei einer Wertbetrachtung in geeigneter Form zu berücksichtigen sind.

2.4 Risiko

Wenn man also von einem Risiko spricht, sind also folgende Fragen zu stellen:

• Welches Wertobjekt erleidet einen Schaden?
• Durch welche Eigenschaften ist der Wert des Wertobjekts definiert?
• Wie hoch ist der mittlere Schaden?
• Wie häufig tritt im Mittel ein Schaden ein?
• Welcher Zeitraum wird zu Grunde gelegt?

Um sicherzustellen, dass der hier benutzte Risikobegriff kompatibel ist mit der allgemeinen Anschauung (soweit diese nicht widersprüchlich ist), werden wir zunächst eine axiomatische Definition der mathematischen Größe "Risiko" vornehmen, an der sich eine konkrete Definition messen lassen muss:
 

	(R1)		Das Risiko steigt monoton mit zunehmender Dauer (i.S. Zeitmenge T₁ ⊂ T₂) und konstantem mittleren Wertverlust pro Zeiteinheit
	(R2)		Das Risiko sinkt monoton mit zunehmender Dauer (i.S. Zeitmenge T₁ ⊂ T₂) und konstantem mittleren Wertzuwachs pro Zeiteinheit
	(R3)		Das Risiko auf einer Zeitmenge vom Maß null ist null
	(R4)		Das Risiko steigt monoton mit zunehmendem mittleren Wertverlust im betrachteten Zeitraum
	(R5)		Das Risiko sinkt monoton mit zunehmendem mittleren Wertzuwachs im betrachteten Zeitraum
	(R6)		Ein Risiko von null entspricht mittlerer Wertstabilität für den betrachteten Zeitraum
	(R7)		Ein positives Risiko entspricht einem mittleren Wertverlust im betrachteten Zeitraum
	(R8)		Ein negatives Risiko entspricht einem mittleren Wertzuwachs im betrachteten Zeitraum
	(R9)		Ein 100%iges Risiko entspricht einem mittleren 100%igen Wertverlust im betrachteten Zeitraum bezogen auf den Startwert

In Anlehnung an die Definiton von Olaf H. Peters und Arno Meyna werden wir Risiko hier möglichst allgemein definieren, um damit alle sicherheitsrelevanten Szenarien beschreiben zu können. Insbesondere wollen wir hier keinen Unterschied zwischen "Security" und "Safety" machen.
 

Wegen der Betrachtung des relativen Schadens ist das Risiko eine dimensionslose Größe, die üblicherweise Werte zwischen 0 und 1 annehmen kann. Den mittleren Schaden stellt man sich am besten mathematisch als den Erwartungswert des Schadens vor und praktisch schätzungsweise als den Quotienten aus dem mittleren Gesamtschaden, der an ausreichend vielen gleichartigen Wertobjekten mit gleichem Ursprungswert unter gleichartigen Bedingungen in einem bestimmten Zeitraum entstanden ist, und dem Ursprungswert zum willkürlich definierten Zeitpunkt 0.

Man beachte, dass die Schadenshöhe unmittelbar mit dem Wert eines Wertobjekts verknüpft ist. Da sich für ein Wertobjekt unterschiedliche wertbestimmende Eigenschaften definieren lassen, gibt es entsprechend auch unterschiedliche Risiken. Ist z.B. das Wertobjekt ein Baum und der Wert nicht das Leben, sondern das Trockengewicht, so wird ein Absterben des Baums unmittelbar keinen Schaden darstellen und damit keine unmittelbare Auswirkung auf das Risiko haben.

Die obige Risikodefinition lässt Erweiterungen in zwei Richtungen zu. Erstens könnte man einen negativen Schaden erlauben. In diesem Fall haben wir es mit einem Wertzuwachs zu tun. Auch sind Situationen denkbar, in denen verschiedene Teilprozesse einen Wertverlust und einen Wertzuwachs herbeiführen; beides könnte sich sogar die Waage halten. Zweitens gibt es Situationen, in denen der Wertverlust größer als 100% ist (Kontoüberziehungen). Dies könnte Sinn machen, wenn ein Wertzuwachsprozess für einen langfristigen Ausgleich sorgen kann. Das Risiko kann also in Übereinstimmung mit obiger Definition sowohl negative Werte als auch (relative) Werte über 1 annehmen. Wir konzentrieren unsere Betrachtungen allerdings zunächst auf den Fall eines Wertverlusts zwischen 0 und 100%.
 

Wenn der relative Wert W(t) eines Wertobjekts zum Zeitpunkt null 1 beträgt, W(0) = 1, beschreibt W(0) - V(t) den aktuellen relativen Wert zum Zeitpunkt t.

Trivialerweise sind alle Schadensprozesse null oder positiv.
 

Wertzuwachsprozesse sind gemäß unserer Definition immer null oder negativ. Grundsätzlich lässt sich jeder Wertänderungsprozess als Summe eines Wertzuwachsprozesses und eines Schadensprozesses schreiben:

V = X + Y (2.4.1)

Wertänderungsprozesse nach obiger Definition sind nicht notwendigerweise begrenzt, können also auch Schäden über 100% beschreiben. Für viele praktische Anwendungen ist deshalb eine weitere Eingrenzung sinnvoll.

Diese Definition ist insbesondere für Schadensprozesse interessant, da Wertzuwachsprozesse von Natur aus unvollständige Wertänderungsprozesse sind. In der Regel beschreiben nur vollständige Schadensprozesse die Realität in dem Sinne, dass relative Schäden zwischen 0 und 100% liegen können. Vielfach ist es jedoch angebracht, im Sinne einer Näherung auch unvollständige oder im Extremfall unbegrenzte Wertänderungsprozesse zu betrachten.
 

Der relative Schaden lässt sich also durch einen stochastischen Prozess V mit der harten Randbedingung V(0) = 0 modellieren. Der Erwartungswert dieses stochastischen Prozesses zum Zeitpunkt t gibt den mittleren relativen Schaden zu diesem Zeitpunkt an und damit das Risiko für den Zeitraum 0 bis t. Das Risiko für einen Zeitraum t₂ - t₁ ist dann durch die Differenz der Erwartungswerte des stochastischen Prozesses zu diesen beiden Zeitpunkten gegeben. Ist der Schaden negativ, hat also ein Wertzuwachs stattgefunden, ist das Risiko negativ ("Chance"). Ist der relative Schaden größer als 1, entspricht dies einem Risiko von größer als 100% und damit einer Kreditaufnahme.

Beweisskizze: Das Risiko ℜ_V erfüllt die Bedingungen

	0R1:		man wähle V als Schadensprozess0
	0R2:		man wähle V als Wertzuwachsprozess0
	0R3:		ℜV(t,t) = 0 für alle t ∈ ℝ₀
	0R4:		per Definition0
	0R5:		per Definition0
	0R6:		per Definition0
	0R7:		man wähle V als Schadensprozess0
	0R8		man wähle V als Wertzuwachsprozess0
	0R9		V(T) = 1 repräsentiert zusammen mit V(0) = 0 einen 100%igen Wertverlust.0(T ist dann die Lebensdauer.)

Beweis: Da X ein Schadensprozess ist, sind alle Realisierungen positiv oder null. Dies definiert die untere Grenze. Die Vollständigkeit gewährleistet die obere Grenze.

Das Risiko ist immer abhängig vom betrachteten Zeitintervall. In manchen Situationen wäre es interessant, Aussagen über das augenblickliche Risiko machen zu können. Unsere Risikodefinition führt allerdings dazu, dass das augenblickliche Risiko, also ein Risiko über dem Zeitintervall t₂- t₁=0 , für den Zeitpunkt t ≔ t₁ = t₂ immer gleich null ist. Normiert man allerdings das Risiko ℜ(t₁,t₂) mit der Länge des Zeitintervalls, also t₂ - t₁, und bildet den Grenzwert t₂- t₁ → 0, erhält man die zeitliche Ableitung des Erwartungswerts des Schadensprozesses. Dazu setzen wir t₁≔ t und t₂≔ t + ∆t. Dann gilt:

ℜV(t,t+∆t) ∆tX = E{V(t)} - E{V(t+∆t} ∆t → (E{V})'(t)    für ∆t → 0 (2.4.2)

Ganz allgemein gilt natürlich unter bestimmten Voraussetzungen noch:

ℜ(t₁,t₂) = ∫[t₁,t₂]ℛ (2.4.3)

Soweit Differenzierbarkeit gewährleistet ist, kann das differenzielle Risiko für einen Schadensprozess nur null oder positive Werte und für einen Wertzuwachsprozess nur null oder negative Werte annehmen.

2.5 Sicherheit

Die mittels eines vollständigen Schadensprozesses modellierte Sicherheit eines Wertobjekts hat damit über einem Zeitraum [t₁,t₂] alle Eigenschaften des Risikos über dem selben Zeitraum, nur dass es sich um eine monoton fallende Funktion handelt, deren Wert 1 ist, wenn es "kein Risiko gibt" und null wenn das Risiko 1 beträgt, also der Gesamtschaden im betrachteten Zeitraum fast sicher [Wikipedia] eintritt. Für die "augenblickliche" Sicherheit ließe sich wie im Fall des Risikos eine differenzielle Sicherheit definieren. Aufgrund der Sicherheitsdefinition führt die zeitliche Ableitung dazu, dass sich lediglich das Vorzeichen ändert, also -(E{V})' statt (E{V})'. Wenn also das Risiko steigt, fällt die Sicherheit und umgekehrt.

Jetzt ist noch zu definieren, wann ein Wertobjekt als sicher im Sinne einer zweiwertigen Eigenschaft bzw. eines zweiwertigen Attributs gelten soll. Hierzu bietet sich der Begriff des Grenzrisikos [Wikipedia] an. Das Grenzrisiko ist ein als vertretbar definiertes Risiko [4], wobei "vertretbar" oft eine Geschmacksfrage und für jeden Einzelfall festzulegen ist. Ein Wertobjekt wird "sicher" genannt, wenn das tatsächliche Risiko kleiner als das Grenzrisiko ist. Man darf dann auch von unsicher sprechen, wenn das Risiko größer als das Grenzrisiko ist.

2.6 Schutz

Allerdings gehören Risiko, Wertobjekt (besser: Wert) und Schutz zusammen. Ein Schutz lässt sich nicht losgelöst vom Wertobjekt / Wert betrachten. So ist ein Tresor allein für ein Wertobjekt kein Schutz, wenn das Wertobjekt außerhalb des Tresors gelagert wird.

Maßnahmen zur Verminderung der Risikos oder entsprechend zur Erhöhung der Sicherheit können unterschiedlichster Art sein, wir unterscheiden aber drei grundlegende Methoden:

• Entschärfung oder Eliminierung von Gefahrenquellen (Vorbeugung)
• Maßnahmen zur Reduzierung der Wirksamkeit von Gefahren (eigentlicher Schutz)
• Schadenskompensation durch Wertzuwachsprozesse (Reparatur, etc.)

Die Entschärfung und günstigstenfalls Beseitigung von Gefahrenquellen ist eine äußerst wichtige Maßnahme zur Risikoreduktion, da sie häufig am einfachsten zu realisieren ist. Im Sozialverhalten zwischen Menschen oder Staaten könnte man sogar noch einen Schritt weiter gehen und Gefahrenquellen gar nicht erst entstehen lassen, sich also nicht unnötig "Feinde" machen. Sich "nicht unnötig in Gefahr zu begeben" ist eine nützliche Anleitung, räumliche Distanz zu bekannten, aber unvermeidbaren Gefahrenquellen zu wahren.

Hat man keinen Einfluss auf Gefahrenquellen, Beispiel Vulkan, gibt es neben einer ausreichenden Distanz aber auch andere wirksame Maßnahmen wie Frühwarnsysteme, kombiniert mit Flucht. Alternativ, könnte man sich gegen Vulkanausbrüche theoretisch natürlich auch durch geeignete Bunker schützen. An diesem Beispiel sehen wir, dass nicht jede Schutzmaßnahme auch sinnvoll sein muss.

Das Beispiel "Autofahren" macht den Unterschied zwischen den ersten beiden Maßnahmengruppen besonders deutlich: Die Wahrscheinlichkeit eines Unfalls lässt sich durch defensive Fahrweise, Verzicht auf Alkohol, angepasste Geschwindigkeit usw. reduzieren. Gehöre ich zu den "Risiko" liebenden Autofahrern, helfen nur noch Schutzmaßnahmen wie Airbag, Knautschzonen usw., wenn das zu schützende Wertobjekt der Fahrer ist. Ist das zu schützende Wertobjekt das Auto selbst, könnte man an Abstandswarner usw. denken. An diesem Beispiel sieht man auch sehr schön, dass Schutz und Wertobjekt/Wertedefinition zusammen betrachtet werden müssen. Während der Airbag nur den Fahrer, nicht aber das Auto schützt, kann ein Abstandswarner beides. Und noch etwas macht dieses Beispiel klar: Ein Schutz ist nicht nur vom Wertobjekt abhängig, sondern auch von der Gefahrenart. Damit eine Maßnahme ein Schutz sein kann, muss also stets die Paarung aus Wertobjekt/Wert und Gefahrenart betrachtet werden. Desweiteren lehrt uns das Beispiel, dass sich die Wirklichkeit aus einer Vielzahl von Gefahrenarten zusammensetzt, die in Bezug auf das Wertobjekt unterschiedlichster Schutzmaßnahmen bedürfen.

An dieser Stelle wollen wir gleich mit einem beliebten Missverständnis aufräumen. Ist ein bekannter Politiker mehr wert als ein Normalbürger, weil er einen stärkeren Schutz beanspruchen darf? Nein - diese Personengruppe ist einer größeren Gefahr ausgesetzt als ein Normalbürger. Um fairerweise die gleiche Sicherheit zu genießen, muss diese Personengruppe stärker geschützt werden. Umgekehrt, brauche ich mehr Sicherheit, wenn die terroristische Gefahr steigt? Wieder nein - um die gleiche Sicherheit zu gewährleisten, ist ein besserer Schutz erforderlich!

3 Sicherheitsmodelle

3.1 Lebensmodell

Offensichtlich ist der Ausfallprozess ein vollständiger Schadensprozess. Als Risiko erhalten wir:

ℜL(t₁,t₂) = E{L(t₂) - L(t₁)} = E{L(t₂)} - E{L(t₁)} (3.1)

Diese Gleichung hilft uns allerdings erst dann weiter, wenn wir die stochastischen Eigenschaften von L kennen. Eine solche Eigenschaft ist die Verteilungsfunktion des Ausfallzeitpunkts T. Wir werden sie D (von "Damage") nennen. D(t) gibt an, mit welcher Wahrscheinlichkeit ein Wertobjekt im Zeitbereich zwischen 0 und t zu Schaden kommt, also ausfällt oder stirbt. Ist diese Eigenschaft bekannt, lässt sich der Erwartungswert von L an der Stelle t ausrechnen:
 

Beweis: L ist ein zweiwertiger Prozess mit der diskreten Bernoulli-Verteilungsdichte P(L(t) =n), n ∈ {0,1}. P(L(t) =0) sei die Wahrscheinlichkeit, dass L(t) zum Zeitpunkt t gleich 0 ist und P(L(t) =1) die komplementäre Wahrscheinlichkeit für L(t) = 1. Dann gilt für den Erwartungswert E{L(t)} = 0∙P(L(t) =0) + 1∙P(L(t) =1) = P(L(t) =1) = D(t).

Entsprechend lässt sich auch die Varianz von L(t) bestimmen:

Var{L(t)} = E{L(t)²} - (E{L(t)})² = 0²∙P(L(t) =0) + 1²∙P(L(t) =1) - P²(L(t) =1) = D(t)(1 - D(t)) (3.1.2)

Die Wahrscheinlichkeitsdichtefunktion P(L(t)=n), n ∈ {0,1}, von L(t) (zweiwertig) lässt sich schreiben als:

P(L(t)=n) = D(t)n(1-D(t))1-n (3.1.3)

Ist n ∉ {0,1}, gilt P(L(t)=n) = 0. Schließlich hat die Verteilungsfunktion P(L(t)≤n) von L(t) die Werte:

P(L(t)<0) = 0 P(L(t)≤0) = 1 - D(t) P(L(t)≤n) = 1 falls n ≥ 1 (3.1.4)

Aus E{L(t)} = D(t) gewinnen wir schließlich

ℜL(t₁,t₂) = D(t₂) - D(t₁) (3.1.5)

sowie für das differenzielle Risiko

ℛL = D' (3.1.6)

d ist oft die Grundlage für Berechnung der Schadeneintrittswahrscheinlichkeit D. Für den Menschen spricht man bei der Schadensdichte auch von der alterspezifischen Mortalität [Wikipedia], die sich durch bestimmte Gesetzmäßigkeiten annähern lässt.

Beispiel 3.1.1 Risiko bei Gleichverteilung der Lebensdauer Sei d die Schadensdichte eines Ausfallprozesses L mit d(t) = 1/τ falls t ∈ [0,τ] und d(t) = 0 sonst. Dann ist D gegeben durch D(t) = min{t / τ,1} und das Risiko beträgt unter der Bedingung 0 ≤ t₁ ≤  t₂ ≤ τ ℜL(t₁,t₂) = D(t₂) - D(t₁) = (t₁ - t₂)/τ Daraus folgt intuitiv leicht vollziehbar, dass das Risiko bei gleichverteilter Ausfallwahrscheinlichkeit linear mit der betrachteten Zeitspanne und mit der Schadensdichte ansteigt. Allerdings wird man solch eine Gleichverteilung in der Realität selten antreffen! Außerhalb des möglichen Lebensdauerbereichs ist das Risiko übrigens null, was nichts anderes bedeutet, als dass weder für ein nichtexistentes Wertobjekt noch für ein bereits ausgefallenes ein Schaden eintreten kann. Desweiteren gilt noch (t ≥ 0): ℜL(0,t) = D(t) = min{t / τ,1} ℜL(0,τ) = 1 Var{L(t)} = max{(t / τ)(1 - t / τ), 0} Var{L(0)} = Var{L(τ)} = 0 max{Var{L(t)}} = Var{L(1/(2τ))} = 1/4   Das Gesamtrisiko ab der Geburt ist also direkt durch die Schadensfunktion D gegeben. Die Varianz des Prozesses L ist trivialerweise null bei Beginn der Lebensdauer und nach Abschluss der maximalen Lebensdauer. Das Maximum wird genau in der Lebensmitte erreicht. Das differenzielle Risiko ℛ ist gegeben durch ℛL(t) = d(t) = 1/τ falls t ∈ ]0,τ[ und 0 sonst Schadensdichte, Schadensfunktion und Prozessvarianz (τ = 1)

Die Beziehung zwischen ℜ und D sowie zwischen ℛ und d ist für das Lebensmodell fundamental. Deshalb lohnt es sich, ein paar grundlegende Formeln zusammenzustellen. Zuvor definieren wir noch die Sicherheitsfunktion S, auch Survivalfunktion genannt.
 

Die Sicherheitsfunktion S repräsentiert die Wahrscheinlichkeit, dass das Wertobjekt bis zum Zeitpunkt t ohne Schaden geblieben ist. Damit ergeben sich für das Risiko des Ausfallprozesses folgende Formeln (t ∈ ℝ_o):

ℜL(t ,t) = 0 (3.1.7) ℜL(0,t) =  D(t) (3.1.8) ℜL(0,∞) = 1 (3.1.9) ℜL(t,∞) = S(t) (3.1.10) ℜL(t₁,t₂) = S(t₁) - S(t₂) (3.1.11) ℜL(t₁,t₂) = (t₂ - t₁)d(t)    falls d im Bereich t ∈ [t₁,t₂] stetig (3.1.12) ℛL(t) = d(t) (3.1.13)

Für die Sicherheit gelten ähnliche Beziehungen (t ∈ ℝ_o):

∑L(t ,t) = 1 (3.1.14) ∑L(0 ,t) = S(t) (3.1.15) ∑L(0,∞) = 0 (3.1.16) ∑L(t,∞) = D(t) (3.1.17) ∑L(t₁,t₂) = 1 - S(t₁) + S(t₂) (3.1.18) ∑L(t₁,t₂)= S(t₂) + D(t₁) (3.1.19) ∑L(t₁,t₂) = ∑L(0,t₂)+ ℜL(0,t₁) (3.1.20) ∑L(t₁,t₂)= 1 - (t₂ - t₁) d(t)    falls d im Bereich t ∈ [t₁,t₂] stetig (3.1.21)

3.1.1 Bedingtes Risiko

Beweis: Bedingte Wahrscheinlichkeiten [Wikipedia].

Die zur bedingten Sicherheitsfunktion Sc: t ↦ Sc(t | T>t₀) gehörende (Rest-)Lebensdauer wird für Menschen auch Lebenserwartung genannt [Wikipedia]. Sie bezeichnet die noch zu erwartende Lebensdauer, wenn der Mensch zum Zeitpunkt t₀ lebt, so dass sich die Gesamtlebensdauer additiv aus t₀ und der Lebenserwartung zusammensetzt.

3.2 Einfaches Schadensmodell

Das Risiko ist wieder gegeben durch

ℜO(t₁,t₂) = E{O(t₂) - O(t₁)} = E{O(t₂)} - E{O(t₁)} (3.2.1)

Der Erwartungswert des stochastischen Prozesses O lässt sich einfach bestimmen, wenn man die stochastische Unabhängigkeit von M und L annimmt. (Diese Annahme wird bei alten, ungewarteten Autos eher nicht ganz zutreffen!) Es gilt dann:

E{O(t)} = E{M} E{L(t)} = Δ D(t) (3.2.2)

mit Δ dem Erwartungswert des Schadensausmaßes M und D der Schadensfunktion von L. Ist d die Schadensdichte von L, ergibt sich daraus für das Risiko

ℜO(t₁,t₂) = Δ (D(t₂) - D(t₁)) (3.2.3) ℜO(t₁,t₂) = Δ (t₂ - t₁)d(t)    falls d im Bereich t ∈ [t₁,t₂] stetig (3.2.4)

Vergleicht man ℜ_O mit ℜ_L (3.1.5), ist wie intuitiv erwartet, der einzige Unterschied das mittlere Schadensausmaß Δ. Der Schaden muss zwischen 0 und 1 beschränkt sein, und damit die Schadensausmaßverteilung. Ist die Schadensausmaßverteilung in diesem Bereich symmetrisch, beträgt der Mittelwert Δ=½. Beide Fälle, einfaches Schadensmodell und Lebensmodell, gehen nur dann ineinander über, wenn Δ=1. Das ist unter den gemachten Annahmen wiederum nur dann möglich, wenn sich die Verteilung von M auf 1 "konzentriert", also eine "Delta-Distribution" [Wikipedia] darstellt. Das wiederum bedeutet nicht anderes, als dass beim Lebensmodell das Schadensausmaß trivialerweise deterministisch ist und immer den Wert 1 hat. Man beachte schließlich noch, dass die einfache multiplikative Verbindung zwischen mittlerem Schadensausmaß Δ und Eintrittswahrscheinlichkeit D(t₂) - D(t₁) = (t₂ - t₁)d(t) nur im Sonderfall der stochastischen Unabhängigkeit zwischen M und L gegeben ist!

Das differenzielle Risiko als die zeitliche Ableitung der Prozesserwartungswerts unterscheidet sich von dem des reinen Lebensmodells (3.1.6) ebenfalls nur durch die Konstante Δ:

ℛO= Δ d (3.2.5)

Ein interessante Frage ist noch, ob sich für das einfache Schadensmodell eigene Schadens- und Schadensdichtefunktionen D und d finden lassen, so dass die vom Lebensmodell bekannten Beziehungen weiterhin gelten. Das ist in der Tat möglich, wenn man d ≔ ℛ_O und D ≔ ∫d definiert. Das sind dann aber keine Wahrscheinlichkeitsfunktionen mehr, weil im nichtdeterministischen Fall

∫ℝd  < 1 (3.2.6)

Dies korrespondiert mit der Tatsache, dass der einfache Schadensprozess in der Regel ein unvollständiger Schadensprozess ist, denn die Schadenshöhenverteilung ist ja per Definition auf den Bereich [0,1] beschränkt! Somit kann das Schadensausmaß nur im deterministischen Fall den Wert 1 annehmen.

Andererseits ist es jedoch denkbar, dass die Verteilung des Schadens M nach unten zwar durch 0, nach oben aber nicht durch 1 beschränkt ist. In diesem Fall können wir die Unmöglichkeit eines höheren relativen Schadens als 1 auch durch eine Limiterfunktion g: ℝ → ℝ beschreiben, die jeden Schaden auf 1 begrenzt:

g(x) ≡ { x falls x ≤ 1 1 falls x > 1 (3.2.7)

g hat projektive Eigenschaften. Zumindest gilt g∘g = g. Das heißt, Mehrfachanwendung ändert das Ergebnis nicht mehr. Durch Anwendung von g werden aus nichtlimitierten Schadensprozessen vollständige Schadensprozesse. Bei Anwendung auf vollständige oder unvollständige Schadensprozesse bleiben diese als solche erhalten. Der Schadensprozess O nimmt dann folgende Form an:

O = g(M L) (3.2.8)

Da g auf den Lebensdauerprozess L keinen Einfluss hat, lässt sich O auch so schreiben:

O = g(M) L (3.2.9)

Für den Erwartungswert von O erhalten wir im Fall der stochastischen Unabhängigkeit von g(M) und L

E{O(t)} = E{g(M)} E{L(t)} (3.2.10)

Während der Erwartungswert des Ausfallprozesses L bereits bekannt ist, ist der erste Term unter Benutzung elementarer Rechenregeln für Erwartungswerte gegeben durch

tE{g(M)} = ∫ℝg(x) fM(x)dx = ∫[0,1] x fM(x)dx + ∫[1,∞[fM(x)dx ≤ ∫[0,∞] x fM(x)dx  = E{M}t (3.2.11)

mit f_M der Verteilungsdichtefunktion von M. Das selbe Ergebnis erhält man mit der limitierten Verteilungsdichte f_g(M), die sich mit Hilfe der Delta-Distribution [Wikipedia] δ darstellen lässt:

fg(M)(x) = w(x)fM(x) +  αδ(x-1) (3.2.12)

mit der Fensterfunktion

w(x) ≡ { 1 falls 0 ≤ x ≤ 1 0  sonst (3.2.13)

und dem Flächenanteil der Verteilung oberhalb 1:

α ≔ ∫[1,∞[fM(x)dx (3.2.14)

3.3 Kumulatives Schadensmodell

Definition 3.3.1 Kumulativer Schadensprozess Seien Mk zeitunabhängige positive Zufallsgrößen mit jeweils eigener Verteilung und sei N: t ↦ N(t) mit t ∈ ℝ₀ ein stochastischer Zählprozess, der sich zu unbekannten, zufälligen Zeitpunkten t um jeweils eine 1 erhöht, so dass N eine Treppenfunktion mit konstanter Treppenhöhe 1 aber zufälliger Stufenlänge ist mit N(0) = 0. N(t) - N(s) ∈ ℕ₀ (t - s ≥ 0) folge einer diskreten Verteilung. Dann wird der limitierte stochastische Prozess K ein kumulativer Schadensprozess genannt, wenn gilt K(t) ≡ g(K₀(t)) (3.3.1) mit g(x) ≡  { x falls x ≤ 1 1 falls x > 1 (3.3.2) und K₀(t)  ≡  N(t)  k=1 kMk (3.3.3) 1   <M₃   M₂ K(t) M₁ 0

g ist eine (nichtlineare) Limiterfunktion (siehe auch 3.2.7), die dafür sorgt, dass der relative Schaden den Wert 1 nicht überschreiten kann, der Schadensprozess in diesem Fall also vollständig ist. Damit schließen wir eine "Kreditaufnahme" aus. K₀ ist der stochastische Prozess, der üblicherweise in der Versicherungsmathematik behandelt wird und im Gegensatz zu unserem K keiner Limitierung unterliegt, weshalb K₀ auch kein vollständiger Schadensprozess in unserem Sinne ist. Üblicherweise ist die Anzahl der Zuwächse (Treppenstufen) des Schadenzahlprozesses N pro Zeiteinheit poissonverteilt [Wikipedia] während die Abstände zwischen zwei Schadensereignissen exponentialverteilt [Wikipedia] sind. In diesem Fall ist K₀ ein Poissonprozess [Wikipedia].

Grundsätzlich ergeben sich aus der Limitierung g für die Prozesse K und K₀ für alle t ∈ ℝ₀ folgende Ungleichungen:

K(t) ≤ K₀(t) K(t) ≤ 1 (3.3.4)

Per Definition gilt für das Risiko:

ℜK(t₁,t₂) = E{K(t₂) - K(t₁)} = E{K(t₂)} - E{K(t₁)} (3.3.5)

Zur näheren Berechnung des Risikos ℜ_K nehmen wir an, dass N ein Poissonprozess ist, dass die M_k stochastisch unabhängig voneinander und von N sind, und dass M_k für alle k gleich verteilt (aber nicht notwendigerweise gleichverteilt) ist. Für K₀ ist bekannt, dass

nE{K₀(t)} = E{N(t)} E{Mk} = (Δ / τ) t (3.3.6)

wobei t / τ den Erwartungswert des Poissonprozesses N(t) und Δ den Erwartungswert von M_k für alle k darstellt. Leider macht die (nichtlineare) Limitierung g die exakte Berechnung des Erwartungswerts von K durch Herbeiführung einer stochastischen Abhängigkeit deutlich komplizierter, so dass wir uns hier mit einer Näherung begnügen:

E{K(t)} ≤ E{K₀(t)} = (t / τ) Δ   und   E{K(t)} ≤ 1 (3.3.7)

Diese Näherung ist für kleine relative Schäden ≪1 sinnvoll und dürfte für diese vermutlich auch eine gute Approximation darstellen. Wenn es sich nachweisen lässt, dass E{K(t)} konkav ist, gilt möglicherweise:

ℜK(t₁,t₂) {  ≤ (t₂ - t₁)Δ / τ ? falls t₁,t₂ ≤ τ / Δ  ≥ 0 ? falls t₁,t₂ > τ / Δ (3.3.8)

Das Risiko würde also tendenziell  mit zunehmender Dauer t₂ - t₁, mit zunehmendem mittleren Schaden Δ und mit zunehmender Schadenshäufigkeit 1/τ ansteigen.

Man könnte jetzt auf die Idee kommen, die mittlere Zeit E{T}, bis das Wertobjekt vollständig aufgebraucht ist, mit der Zeit t ≔ θ gleichzusetzen, zu der der Erwartungswert des Prozesses K₀ den Wert 1 schneidet, also (θ/τ)Δ =1. Daraus folgt θ = τ/Δ, ein anschaulich durchaus akzeptierbares, aber leider in der Regel nicht einmal näherungsweise korrektes Ergebnis! Die Limitierung kann nämlich dazu führen, dass abhängig von der Verteilung der Schadenshöhen, der Erwartungswert niemals 1 erreicht. Wie wir beim kontinuierlichen Schadenmodell sehen werden, kann der echte Erwartungswert von T darüber hinaus sogar unendlich sein!

Die Varianz des Prozesses K lässt sich abschätzen zu:

Var{K(t)} ≤ Var{K₀(t)} = (t / τ) E{Mk²} (3.3.9)

Das differenzielle Risiko ℛ_K₀ als die zeitliche Ableitung der Prozesserwartungswerts E{K₀} ist im nichtlimitierten Fall besonders einfach, nämlich konstant:

ℛK₀(t) = Δ / τ (3.3.10)

Das differenzielle Risiko des nichtlimitierten kumulativen Schadensmodells hängt nur von der Angriffshäufigkeit und dem mittleren Schaden ab. Für den limitierten Normalfall spricht viel für die unbewiesene Näherung:

KℛK(t)  {  ≤ Δ / τ ? falls t ≤ τ / Δ  ≥ 0 ? falls t > τ / Δ (3.3.11)

Es ist also davon auszugehen, dass das differenzielle Risiko ℛ_K keine (stückweise) Konstante darstellt, sondern mit der Zeit abfällt!

Kumulative Schadensprozesse werden in der Regel zusammen mit Zuwachsprozessen behandelt. Beispiele finden sich in der Versicherungswirtschaft [8,9], wo den zufälligen Versicherungsschäden regelmäßige Beitragszahlungen gegenüberstehen. Auch ein Volk hat als Wertobjekt die Möglichkeit zu wachsen, wenn z.B. die wertbestimmende Eigenschaft die Anzahl seiner Bürger ist, siehe Beispiel 2.4.1. Hier ist der Zuwachsprozess genauso zufällig wie der Schadensprozess.

3.4 Kontinuierliches Schadensmodell

Beispiel 3.4.1 Gleichverteilte lineare Schadenssteigung Sei C₁ ein kontinuierlicher Schadensprozess der Form C₁(t) ≔ min{αt, 1} = gt(α). α sei die anfänglich konstante, aber zufällige Steigung des Schadensprozesses C₁ mit 0 < α < ∞. Die Wahrscheinlichkeitsdichte fα von α folge einer Gleichverteilung: αfα(x) ≔ { 1/Δ falls 0 ≤ x ≤ Δ ∈ ℝ₊ 0  sonst Dann ist der Erwartungswert E{C₁(t)} gegeben durch 1E{C₁(t)} = { Δt/2 falls t ≤ 1/Δ 1-1/(2Δt)  falls t ≥ 1/Δ Dieses Ergebnis hat eine gewisse Ähnlichkeit mit dem Resultat für den kumulativen Schadensprozess (3.3.6). Jedoch gibt es einen signifikaten Unterschied: Zwar haben wir auch hier einen konstanten Anstieg, danach bleibt der Erwartungswert jedoch nicht konstant, sondern ändert sich auf der gesamten Zeitachse, ohne dabei freilich den Wert 1 zu überschreiten. Der Grund dafür ist, dass wir beliebig niedrige Steigungen Δ in unserer Verteilungsdichte fα zugelassen haben. Für das differenzielle Risiko bekommen wir 1ℛC₁(t) = { Δ/2 falls t ≤ 1/Δ 1/(2Δt²) falls t ≥ 1/Δ Prozesserwartungswert mit / ohne Limiter und differenzielles Risiko (Δ=1)

Beispiel 3.4.2 Gleichverteilte lineare Schadenssteigung mit endlicher Lebensdauer Sei C₁ ein kontinuierlicher Schadensprozess der Form C₁(t) ≔ min{αt, 1}. α sei die anfänglich konstante, aber zufällige Steigung des Schadensprozesses C₁ mit Δ₁ < α < Δ₂. Die Wahrscheinlichkeitsdichte von α folge der Gleichverteilung: αfα(x) ≔ { 1/(Δ₂ - Δ₁) falls 0 < Δ₁ ≤ x ≤ Δ₂ ∈ ℝ₊ 0  sonst Diesmal ist die Steigung nach unten begrenzt und damit die maximale Lebensdauer auf 1/Δ₁ beschränkt. Der Erwartungswert E{C₁(t)} ist dann gegeben durch 1E{C₁(t)} = { (Δ₁ + Δ₂)t/2 falls t ≤ 1/Δ₂ (Δ₂ - Δ₁² t/2 -1/(2t))/(Δ₂ - Δ₁) falls 1/Δ₂ ≤ t ≤ 1/Δ₁ 1 falls t ≥ 1/Δ₁ Der Schadenverlauf ist also zunächst linear, um dann ab t = 1/Δ₂ etwas komplexer bis auf 1 anzusteigen. Der maximale Schaden (C₁(t) = 1) ist nach Ablauf der Lebensdauer bei t = 1/Δ₁ erreicht. Für das differenzielle Risiko bekommen wir diesmal 1ℛC₁(t) = { (Δ₁ + Δ₂)/2 falls t ≤ 1/Δ₂ (1/(2t²) - Δ₁²/2)/(Δ₂ - Δ₁) falls 1/Δ₂ ≤ t ≤ 1/Δ₁ 0 falls t ≥ 1/Δ₁ Die Lebensdauer T ist gegeben durch C₁(T) = αT = 1, also T = 1/α, und liegt zwischen 1/Δ₂ und 1/Δ₁. Der Erwartungswert E{T} lässt sich mittels elementarer Regeln bestimmen durch E{T} =  ∫ℝt fT(t)dt =  ∫ℝt-1fα(t)dt =  ln(Δ₂/Δ₁) Δ₂ - Δ₁ =  ln(Δ₂) - ln(Δ₁) Δ₂ - Δ₁ Zur Berechnung der Varianz gehen wir von der Definition Var{C₁(t)} ≔ E{C₁(t)²} - (E{C₁(t)})² aus und erhalten folgende Formeln: E{C₁(t)²} = { ⅓(Δ₁² + Δ₁Δ₂ + Δ₂²)t² falls t ≤ 1/Δ₂ ⅓(3Δ₂ - Δ₁³t² - 2/t)/(Δ₂ - Δ₁) falls 1/Δ₂ ≤ t ≤ 1/Δ₁ 1 falls t ≥ 1/Δ₁ (E{C₁(t)})² = { ¼(Δ₁² + 2Δ₁Δ₂ + Δ₂²)t² falls t ≤ 1/Δ₂ ¼(Δ₁⁴t² - 4Δ₁²Δ₂t + 4Δ₂² + 2Δ₁² - 4Δ₂/t +1/t²)/(Δ₂ - Δ₁)² falls 1/Δ₂ ≤ t ≤ 1/Δ₁ 1 falls t ≥ 1/Δ₁ Var{C₁(t)} = { (Δ₁ - Δ₂)²t²/12 falls t ≤ 1/Δ₂ ((Δ₁⁴-4Δ₁³Δ₂)t² + 12Δ₁²Δ₂t - 6(2Δ₁Δ₂+2Δ₁²) + 4(Δ₂+2Δ₁)/t -3/t²)/(12(Δ₂ - Δ₁)²) falls 1/Δ₂ ≤ t ≤ 1/Δ₁ 0 falls t ≥ 1/Δ₁ Besonders komplex sind die vorangegangenen Darstellungen im Bereich 1/Δ₂ ≤ t ≤ 1/Δ₁, in dem der kontinuierliche Schadensprozess C₁ den Wert 1 erreichen kann, was durch die Verteilungsdichte von α vorgegeben ist. Davor ist der Anstieg der Varianz quadratisch, oberhalb des Bereichs trivialerweise konstant 0. Vereinfachungen ergeben sich an den Randstellen und für den Fall Δ₁ = 0, was dem Beispiel 3.4.1 entspricht (Δ ≕ Δ₂): Δ₁=0 ⇒ Var{C₁(t)} = { (Δ₂t)²/12 falls t ≤ 1/Δ₂ (4/(Δ₂t) -3/(Δ₂t)²)/12 falls 1/Δ₂ ≤ t < ∞ Var{C₁(1/Δ₂)} = (Δ₁ - Δ₂)²/(12Δ₂²) Var{C₁(1/Δ₁)} = 0 Lässt man Δ₁ gegen Δ₂ gehen, dies würde dem deterministischen Fall entsprechen, konvergiert die Varianz gegen 0 und die mittlere Lebensdauer E{T} gegen die maximale Lebensdauer 1/Δ₁ = 1/Δ₂ = τ. Dieser Fall gewinnt dadurch an Interesse, dass das differenzielle Risiko hier exakt dem des Lebensdauermodells bei konstanter Verteilungsdichte entspricht: ℛ = 1/τ, siehe Beispiel 3.1.1. Obwohl sowohl Risiko als auch differenzielles Risiko in beiden Fällen gleich sind, ist die mittlere Lebensdauer im Fall des Lebensmodells nur halb so groß, nämlich τ/2! Wir können beide Fälle nur durch die Varianz unterscheiden, und die ist nur beim Lebensmodell ungleich null, siehe Beispiel 3.1.1. Letzendlich bedeutet dies, dass sich Modelle mit unterschiedlichen wertbestimmenden Eigenschaften nur eingeschränkt vergleichen lassen. Prozessvarianz (Δ₁=0, Δ₂=1, passend zu Beispiel 3.4.1)

3.5 Zusammengesetzte Risiken

3.5.1 Lebensmodell

Leider gibt es keine einfache Ableitung des Gesamtrisikos ℜ_L aus den Einzelrisiken ℜ_L₁und ℜ_L₂. Das heißt insbesondere:

L = L₁ ∨ L₂   ⇏   ℜL = ℜL₁ + ℜL₂ (3.5.1.9)

Das gleiche trifft auch für die Sicherheit ∑_L zu. Dies wird insbesondere der Tatsache geschuldet, dass die Kombination beliebiger Risiken nicht zu einem Gesamtrisiko von mehr als 100% führen darf!

Im Rahmen von Lebensdauerbetrachtungen wird häufig auch die Ausfallrate r betrachtet [5]. Während die Schadensdichte d allgemein die Wahrscheinlichkeitsdichte für einen Ausfall in einem infinitesimal kleinen Zeitfenster beschreibt, geht die Ausfallrate von der bedingten Wahrscheinlichkeit aus, dass das Wertobjekt bisher nicht ausgefallen ist.
 

Da S(t) die Ausfälle in der Zukunft integral beschreibt, können wir die Rate r als Renormalisierung der Schadensdichte d im Zeitpunkt t ansehen. r ist eineindeutig mit d, D oder S verknüpft:

r(t) = -(lnS)'(t) (3.5.1.10)

Aus der Rate r lässt sich durch Integration die Größe R definieren:

R ≡ ∫r (3.5.1.11)

Daraus wiederum ergibt sich mit den entsprechenden Randbedingungen

S = exp(-R) (3.5.1.12)

Wenden wir diesen Ausdruck auf die zusammengesetzten Sicherheitsfunktionen S = S₁S₂ an und schreiben S ≔ exp(-R), S₁ ≔ exp(-R₁) und S₂ ≔ exp(-R₂), so gilt offensichtlich S = exp(-(R₁+R₂)) und damit R = R₁+R₂. Da sich R durch Integration aus r ableitet und die Integration linear ist, muss auch gelten

S = S₁S₂ ⇔ r = r₁ + r₂ ⇔ R = R₁+R₂ (3.5.1.13)

wenn r₁ und r₂ die zu S₁ und S₂ gehörenden Ausfallraten sind. Wir haben also eine Möglichkeit gefunden, die Überlagerung zweier Risiken durch die einfache Addition der zugehörigen Ausfallraten darzustellen!

Am schwierigsten verhalten sich die Schadensdichten d, d₁ und d₂:

d = d₁ + d₂ - (d₁D₂ + D₁d₂) (3.5.1.14)

oder

d = d₁S₂ + S₁d₂ (= ℛ = ℛ₁S₂ + S₁ℛ₂) (3.5.1.15)

Auch hier gibt es neben der reinen Addition der Schadensdichten einen immer positiven Korrekturterm d₁D₂ + D₁d₂, der dafür sorgt, dass die Fläche von d immer 1 bleibt, so wie dies auch für d₁ und d₂ gelten muss. (Zum Beweis differenziert man die Gleichung D = D₁+D₂-D₁D₂.)

Auch wenn reine Additivität nicht gegeben ist, so lässt sich aus der Gleichung D(t) = D₁(t) + D₂(t) - D₁(t)D₂(t) doch wenigstens eine Ungleichung für die Addition der Einzelrisiken ableiten.
 

Beweis: Es gilt ℜ_L(t₁,t₂) = ℜ_L₁(t₁,t₂) + ℜ_L₂(t₁,t₂) - D₁(t₂)D₂(t₂) + D₁(t₁)D₂(t₁). Da t₂ ≥ t₁ und D, D₁ und D₂ monoton verlaufen, ist der Term  - D₁(t₂)D₂(t₂) + D₁(t₁)D₂(t₁) immer 0 oder negativ. Damit ist die Ungleichung bewiesen.

Der vorstehende Satz stellt zumindest sicher, dass sich Gefahren nicht gegenseitig "aufschaukeln" können. Die Summe der Risiken stellt damit in Abschätzungen immer den ungünstigsten Fall dar. Aus der zusammengesetzten Schadensdichte d = d₁ + d₂ - (d₁D₂ + D₁d₂) lässt sich eine ähnliche Ungleichung auch für die entsprechenden differenziellen Risiken ableiten:

ℛ(t) ≤ ℛ₁(t) + ℛ₂(t) (3.5.1.16)

Wir fassen zusammen:

• Die Überlagerung zweier Risiken ℜ_L ist nicht rein additiv, sondern kleiner oder gleich der Summe der Einzelrisiken.
• Das differenzielle Risiko ℛ_L ist nicht rein additiv, sondern kleiner oder gleich der Summe der differenziellen Einzelrisiken.
• Vielmehr gibt es für die Überlagerung der Schadensfunktionen D einen Korrekturterm, der die Wahrscheinlichkeiten nicht über 1 wachsen lässt.
• Das gleiche gilt für die Schadensdichte d.
• Die Sicherheitsfunktionen S multiplizieren sich
• Die Ausfallraten r und deren Integrale R addieren sich

3.5.2 Einfaches Schadensmodell

Der Zeitpunkt des Schadens wird ausschließlich durch die Ausfallprozesse L₁ und L₂ bestimmt und definiert somit einen neuen Ausfallprozess L₃, der sich wie bereits betrachtet ableiten lässt. Die Frage ist nur, wie sich die Schadenshöhe M₃ ermitteln lässt. Dazu nehmen wir im Folgenden immer an, dass M₃ = M₁ oder M₃ = M₂, je nachdem, welcher Wert bereits vorher bestand.

Um den Erwartungswert E{O(t)} des Prozesses O zu berechnen, benötigen wir die gemeinsame Verteilungsfunktion f_O(t)(n,x) des Ausfallprozesses und der zugehörigen Schadensgröße. O kann die teilweise zufälligen Werte 0, M₁ oder M₂ annehmen, hat also eine diskrete dreiwertige Verteilungsfunktion. M₁ und M₂ sind wiederum Zufallgrößen mit eigener, i.a. stetiger Verteilungsdichtefunktion.

Wir unterstellen stochastische Unabhängigkeit aller beteiligten Zufallsgrößen und definieren die zusammengesetzte Verteilung der Zufallsgröße O(t)

fO(t)(n,x) ≔ pn(t) fn(x) (3.5.2.4)

in der p_n(t) die Wahrscheinlichkeit darstellt, dass O zum Zeitpunkt t den Wert 0 (n=0) mit Erwartungswert Δ₀=0, die Zufallsgröße M₁ (n=1) mit Erwartungswert Δ₁ oder die Zufallsgröße M₂ (n=2) mit Erwartungswert Δ₂ annimmt und f_n(x) die Wahrscheinlichkeitsdichte der jeweiligen Zufallsgrößen M_n darstellt. Den Erwartungswert von O(t) bestimmen wir durch Summation über n und Bildung des ersten Moments bezüglich der Randverteilungsdichte [Wikipedia] des Schadens:

E{O(t)}  = p₀(t)Δ₀ + p₁(t)Δ₁ + p₂(t)Δ₂ = p₁(t)Δ₁ + p₂(t)Δ₂ (3.5.2.5)

wegen Δ₀ = 0. p₀(t) ist die Wahrscheinlichkeit, dass bis zum Zeitpunkt t kein Schaden auftritt und hat die Werte

p₀(t) = (1-D₁(t))(1-D₂(t)) = S₁(t)S₂(t) (3.5.2.6)

Für die Berechnung der Wahrscheinlichkeiten p₁(t) und p₂(t) ziehen wir die Wahrscheinlichkeiten dafür heran, dass zunächst ein Schaden M₁ und noch kein Schaden M₂ eintritt bzw. dass zunächst ein Schaden M₂ und noch kein Schaden M₁ eintritt. Allerdings müssen wir laut obiger Tabelle noch den Fall berücksichtigen, dass der zweite Schaden hinzukommt, also beide Schäden gleichzeitig auftreten, wobei aber nach Eintritt eines ersten Schadens laut Definition kein Schadenszuwachs mehr entstehen kann, das Wertobjekt also "immun" geworden ist. Die Wahrscheinlichkeit für das gleichzeitige Vorhandensein der Schäden wollen wir aufteilen und entsprechend ihren Anteilen nach M₁ und M₂ den davor beschriebenen Wahrscheinlichkeiten zuschlagen, so dass p₁(t) die Gesamtwahrscheinlichkeit für einen Schaden M₁ und p₂(t) die Gesamtwahrscheinlichkeit für einen Schaden M₂ repräsentieren und die Summe aus p₀(t) bis p₂(t) immer 1 ergibt. Nach etwas Rechnerei ergibt sich

p₁(t) =  D₁(t)S₂(t)(1-p₀(t)) D₁(t)S₂(t) + D₂(t)S₁(t) (3.5.2.7) p₂(t) =  D₂(t)S₁(t)(1-p₀(t)) D₁(t)S₂(t) + D₂(t)S₁(t) (3.5.2.8)

Die folgenden einfachen Beispiele lassen sich zur Plausibilisierung der obigen Rechnung heranziehen:
 

3.5.3 Dreiwertiges Schadensmodell

E{O(t)} =    N n=1 Dn(t)Δn1 (3.5.3.4)

1fO(t)(x) ≔   n n 1fO(t)(n,x)1=  n n 1pn(t) fn(x)1 (3.5.3.6)