知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2023109062
(43)【公開日】2023-08-07
(54)【発明の名称】データマッチング装置およびそのプログラム
(51)【国際特許分類】
G09C 1/00 20060101AFI20230731BHJP
【ＦＩ】
G09C1/00 650Z
【審査請求】未請求
【請求項の数】4
【出願形態】ＯＬ
(21)【出願番号】P 2022010444
(22)【出願日】2022-01-26
(71)【出願人】
【識別番号】000004352
【氏名又は名称】日本放送協会
(74)【代理人】
【識別番号】110001807
【氏名又は名称】弁理士法人磯野国際特許商標事務所
(72)【発明者】
【氏名】梶田 海成
(57)【要約】
【課題】２者間でデータ集合の共通する要素をマッチングするデータマッチング装置を提供する。
【解決手段】データマッチング装置１は、データ集合に含まれる要素ごとに、秘密分散データと乱数とハッシュ値を秘密情報として生成する秘密情報生成手段３０と、秘密情報の一部を他のデータマッチング装置との間で送受信して秘密情報により中間データ生成し、中間データを他のデータマッチング装置との間で送受信して秘密情報により判定データを生成し、判定データを他のデータマッチング装置との間で送受信して比較することで、共通要素を判定するマッチング判定手段４０と、を備える。
【選択図】図３
【解決手段】データマッチング装置１は、データ集合に含まれる要素ごとに、秘密分散データと乱数とハッシュ値を秘密情報として生成する秘密情報生成手段３０と、秘密情報の一部を他のデータマッチング装置との間で送受信して秘密情報により中間データ生成し、中間データを他のデータマッチング装置との間で送受信して秘密情報により判定データを生成し、判定データを他のデータマッチング装置との間で送受信して比較することで、共通要素を判定するマッチング判定手段４０と、を備える。
【選択図】図３
【特許請求の範囲】
【請求項1】
２者間でデータ集合の共通する要素をマッチングするデータマッチング装置であって、
前記データ集合に含まれる要素ごとに、和が前記要素の値となるように前記要素の値を秘密分散し、第１秘密分散データおよび第２秘密分散データを生成する秘密分散データ生成手段と、
第１乱数および第２乱数を生成する乱数生成手段と、
前記要素の値をハッシュ関数によりハッシュ化し、前記第１乱数による乗算と前記第２乱数による除算とを行うことでハッシュ値を算出するハッシュ値算出手段と、
前記第１秘密分散データと前記第２乱数とをマッチング対象の他のデータマッチング装置との間で送受信し、前記第１乱数と前記他のデータマッチング装置で生成された第２乱数との積に前記第２秘密分散データと前記他のデータマッチング装置で生成された第１秘密分散データとの差を乗算した乗算値と、前記ハッシュ値との差を中間データとして生成する中間データ生成手段と、
前記中間データを前記他のデータマッチング装置との間で送受信し、前記他のデータマッチング装置で生成された中間データに対して、前記第１乱数による乗算と前記第２乱数よる除算とを行うことで判定データを生成する判定データ生成手段と、
前記判定データを前記他のデータマッチング装置との間で送受信し、前記他のデータマッチング装置で生成された判定データと、自身の判定データとが一致する要素を、共通要素として抽出する共通要素抽出手段と、
を備えることを特徴とするデータマッチング装置。
前記データ集合に含まれる要素ごとに、和が前記要素の値となるように前記要素の値を秘密分散し、第１秘密分散データおよび第２秘密分散データを生成する秘密分散データ生成手段と、
第１乱数および第２乱数を生成する乱数生成手段と、
前記要素の値をハッシュ関数によりハッシュ化し、前記第１乱数による乗算と前記第２乱数による除算とを行うことでハッシュ値を算出するハッシュ値算出手段と、
前記第１秘密分散データと前記第２乱数とをマッチング対象の他のデータマッチング装置との間で送受信し、前記第１乱数と前記他のデータマッチング装置で生成された第２乱数との積に前記第２秘密分散データと前記他のデータマッチング装置で生成された第１秘密分散データとの差を乗算した乗算値と、前記ハッシュ値との差を中間データとして生成する中間データ生成手段と、
前記中間データを前記他のデータマッチング装置との間で送受信し、前記他のデータマッチング装置で生成された中間データに対して、前記第１乱数による乗算と前記第２乱数よる除算とを行うことで判定データを生成する判定データ生成手段と、
前記判定データを前記他のデータマッチング装置との間で送受信し、前記他のデータマッチング装置で生成された判定データと、自身の判定データとが一致する要素を、共通要素として抽出する共通要素抽出手段と、
を備えることを特徴とするデータマッチング装置。
【請求項2】
前記中間データ生成手段は、前記乗算値と前記ハッシュ値との差を演算する代わりに、前記乗算値と前記ハッシュ値との和を演算することを特徴とする請求項１に記載のデータマッチング装置。
【請求項3】
前記データ集合の要素は、すべて同じデータ長であることを特徴とする請求項１または請求項２に記載のデータマッチング装置。
【請求項4】
コンピュータを、請求項１から請求項３のいずれか一項に記載のデータマッチング装置として機能させるためのデータマッチングプログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、２者間のデータのマッチングを行うためのデータマッチング装置およびそのプログラムに関する。
【背景技術】
【0002】
従来、データ集合を持つユーザ同士で、互いにその内容を開示することなく、共通のデータ（要素）のみを共有することが可能なＰＳＩ（Private Set Intersection：秘匿共通集合計算）プロトコルが知られている。
このＰＳＩプロトコルは、暗号学的ハッシュ関数を用いてデータ集合の各要素をハッシュ化し、それらのハッシュ値を比較することで高速化を実現している。このような単に暗号学的ハッシュ関数を用いた構成は、ハッシュ関数のドメインのエントロピーが小さい（集合内の要素の種類が多くない）場合、容易に全数探索（brute force）攻撃が可能である（非特許文献１参照）。この全数探索攻撃は、離散対数問題を安全性の根拠とするDiffie-Hellman公開鍵暗号を用いることで防止することができる（非特許文献２参照）。
このＰＳＩプロトコルは、暗号学的ハッシュ関数を用いてデータ集合の各要素をハッシュ化し、それらのハッシュ値を比較することで高速化を実現している。このような単に暗号学的ハッシュ関数を用いた構成は、ハッシュ関数のドメインのエントロピーが小さい（集合内の要素の種類が多くない）場合、容易に全数探索（brute force）攻撃が可能である（非特許文献１参照）。この全数探索攻撃は、離散対数問題を安全性の根拠とするDiffie-Hellman公開鍵暗号を用いることで防止することができる（非特許文献２参照）。
【0003】
しかし、従来のDiffie-Hellman型のＰＳＩプロトコルでは、例え十分大きな集合数を確保しても、一方のユーザがプロトコルに従わない攻撃者である場合、他方のユーザのデータを取得することができる。このような攻撃者は悪意のある攻撃者（Maliciousな攻撃者）といわれる。一般的なDiffie-Hellman公開鍵暗号を用いたＰＳＩプロトコルは、このプロトコルに従わない悪意のある攻撃者に対する安全性（Malicious安全性）を満たさない。また、将来的に量子コンピュータが実現されると公開鍵暗号方式は危殆化すると考えられており、Diffie-Hellman公開鍵暗号を用いたＰＳＩプロトコルは安全ではなくなるおそれがある。
そのため、近年では、量子コンピュータが実現されても安全（耐量子安全）な暗号技術としてマルチパーティ計算（ＭＰＣ：Multi-Party Computation）が注目されている（非特許文献３，４）。
そのため、近年では、量子コンピュータが実現されても安全（耐量子安全）な暗号技術としてマルチパーティ計算（ＭＰＣ：Multi-Party Computation）が注目されている（非特許文献３，４）。
【先行技術文献】
【非特許文献】
【0004】
【非特許文献1】Pincas et al.,"Scalable Private Set Intersection Based on OT Extension," ACM Trans. On Privacy and Security 2018
【非特許文献2】梶田海成、田口周平、大竹剛，“視聴履歴のためのＰＳＩの構成と安全性”，２０２１年暗号と情報セキュリティシンポジウム（ＳＣＩＳ２０２１），１月１９日～２２日オンライン，電子情報通信学会
【非特許文献3】T.Araki, J.Furukawa, Y.Lindell, A.Nof, and K.Ohara,“High-throughput semi-honest secure three-party computation with an honest majority,”Proc. of ACM SIGSAC CCS'16, pp.805-817,2016.
【非特許文献4】T.Nishide and K.Ohta,“Multiparty Computation for Interval, Equality, and Comparison without Bit-decomposition Protocol,”Proc. of PKC'07, pp.343-360, 2007.
【発明の概要】
【発明が解決しようとする課題】
【0005】
前記したように、従来のＰＳＩプロトコルは、２者間で共通のデータのみを共有する場合、一方のユーザがプロトコルに従わない悪意のある攻撃者であれば、他方のユーザのデータを取得することができ、安全性を満たさないという問題がある。
また、従来のマルチパーティ計算（ＭＰＣ）は、３人以上のユーザを必要とし、その内の１人のユーザは必ず信頼できるユーザである必要がある。従って、ＭＰＣを適用して２者間でMalicious安全性を有するＰＳＩプロトコルを実現することはできないという問題がある。
また、従来のマルチパーティ計算（ＭＰＣ）は、３人以上のユーザを必要とし、その内の１人のユーザは必ず信頼できるユーザである必要がある。従って、ＭＰＣを適用して２者間でMalicious安全性を有するＰＳＩプロトコルを実現することはできないという問題がある。
【0006】
本発明は、このような従来技術の問題点に鑑みてなされたもので、２者間のＰＳＩプロトコルにおいて、どちらかがプロトコルに従わない悪意のある攻撃者であっても、安全性を確保することが可能なデータマッチング装置およびそのプログラムを提供することを課題とする。
【課題を解決するための手段】
【0007】
前記課題を解決するため、本発明に係るデータマッチング装置は、２者間でデータ集合の共通する要素をマッチングするデータマッチング装置であって、秘密分散データ生成手段と、乱数生成手段と、ハッシュ値算出手段と、中間データ生成手段と、判定データ生成手段と、共通要素抽出手段と、を備える構成とした。
【0008】
かかる構成において、データマッチング装置は、秘密分散データ生成手段によって、データ集合に含まれる要素ごとに、和が要素の値となるように要素の値を秘密分散し、２つの秘密分散データ（第１秘密分散データおよび第２秘密分散データ）を生成する。
また、データマッチング装置は、乱数生成手段によって、２つの乱数（第１乱数および第２乱数）を生成する。
さらに、データマッチング装置は、ハッシュ値算出手段によって、要素の値をハッシュ関数によりハッシュ化し、第１乱数による乗算と第２乱数による除算とを行うことでハッシュ値を算出する。
また、データマッチング装置は、乱数生成手段によって、２つの乱数（第１乱数および第２乱数）を生成する。
さらに、データマッチング装置は、ハッシュ値算出手段によって、要素の値をハッシュ関数によりハッシュ化し、第１乱数による乗算と第２乱数による除算とを行うことでハッシュ値を算出する。
【0009】
そして、データマッチング装置は、中間データ生成手段によって、第１秘密分散データと第２乱数とをマッチング対象の他のデータマッチング装置との間で送受信し、第１乱数と他のデータマッチング装置で生成された第２乱数との積に第２秘密分散データと他のデータマッチング装置で生成された第１秘密分散データの差を乗算した乗算値と、ハッシュ値との差または和を中間データとして生成する。この中間データは、要素の値を秘密分散して生成されたものであるため、他のデータマッチング装置においては、要素を判別することができない。
【0010】
そして、データマッチング装置は、判定データ生成手段によって、中間データを他のデータマッチング装置との間で送受信し、他のデータマッチング装置で生成された中間データに対して、第１乱数による乗算と第２乱数による除算とを行うことで判定データを生成する。このように生成された判定データは、要素が同じであれば、他のデータマッチング装置で生成された判定データと同じ値となる。
【0011】
そこで、データマッチング装置は、共通要素抽出手段によって、判定データを他のデータマッチング装置との間で送受信し、他のデータマッチング装置で生成された判定データと、自身の判定データとが一致する要素を、共通要素として抽出する。
このように、データマッチング装置は、要素の値を秘密分散するため、このプロトコルに従えば、互いにその内容を開示することなく、共通の要素のみを共有することができる。また、このプロトコルに従わなければ、共通の要素も、共通しない要素も判別することができない。
なお、データマッチング装置は、コンピュータを、前記した各手段として機能させるためのデータマッチングプログラムで動作させることができる。
このように、データマッチング装置は、要素の値を秘密分散するため、このプロトコルに従えば、互いにその内容を開示することなく、共通の要素のみを共有することができる。また、このプロトコルに従わなければ、共通の要素も、共通しない要素も判別することができない。
なお、データマッチング装置は、コンピュータを、前記した各手段として機能させるためのデータマッチングプログラムで動作させることができる。
【発明の効果】
【0012】
本発明は、以下に示す優れた効果を奏するものである。
本発明によれば、秘密分散によって、２者間で共通のデータのみを共有するＰＳＩプロトコルを実現することができる。
これによって、本発明は、プロトコルに従わない悪意のある攻撃者であっても、他のユーザのデータ（要素）を取得することができず、安全性を確保することができる。
本発明によれば、秘密分散によって、２者間で共通のデータのみを共有するＰＳＩプロトコルを実現することができる。
これによって、本発明は、プロトコルに従わない悪意のある攻撃者であっても、他のユーザのデータ（要素）を取得することができず、安全性を確保することができる。
【図面の簡単な説明】
【0013】
【図1】本発明の実施形態に係るデータマッチングシステムの全体構成を示すブロック図である。
【図2】データ集合と共通集合との関係を説明するための説明図である。
【図3】本発明の実施形態に係るデータマッチング装置の構成を示すブロック図である。
【図4】本発明の実施形態に係るデータマッチング装置の２者のデータ集合における要素のマッチング順序の一例を説明するための説明図である。
【図5】本発明の実施形態に係るデータマッチング装置の２者間の動作を示すフローチャートである。
【発明を実施するための形態】
【0014】
＜データマッチングシステムの構成＞
最初に、図１を参照して、本発明の実施形態に係るデータマッチングシステム１００の構成について説明する。
最初に、図１を参照して、本発明の実施形態に係るデータマッチングシステム１００の構成について説明する。
【0015】
データマッチングシステム１００は、２者のデータ集合から、共通する要素をマッチングするものである。
データマッチングシステム１００は、相互にデータ集合のマッチングを行うデータマッチング装置１（１Ａ，１Ｂ）と、それぞれのデータマッチング装置１のマッチング対象となるデータ集合を記憶するデータベース２（２Ａ，２Ｂ）と、を備える。
データマッチングシステム１００は、相互にデータ集合のマッチングを行うデータマッチング装置１（１Ａ，１Ｂ）と、それぞれのデータマッチング装置１のマッチング対象となるデータ集合を記憶するデータベース２（２Ａ，２Ｂ）と、を備える。
【0016】
データマッチング装置１は、２者間でデータ集合の共通する要素をマッチングする端末装置である。例えば、データマッチング装置１は、スマートフォン、タブレット端末、パーソナルコンピュータ等である。
データマッチング装置１は、秘匿共通集合計算（ＰＳＩ）プロトコルでデータ集合のマッチングを行い、共通の要素を共通集合として生成する。このデータマッチング装置１が使用するＰＳＩプロトコルは、データ集合の要素を秘密分散することで、自身のデータ集合の要素を秘匿したままで、データ（要素）のマッチングを行うプロトコルである。
データマッチング装置１の詳細な構成については後記する。
データマッチング装置１は、秘匿共通集合計算（ＰＳＩ）プロトコルでデータ集合のマッチングを行い、共通の要素を共通集合として生成する。このデータマッチング装置１が使用するＰＳＩプロトコルは、データ集合の要素を秘密分散することで、自身のデータ集合の要素を秘匿したままで、データ（要素）のマッチングを行うプロトコルである。
データマッチング装置１の詳細な構成については後記する。
【0017】
データベース２は、データマッチング装置１同士がマッチングを行うデータの対象であるデータ集合を記憶するものである。このデータベース２は、例えば、クラウドＣ（ＯｎｅＤｒｉｖｅ〔登録商標〕、Ｄｒｏｐｂｏｘ〔登録商標〕等）に存在する。
データベース２Ａは、データマッチング装置１Ａのデータ集合を記憶するものである。
データベース２Ｂは、データマッチング装置１Ｂのデータ集合を記憶するものである。
データベース２Ａは、データマッチング装置１Ａのデータ集合を記憶するものである。
データベース２Ｂは、データマッチング装置１Ｂのデータ集合を記憶するものである。
【0018】
データベース２が記憶するデータ集合の各要素のデータ長はすべて同じとする。異なるデータ長のデータについては、予め同じデータ長となるように加工しておく。例えば、要素の値が“３”（１バイト）、“１２”（２バイト）、“６６２７”（４バイト）というデータがあった場合、“０００３”、“００１２”、“６６２７”とすべて４バイトのデータ長とする。すなわち、データ集合の各要素のデータ長は、最長のデータ長以上で同じデータ長に加工しておく。
【0019】
データベース２が記憶するデータ集合は、例えば、テレビ番組の視聴履歴等、ユーザがデータベース２に保存可能なデータであればデータの種類は問わない。ここでは、データ集合として、視聴履歴を例にして説明する。
視聴履歴は、ユーザが視聴端末ＴＥを介して視聴した番組の履歴データである。
視聴端末ＴＥは、放送波を介して番組を視聴するテレビジョン端末、高速インターネットのＯＴＴ（Over The Top）サービスで提供される動画等を視聴するスマートフォン、タブレット端末、パーソナルコンピュータ等である。
ここでは、データマッチング装置１Ａを所持するユーザＸが視聴した視聴履歴がデータベース２Ａに記憶され、データマッチング装置１Ｂを所持するユーザＹが視聴した視聴履歴がデータベース２Ｂに記憶されているものとする。
視聴履歴は、ユーザが視聴端末ＴＥを介して視聴した番組の履歴データである。
視聴端末ＴＥは、放送波を介して番組を視聴するテレビジョン端末、高速インターネットのＯＴＴ（Over The Top）サービスで提供される動画等を視聴するスマートフォン、タブレット端末、パーソナルコンピュータ等である。
ここでは、データマッチング装置１Ａを所持するユーザＸが視聴した視聴履歴がデータベース２Ａに記憶され、データマッチング装置１Ｂを所持するユーザＹが視聴した視聴履歴がデータベース２Ｂに記憶されているものとする。
【0020】
例えば、データベース２Ａには、図２に示すように、データ集合ＵＸとして、Ｍ個（１以上の整数）の要素ｅ（ｅ１：ドラマＡ１，ｅ２：映画Ｂ１，…，ｅＭ：ドラマＪ３）の各履歴を含んでいるものとする。
また、データベース２Ｂには、データ集合ＵＹとして、Ｎ個（１以上の整数）の要素ｅ（ｅ１：スポーツＥ２１，ｅ２：バラエティＣ３，…，ｅＭ：映画Ｋ２）の各履歴を含んでいるものとする。
この場合、データマッチング装置１Ａ，１Ｂは、それぞれ、自身のデータ集合の要素を秘匿したままで、共通の要素である“映画Ｂ１”，“バラエティＣ２”を、共通集合ＵＣＸ＝ＵＣＹとして抽出する。
また、データベース２Ｂには、データ集合ＵＹとして、Ｎ個（１以上の整数）の要素ｅ（ｅ１：スポーツＥ２１，ｅ２：バラエティＣ３，…，ｅＭ：映画Ｋ２）の各履歴を含んでいるものとする。
この場合、データマッチング装置１Ａ，１Ｂは、それぞれ、自身のデータ集合の要素を秘匿したままで、共通の要素である“映画Ｂ１”，“バラエティＣ２”を、共通集合ＵＣＸ＝ＵＣＹとして抽出する。
【0021】
＜データマッチング装置の構成＞
次に、図３を参照して、本発明の実施形態に係るデータマッチング装置１の構成について説明する。なお、データマッチング装置１Ａ，１Ｂは、それぞれ同じ構成であり、データマッチングを要求する側（以下、マッチング要求側）として機能する場合と、データマッチングを要求される側（以下、マッチング被要求側）として機能する場合とで各手段の動作が異なる。この違いについては、以降の各手段の説明において適宜説明する。
ここでは、データマッチング装置１Ａをマッチング要求側、データマッチング装置１Ｂをマッチング被要求側とする。
データマッチング装置１は、マッチング要求手段１０と、要素選択手段２０と、秘密情報生成手段３０と、マッチング判定手段４０と、通信手段５０と、を備える。
次に、図３を参照して、本発明の実施形態に係るデータマッチング装置１の構成について説明する。なお、データマッチング装置１Ａ，１Ｂは、それぞれ同じ構成であり、データマッチングを要求する側（以下、マッチング要求側）として機能する場合と、データマッチングを要求される側（以下、マッチング被要求側）として機能する場合とで各手段の動作が異なる。この違いについては、以降の各手段の説明において適宜説明する。
ここでは、データマッチング装置１Ａをマッチング要求側、データマッチング装置１Ｂをマッチング被要求側とする。
データマッチング装置１は、マッチング要求手段１０と、要素選択手段２０と、秘密情報生成手段３０と、マッチング判定手段４０と、通信手段５０と、を備える。
【0022】
マッチング要求手段１０は、マッチング要求を指示されることで、データマッチングの動作の開始を制御するものである。
データマッチング装置１Ａ（マッチング要求側）のマッチング要求手段１０は、外部からマッチング要求を指示されることで、通信手段５０を介して、データマッチングの要求の指示（マッチング要求）を、相手方のデータマッチング装置１Ｂに送信する。そして、マッチング要求手段１０は、要素選択手段２０に動作を移行する。
データマッチング装置１Ａ（マッチング要求側）のマッチング要求手段１０は、外部からマッチング要求を指示されることで、通信手段５０を介して、データマッチングの要求の指示（マッチング要求）を、相手方のデータマッチング装置１Ｂに送信する。そして、マッチング要求手段１０は、要素選択手段２０に動作を移行する。
【0023】
一方、データマッチング装置１Ｂ（マッチング被要求側）のマッチング要求手段１０は、通信手段５０を介してマッチング要求を指示されることで、要素選択手段２０に動作を移行する。
なお、データマッチング装置１Ａ，１Ｂのマッチング要求手段１０は、マッチング処理の開始とともに、図示を省略したメモリ上に記憶する共通集合ＵＣＸ，ＵＣＹを空集合に設定しておく。
なお、データマッチング装置１Ａ，１Ｂのマッチング要求手段１０は、マッチング処理の開始とともに、図示を省略したメモリ上に記憶する共通集合ＵＣＸ，ＵＣＹを空集合に設定しておく。
【0024】
また、ここでは、マッチング要求手段１０は、通信手段５０を介してマッチング要求を相手方に送信した際に、あるいは、通信手段５０を介してマッチング要求を相手方から受信した際に、相互にデータベース２に記憶されているデータ集合の要素数を通知する。
【0025】
要素選択手段２０は、データベース２に記憶されているデータ集合の要素を順次選択するものである。要素選択手段２０は、選択した要素を順次、秘密情報生成手段３０に出力する。
なお、データマッチング装置１Ａ（マッチング要求側）の要素選択手段２０は、マッチング判定手段４０で要素のマッチングが完了するたびに、次の要素を選択し、自身のデータ集合のすべての要素を選択した段階で動作を終了する。
一方、データマッチング装置１Ｂ（マッチング被要求側）の要素選択手段２０は、マッチング判定手段４０で要素のマッチングが完了するたびに、次の要素を選択し、自身のデータ集合のすべての要素を選択する動作を、相手方のデータ集合の要素数分繰り返す。
なお、データマッチング装置１Ａ（マッチング要求側）の要素選択手段２０は、マッチング判定手段４０で要素のマッチングが完了するたびに、次の要素を選択し、自身のデータ集合のすべての要素を選択した段階で動作を終了する。
一方、データマッチング装置１Ｂ（マッチング被要求側）の要素選択手段２０は、マッチング判定手段４０で要素のマッチングが完了するたびに、次の要素を選択し、自身のデータ集合のすべての要素を選択する動作を、相手方のデータ集合の要素数分繰り返す。
【0026】
秘密情報生成手段３０は、要素選択手段２０で選択された要素から秘密情報を生成するものである。
秘密情報生成手段３０は、秘密分散データ生成手段３１と、乱数生成手段３２と、ハッシュ値算出手段３３と、を備える。
秘密情報生成手段３０は、秘密分散データ生成手段３１と、乱数生成手段３２と、ハッシュ値算出手段３３と、を備える。
【0027】
秘密分散データ生成手段３１は、要素選択手段２０で選択された要素ごとに、和が要素の値となるように要素の値を秘密分散し、第１秘密分散データおよび第２秘密分散データを生成するものである。
秘密分散データ生成手段３１は、選択された要素の値をａとしたとき、ａから第１秘密分散データａ１と第２秘密分散データａ２とを生成する。ここで、秘密分散データａ１，ａ２は、ａ＝ａ１＋ａ２を満たすものとする。
なお、ａの分散手法は、ａ＝ａ１＋ａ２を満たせばどのような手法でもよい。例えば、秘密分散データ生成手段３１は、要素ａと同じデータ長の第１秘密分散データａ１を乱数（疑似乱数）として生成し、ａから第１秘密分散データａ１を減算（ａ－ａ１）することで、第２秘密分散データａ２を生成する。
秘密分散データ生成手段３１は、選択された要素の値をａとしたとき、ａから第１秘密分散データａ１と第２秘密分散データａ２とを生成する。ここで、秘密分散データａ１，ａ２は、ａ＝ａ１＋ａ２を満たすものとする。
なお、ａの分散手法は、ａ＝ａ１＋ａ２を満たせばどのような手法でもよい。例えば、秘密分散データ生成手段３１は、要素ａと同じデータ長の第１秘密分散データａ１を乱数（疑似乱数）として生成し、ａから第１秘密分散データａ１を減算（ａ－ａ１）することで、第２秘密分散データａ２を生成する。
【0028】
乱数生成手段３２は、乱数（疑似乱数）を生成するものである。なお、乱数の生成手法は、一般的な手法を用いればよいため、説明を省略する。
ここでは、乱数生成手段３２は、秘密分散データと同じ数の２つの乱数（第１乱数ｑＡ，第２乱数ｑＡ′）を生成する。
乱数生成手段３２は、生成した２つの乱数をハッシュ値算出手段３３に出力する。
ここでは、乱数生成手段３２は、秘密分散データと同じ数の２つの乱数（第１乱数ｑＡ，第２乱数ｑＡ′）を生成する。
乱数生成手段３２は、生成した２つの乱数をハッシュ値算出手段３３に出力する。
【0029】
ハッシュ値算出手段３３は、要素選択手段２０で選択された要素の値をハッシュ関数によりハッシュ化し、第１乱数による乗算と第２乱数による除算とを行うことでハッシュ値を算出するものである。
具体的には、ハッシュ値算出手段３３は、以下の式（１）に示すように、要素の値をａ、２つの乱数を第１乱数ｑＡ，第２乱数ｑＡ′としたとき、要素の値ａをハッシュ関数によりハッシュ化し、第１乱数ｑＡによる乗算と第２乱数ｑＡ′による除算とを行うことでハッシュ値ｒａを算出する。
具体的には、ハッシュ値算出手段３３は、以下の式（１）に示すように、要素の値をａ、２つの乱数を第１乱数ｑＡ，第２乱数ｑＡ′としたとき、要素の値ａをハッシュ関数によりハッシュ化し、第１乱数ｑＡによる乗算と第２乱数ｑＡ′による除算とを行うことでハッシュ値ｒａを算出する。
【0030】
【数1】
【0031】
ここで、Ｈａｓｈはハッシュ関数を示す。ハッシュ関数のアルゴリズムは、ＳＨＡ（Secure Hash Algorithm）２５６等の一般的なアルゴリズムを用いればよい。
秘密情報生成手段３０は、秘密分散データ生成手段３１で生成した秘密情報（秘密分散データａ１，ａ２と、乱数生成手段３２で生成した乱数ｑＡ，ｑＡ′と、ハッシュ値算出手段３３で生成したハッシュ値ｒａとを、マッチング判定手段４０に出力する。
なお、相手方のデータマッチング装置１においても同様に、秘密情報生成手段３０によって、秘密情報（要素の値をｂとしたときの秘密分散データｂ１，ｂ２＝ｂ－ｂ１と、乱数ｑＢ，ｑＢ′と、ハッシュ値ｒｂ＝Ｈａｓｈ（ｂ）×ｑＢ／ｑＢ′）が生成されることになる。
秘密情報生成手段３０は、秘密分散データ生成手段３１で生成した秘密情報（秘密分散データａ１，ａ２と、乱数生成手段３２で生成した乱数ｑＡ，ｑＡ′と、ハッシュ値算出手段３３で生成したハッシュ値ｒａとを、マッチング判定手段４０に出力する。
なお、相手方のデータマッチング装置１においても同様に、秘密情報生成手段３０によって、秘密情報（要素の値をｂとしたときの秘密分散データｂ１，ｂ２＝ｂ－ｂ１と、乱数ｑＢ，ｑＢ′と、ハッシュ値ｒｂ＝Ｈａｓｈ（ｂ）×ｑＢ／ｑＢ′）が生成されることになる。
【0032】
マッチング判定手段４０は、秘密情報生成手段３０で生成された要素ごとの秘密情報と、マッチング相手のデータマッチング装置１で生成された要素ごとの秘密情報とにより、要素がマッチングするか否かを判定するものである。
ここでは、マッチング判定手段４０は、中間データ生成手段４１と、判定データ生成手段４２と、共通要素抽出手段４３と、を備える。
ここでは、マッチング判定手段４０は、中間データ生成手段４１と、判定データ生成手段４２と、共通要素抽出手段４３と、を備える。
【0033】
中間データ生成手段４１は、自身の要素と相手方の要素が同じであるか否かを判定するための判定データを生成するための中間データを生成するものである。
中間データ生成手段４１は、マッチング対象の要素に対する相手方のデータマッチング装置１Ｂが生成する秘密情報の一部と自身の秘密情報の一部とから中間データを生成する。
具体的には、中間データ生成手段４１は、通信手段５０を介して、自身の要素の秘密情報の一部である第１秘密分散データａ１と第２乱数ｑＡ′とを、相手方のデータマッチング装置１に送信するとともに、相手方のデータマッチング装置１から相手方の要素の秘密情報の一部である第１秘密分散データｂ１と第２乱数ｑＢ′とを受信する。
そして、中間データ生成手段４１は、第２秘密分散データａ２と第１乱数ｑＡとハッシュ値ｒａと、受信した第１秘密分散データｂ１と第２乱数ｑＢ′とを用いて、以下の式（２）により、中間データＣＡ１を生成する。
中間データ生成手段４１は、マッチング対象の要素に対する相手方のデータマッチング装置１Ｂが生成する秘密情報の一部と自身の秘密情報の一部とから中間データを生成する。
具体的には、中間データ生成手段４１は、通信手段５０を介して、自身の要素の秘密情報の一部である第１秘密分散データａ１と第２乱数ｑＡ′とを、相手方のデータマッチング装置１に送信するとともに、相手方のデータマッチング装置１から相手方の要素の秘密情報の一部である第１秘密分散データｂ１と第２乱数ｑＢ′とを受信する。
そして、中間データ生成手段４１は、第２秘密分散データａ２と第１乱数ｑＡとハッシュ値ｒａと、受信した第１秘密分散データｂ１と第２乱数ｑＢ′とを用いて、以下の式（２）により、中間データＣＡ１を生成する。
【0034】
【数2】
【0035】
なお、相手方のデータマッチング装置１Ｂにおいても同様に、中間データ生成手段４１によって、以下の式（３）により、中間データＣＢ１が生成される。
【0036】
【数3】
【0037】
中間データ生成手段４１は、生成した中間データＣＡ１を判定データ生成手段４２に出力する。
【0038】
判定データ生成手段４２は、自身の要素と相手方の要素が同じであるか否かを判定するための判定データを生成するものである。
判定データ生成手段４２は、マッチング対象の要素に対する相手方の中間データと自身の秘密情報の一部である乱数（第１乱数，第２乱数）とから中間データを生成する。
具体的には、判定データ生成手段４２は、通信手段５０を介して、中間データＣＡ１を相手方のデータマッチング装置１Ｂに送信するとともに、相手方のデータマッチング装置１Ｂから中間データＣＢ１を受信する。
そして、判定データ生成手段４２は、以下の式（４）に示すように、受信した中間データＣＢ１に対して、第１乱数ｑＡ，による乗算と、第２乱数ｑＡ′による除算とを行うことで、判定データＣＡ２を生成する。
判定データ生成手段４２は、マッチング対象の要素に対する相手方の中間データと自身の秘密情報の一部である乱数（第１乱数，第２乱数）とから中間データを生成する。
具体的には、判定データ生成手段４２は、通信手段５０を介して、中間データＣＡ１を相手方のデータマッチング装置１Ｂに送信するとともに、相手方のデータマッチング装置１Ｂから中間データＣＢ１を受信する。
そして、判定データ生成手段４２は、以下の式（４）に示すように、受信した中間データＣＢ１に対して、第１乱数ｑＡ，による乗算と、第２乱数ｑＡ′による除算とを行うことで、判定データＣＡ２を生成する。
【0039】
【数4】
【0040】
なお、相手方のデータマッチング装置１Ｂにおいても同様に、判定データ生成手段４２によって、以下の式（５）により、判定データＣＢ２が生成される。
【0041】
【数5】
【0042】
判定データ生成手段４２は、生成した判定データＣＡ２を共通要素抽出手段４３に出力する。
【0043】
共通要素抽出手段４３は、マッチング対象の要素に対する相手方のデータマッチング装置１が生成する判定データと自身の判定データ生成手段４２が生成した判定データとが一致する要素を共通要素として抽出するものである。
具体的には、共通要素抽出手段４３は、通信手段５０を介して、判定データＣＡ２を相手方のデータマッチング装置１Ｂに送信するとともに、相手方のデータマッチング装置１Ｂから判定データＣＢ２を受信する。
そして、共通要素抽出手段４３は、判定データＣＡ２と判定データＣＢ２とが一致するか否かを判定し、一致する要素を共通要素として抽出して共通集合に追加する。
なお、判定データが一致することで要素が共通することの証明は後記する。
マッチング判定手段４０は、要素のマッチング判定を終了した段階で、要素選択手段２０に動作を移行する。
具体的には、共通要素抽出手段４３は、通信手段５０を介して、判定データＣＡ２を相手方のデータマッチング装置１Ｂに送信するとともに、相手方のデータマッチング装置１Ｂから判定データＣＢ２を受信する。
そして、共通要素抽出手段４３は、判定データＣＡ２と判定データＣＢ２とが一致するか否かを判定し、一致する要素を共通要素として抽出して共通集合に追加する。
なお、判定データが一致することで要素が共通することの証明は後記する。
マッチング判定手段４０は、要素のマッチング判定を終了した段階で、要素選択手段２０に動作を移行する。
【0044】
これによって、図４に示すように、データマッチング装置１Ａのマッチング判定手段４０は、データ集合ＵＸの１つの要素と、データマッチング装置１Ｂのデータ集合ＵＹのＮ個のすべての要素ｅ１～ｅＮとの間でＮ回のマッチング判定を行う処理を、データ集合ＵＸの要素数分であるＭ回繰り返すことで、すべての組み合わせのマッチング判定を行う。
【0045】
通信手段５０は、ＩＰネットワーク等の通信回線を介して、データの送受信を行うものである。この通信手段５０は、一般的な通信制御装置で構成することができる。
以上説明したように、データマッチング装置１は、データ集合の要素を秘匿したままで、共通のデータ（要素）を共有することができる。
また、データマッチング装置１は、要素の値を秘密分散することで、２者間であってもMalicious安全性を有するＰＳＩプロトコルを実現することができる。
なお、データマッチング装置１は、コンピュータを、前記した各手段として機能させるためのプログラム（データマッチングプログラム）で動作させることができる。
以上説明したように、データマッチング装置１は、データ集合の要素を秘匿したままで、共通のデータ（要素）を共有することができる。
また、データマッチング装置１は、要素の値を秘密分散することで、２者間であってもMalicious安全性を有するＰＳＩプロトコルを実現することができる。
なお、データマッチング装置１は、コンピュータを、前記した各手段として機能させるためのプログラム（データマッチングプログラム）で動作させることができる。
【0046】
（判定データによる共通要素判定の証明）
次に、マッチング判定手段４０の共通要素抽出手段４３において、判定データＣＡ２と、判定データＣＢ２の一致により共通要素が判定できることを証明する。
判定データＣＡ２は、前記式（４）のＣＢ１に前記式（３）を代入することで、以下の式（６）に変形することができる。
次に、マッチング判定手段４０の共通要素抽出手段４３において、判定データＣＡ２と、判定データＣＢ２の一致により共通要素が判定できることを証明する。
判定データＣＡ２は、前記式（４）のＣＢ１に前記式（３）を代入することで、以下の式（６）に変形することができる。
【0047】
【数6】
【0048】
また、判定データＣＢ２は、前記式（５）のＣＡ１に前記式（２）を代入することで、以下の式（７）に変形することができる。
【0049】
【数7】
【0050】
よって、（ＣＡ２－ＣＢ２）は、以下の式（８）のように変形することができる。
【0051】
【数8】
【0052】
この式（８）に示すように、（ＣＡ２－ＣＢ２）は、ａ＝ｂおよびＨａｓｈ（ａ）＝Ｈａｓｈ（ｂ）のときに“０”となる。なお、ａ＝ｂであれば、Ｈａｓｈ（ａ）＝Ｈａｓｈ（ｂ）である。すなわち、ＣＡ２＝ＣＢ２の場合、ａ＝ｂとなる。
これによって、マッチング判定手段４０の共通要素抽出手段４３は、判定データＣＡ２と判定データＣＢ２とが一致する場合、それぞれのデータマッチング装置１Ａ，１Ｂで選択された要素ａ，ｂが共通要素であると判定することができる。
これによって、マッチング判定手段４０の共通要素抽出手段４３は、判定データＣＡ２と判定データＣＢ２とが一致する場合、それぞれのデータマッチング装置１Ａ，１Ｂで選択された要素ａ，ｂが共通要素であると判定することができる。
【0053】
＜データマッチング装置の動作＞
次に、図５～図７を参照（構成については適宜図３参照）して、本発明の実施形態に係るデータマッチング装置１の動作について説明する。
ここでは、データマッチング装置１Ａ，１Ｂで、データマッチングを行い、データマッチング装置１Ａが、データマッチングを要求する側であるとする。また、データマッチング装置１Ａ，１Ｂで同じ動作を行う処理については、適宜説明を省略する。
次に、図５～図７を参照（構成については適宜図３参照）して、本発明の実施形態に係るデータマッチング装置１の動作について説明する。
ここでは、データマッチング装置１Ａ，１Ｂで、データマッチングを行い、データマッチング装置１Ａが、データマッチングを要求する側であるとする。また、データマッチング装置１Ａ，１Ｂで同じ動作を行う処理については、適宜説明を省略する。
【0054】
まず、図５を参照して、データマッチング装置１の全体動作について説明する。
ステップＳ１０において、データマッチング装置１Ａは、外部からマッチング要求を指示されることで、マッチング要求手段１０によって、通信手段５０を介して、データマッチングの要求の指示（マッチング要求）をデータマッチング装置１Ｂに送信する。
ステップＳ１１において、データマッチング装置１Ｂは、マッチング要求手段１０によって、通信手段５０を介して、ステップＳ１０で送信されたマッチング要求を受信する。
このとき、ステップとしての図示を省略するが、マッチング要求手段１０は、相互にデータベース２に記憶されているデータ集合の要素数を通知する。
以降、データマッチング装置１ＡのステップＳ１２からＳ１５までの処理と、データマッチング装置１ＢのステップＳ１２ＢからＳ１５Ｂまでの処理とは、マッチング行うデータ集合が異なるだけで、動作は同じであるため、データマッチング装置１Ａの動作のみを説明する。
ステップＳ１０において、データマッチング装置１Ａは、外部からマッチング要求を指示されることで、マッチング要求手段１０によって、通信手段５０を介して、データマッチングの要求の指示（マッチング要求）をデータマッチング装置１Ｂに送信する。
ステップＳ１１において、データマッチング装置１Ｂは、マッチング要求手段１０によって、通信手段５０を介して、ステップＳ１０で送信されたマッチング要求を受信する。
このとき、ステップとしての図示を省略するが、マッチング要求手段１０は、相互にデータベース２に記憶されているデータ集合の要素数を通知する。
以降、データマッチング装置１ＡのステップＳ１２からＳ１５までの処理と、データマッチング装置１ＢのステップＳ１２ＢからＳ１５Ｂまでの処理とは、マッチング行うデータ集合が異なるだけで、動作は同じであるため、データマッチング装置１Ａの動作のみを説明する。
【0055】
ステップＳ１２において、マッチング要求手段１０は、共通集合を空集合に設定する。
ステップＳ１３において、マッチング要求手段１０は、データベース２，２Ａに記憶されているデータ集合ＵＸを読み出し、先頭の要素を選択する。
ステップＳ１４において、秘密情報生成手段３０は、ステップＳ１３で選択された要素、あるいは、後記するステップＳ１８（データマッチング装置１ＢではステップＳ２１）で選択された要素から秘密情報を生成する。
ステップＳ１３において、マッチング要求手段１０は、データベース２，２Ａに記憶されているデータ集合ＵＸを読み出し、先頭の要素を選択する。
ステップＳ１４において、秘密情報生成手段３０は、ステップＳ１３で選択された要素、あるいは、後記するステップＳ１８（データマッチング装置１ＢではステップＳ２１）で選択された要素から秘密情報を生成する。
【0056】
ここで、図６を参照して、ステップＳ１４の秘密情報の生成動作についてさらに詳細に説明する。なお、ここでは、データマッチング装置１Ａでは要素ａが選択され、データマッチング装置１Ｂでは要素ｂが選択された例を示している。
ステップＳ１４０において、秘密分散データ生成手段３１は、選択された要素ａを２つのデータ（第１秘密分散データａ１，第２秘密分散データａ２）に分散する。
ステップＳ１４１において、乱数生成手段３２は、２つの乱数（第１乱数ｑＡ，第２乱数ｑＡ′）を生成する。
ステップＳ１４２において、ハッシュ値算出手段３３は、選択された要素ａと、ステップＳ１４１で生成された第１乱数ｑＡ，第２乱数ｑＡ′とを用いて、前記式（１）により、ハッシュ値ｒａを算出する。
ステップＳ１４０において、秘密分散データ生成手段３１は、選択された要素ａを２つのデータ（第１秘密分散データａ１，第２秘密分散データａ２）に分散する。
ステップＳ１４１において、乱数生成手段３２は、２つの乱数（第１乱数ｑＡ，第２乱数ｑＡ′）を生成する。
ステップＳ１４２において、ハッシュ値算出手段３３は、選択された要素ａと、ステップＳ１４１で生成された第１乱数ｑＡ，第２乱数ｑＡ′とを用いて、前記式（１）により、ハッシュ値ｒａを算出する。
【0057】
以上の動作によって、秘密情報生成手段３０は、秘密情報として、秘密分散データａ１，ａ２と、乱数ｑＡ，ｑＡ′と、ハッシュ値ｒａとを生成する。
なお、データマッチング装置１ＢのステップＳ１４Ｂの動作は、要素ａを要素ｂとしただけで、動作は同じである。
なお、データマッチング装置１ＢのステップＳ１４Ｂの動作は、要素ａを要素ｂとしただけで、動作は同じである。
【0058】
図５に戻って、データマッチング装置１の全体動作について説明を続ける。
ステップＳ１５において、マッチング判定手段４０は、ステップＳ１４で生成された秘密情報を用いて、マッチング対象のデータマッチング装置１Ｂとの間で、要素がマッチングするか否かを判定する。
ステップＳ１５において、マッチング判定手段４０は、ステップＳ１４で生成された秘密情報を用いて、マッチング対象のデータマッチング装置１Ｂとの間で、要素がマッチングするか否かを判定する。
【0059】
ここで、図７を参照して、ステップＳ１５のマッチング判定の動作についてさらに詳細に説明する。
ステップＳ１５０において、中間データ生成手段４１は、ステップＳ１４で生成した秘密情報の一部である第１秘密分散データａ１と第２乱数ｑＡ′とを、データマッチング装置１Ｂに送信する。
ステップＳ１５１において、中間データ生成手段４１は、データマッチング装置１Ｂから、相手方の秘密情報の一部である第１秘密分散データｂ１と第２乱数ｑＢ′とを受信する。
ステップＳ１５０において、中間データ生成手段４１は、ステップＳ１４で生成した秘密情報の一部である第１秘密分散データａ１と第２乱数ｑＡ′とを、データマッチング装置１Ｂに送信する。
ステップＳ１５１において、中間データ生成手段４１は、データマッチング装置１Ｂから、相手方の秘密情報の一部である第１秘密分散データｂ１と第２乱数ｑＢ′とを受信する。
【0060】
ステップＳ１５２において、中間データ生成手段４１は、ステップＳ１４で生成した秘密情報の一部である第２秘密分散データａ２と第１乱数ｑＡとハッシュ値ｒａと、ステップＳ１５１で受信した第１秘密分散データｂ１と第２乱数ｑＢ′とを用いて、前記式（２）により、中間データＣＡ１を生成する。
データマッチング装置１Ｂにおいても、ステップＳ１５０からＳ１５２と同様、ステップＳ１５０ＢからＳ１５２Ｂにおいて、第１秘密分散データと第２乱数とを送受信し、中間データＣＢ１を生成する。
データマッチング装置１Ｂにおいても、ステップＳ１５０からＳ１５２と同様、ステップＳ１５０ＢからＳ１５２Ｂにおいて、第１秘密分散データと第２乱数とを送受信し、中間データＣＢ１を生成する。
【0061】
ステップＳ１５３において、判定データ生成手段４２は、ステップＳ１５２で生成した中間データＣＡ１をデータマッチング装置１Ｂに送信する。
ステップＳ１５４において、判定データ生成手段４２は、データマッチング装置１Ｂから、相手方の中間データＣＢ１を受信する。
ステップＳ１５５において、判定データ生成手段４２は、ステップＳ１５４で受信した中間データＣＢ１に、前記式（４）に示したように、第１乱数ｑＡを乗算し、第２乱数ｑＡ′で除算することで、判定データＣＡ２を生成する。
データマッチング装置１Ｂにおいても、ステップＳ１５３からＳ１５５と同様、ステップＳ１５３ＢからＳ１５５Ｂにおいて、中間データを送受信し、判定データＣＢ２を生成する。
ステップＳ１５４において、判定データ生成手段４２は、データマッチング装置１Ｂから、相手方の中間データＣＢ１を受信する。
ステップＳ１５５において、判定データ生成手段４２は、ステップＳ１５４で受信した中間データＣＢ１に、前記式（４）に示したように、第１乱数ｑＡを乗算し、第２乱数ｑＡ′で除算することで、判定データＣＡ２を生成する。
データマッチング装置１Ｂにおいても、ステップＳ１５３からＳ１５５と同様、ステップＳ１５３ＢからＳ１５５Ｂにおいて、中間データを送受信し、判定データＣＢ２を生成する。
【0062】
ステップＳ１５６において、共通要素抽出手段４３は、ステップＳ１５５で生成した判定データＣＡ２をデータマッチング装置１Ｂに送信する。
ステップＳ１５７において、共通要素抽出手段４３は、データマッチング装置１Ｂから、相手方の判定データＣＢ２を受信する。
ステップＳ１５８において、共通要素抽出手段４３は、ステップＳ１５５で生成した判定データＣＡ２と、ステップＳ１５７で受信した判定データＣＢ２とが一致するか否かを判定する。
ステップＳ１５７において、共通要素抽出手段４３は、データマッチング装置１Ｂから、相手方の判定データＣＢ２を受信する。
ステップＳ１５８において、共通要素抽出手段４３は、ステップＳ１５５で生成した判定データＣＡ２と、ステップＳ１５７で受信した判定データＣＢ２とが一致するか否かを判定する。
【0063】
ここで、判定データＣＡ２と判定データＣＢ２とが一致する場合（ステップＳ１５８でＹｅｓ）、ステップＳ１５９において、共通要素抽出手段４３は、現在選択されている要素ａを、共通集合に追加して、ステップＳ１５のマッチング判定を終了する。
一方、判定データＣＡ２と判定データＣＢ２とが一致しない場合（ステップＳ１５８でＮｏ）、共通要素抽出手段４３は、そのままステップＳ１５のマッチング判定を終了する。
データマッチング装置１Ｂにおいても、ステップＳ１５６からＳ１５９と同様、ステップＳ１５６ＢからＳ１５９Ｂにおいて、判定データを送受信し、判定データＣＡ２と判定データＣＢ２とが一致する場合に、現在選択されている要素ｂを、共通集合に追加する。
一方、判定データＣＡ２と判定データＣＢ２とが一致しない場合（ステップＳ１５８でＮｏ）、共通要素抽出手段４３は、そのままステップＳ１５のマッチング判定を終了する。
データマッチング装置１Ｂにおいても、ステップＳ１５６からＳ１５９と同様、ステップＳ１５６ＢからＳ１５９Ｂにおいて、判定データを送受信し、判定データＣＡ２と判定データＣＢ２とが一致する場合に、現在選択されている要素ｂを、共通集合に追加する。
【0064】
図５に戻って、データマッチング装置１の全体動作について説明を続ける。
ステップＳ１６において、マッチング判定手段４０は、選択した要素に対して、マッチング相手の要素をすべて判定したか否かを判定する。すなわち、マッチング判定手段４０は、マッチング相手の要素数分の判定を行ったか否かを判定する。
ここで、まだ、マッチング相手の要素をすべて判定していない場合（ステップＳ１６でＮｏ）、データマッチング装置１Ａは、ステップＳ１５に戻って、マッチング判定を繰り返す。
ステップＳ１６において、マッチング判定手段４０は、選択した要素に対して、マッチング相手の要素をすべて判定したか否かを判定する。すなわち、マッチング判定手段４０は、マッチング相手の要素数分の判定を行ったか否かを判定する。
ここで、まだ、マッチング相手の要素をすべて判定していない場合（ステップＳ１６でＮｏ）、データマッチング装置１Ａは、ステップＳ１５に戻って、マッチング判定を繰り返す。
【0065】
一方、マッチング相手の要素をすべて判定した場合（ステップＳ１６でＹｅｓ）、ステップＳ１７において、自身のデータ集合の要素をすべて選択したか否かを判定する。
ここで、まだ、自身のデータ集合の要素をすべて選択していない場合（ステップＳ１７でＮｏ）、データマッチング装置１Ａは、ステップＳ１８に動作を進める。
一方、自身のデータ集合の要素をすべて選択した場合（ステップＳ１７でＹｅｓ）、データマッチング装置１Ａは、ステップＳ１９に動作を進める。
ステップＳ１８において、要素選択手段２０は、自身のデータ集合から次の要素を選択し、ステップＳ１４に動作を戻す。
ステップＳ１９において、マッチング判定手段４０は、共通集合に含まれる要素をマッチング結果として、図示を表示装置等に出力する。
ここで、まだ、自身のデータ集合の要素をすべて選択していない場合（ステップＳ１７でＮｏ）、データマッチング装置１Ａは、ステップＳ１８に動作を進める。
一方、自身のデータ集合の要素をすべて選択した場合（ステップＳ１７でＹｅｓ）、データマッチング装置１Ａは、ステップＳ１９に動作を進める。
ステップＳ１８において、要素選択手段２０は、自身のデータ集合から次の要素を選択し、ステップＳ１４に動作を戻す。
ステップＳ１９において、マッチング判定手段４０は、共通集合に含まれる要素をマッチング結果として、図示を表示装置等に出力する。
【0066】
データマッチング装置１Ｂは、ステップＳ２０において、自身のデータ集合の要素をすべて選択したか否かを判定する。
ここで、まだ、自身のデータ集合の要素をすべて選択していない場合（ステップＳ２０でＮｏ）、データマッチング装置１Ｂは、ステップＳ２１に動作を進める。
ここで、まだ、自身のデータ集合の要素をすべて選択していない場合（ステップＳ２０でＮｏ）、データマッチング装置１Ｂは、ステップＳ２１に動作を進める。
【0067】
一方、自身のデータ集合の要素をすべて選択した場合（ステップＳ２０でＹｅｓ）、データマッチング装置１Ｂは、ステップＳ２２に動作を進める。
ステップＳ２１において、要素選択手段２０は、自身のデータ集合から次の要素を選択し、ステップＳ１４Ｂに動作を戻す。
ステップＳ２２において、マッチング判定手段４０は、マッチング相手の要素をすべて判定したか否かを判定する。すなわち、マッチング判定手段４０は、マッチング相手の要素数分の判定を行ったか否かを判定する。
ステップＳ２１において、要素選択手段２０は、自身のデータ集合から次の要素を選択し、ステップＳ１４Ｂに動作を戻す。
ステップＳ２２において、マッチング判定手段４０は、マッチング相手の要素をすべて判定したか否かを判定する。すなわち、マッチング判定手段４０は、マッチング相手の要素数分の判定を行ったか否かを判定する。
【0068】
ここで、まだ、マッチング相手の要素をすべて判定していない場合（ステップＳ２２でＮｏ）、データマッチング装置１Ｂは、ステップＳ１３Ｂに戻って、マッチング判定を繰り返す。
一方、マッチング相手の要素をすべて判定した場合（ステップＳ２２でＹｅｓ）、ステップＳ２３において、マッチング判定手段４０は、共通集合に含まれる要素をマッチング結果として、図示を表示装置等に出力する。
以上の動作によって、データマッチング装置１は、データ集合の要素を秘匿したままで、共通のデータ（要素）を共有することができる。
一方、マッチング相手の要素をすべて判定した場合（ステップＳ２２でＹｅｓ）、ステップＳ２３において、マッチング判定手段４０は、共通集合に含まれる要素をマッチング結果として、図示を表示装置等に出力する。
以上の動作によって、データマッチング装置１は、データ集合の要素を秘匿したままで、共通のデータ（要素）を共有することができる。
【0069】
以上、本発明に実施形態に係るデータマッチング装置１の構成および動作について説明したが、本発明は、この実施形態に限定されるものではない。
例えば、ここでは、データマッチング装置１の内部に秘密情報生成手段３０（秘密分散データ生成手段３１、乱数生成手段３２、ハッシュ値算出手段３３）を備える構成とした。しかし、秘密情報生成手段３０は、データマッチング装置１の外部、例えば、データベース２に備えて、逐次、秘密情報を取得することとしてもよい。
例えば、ここでは、データマッチング装置１の内部に秘密情報生成手段３０（秘密分散データ生成手段３１、乱数生成手段３２、ハッシュ値算出手段３３）を備える構成とした。しかし、秘密情報生成手段３０は、データマッチング装置１の外部、例えば、データベース２に備えて、逐次、秘密情報を取得することとしてもよい。
【0070】
また、ここでは、中間データ生成手段４１は、前記式（２）のように、第２秘密分散データａ２から第１秘密分散データｂ１を減算したが、第１秘密分散データｂ１から第２秘密分散データａ２を減算しても構わない。
その場合、対応する前記式（３）は、第１秘密分散データａ１から第２秘密分散データｂ２を減算することになる。
その場合、対応する前記式（３）は、第１秘密分散データａ１から第２秘密分散データｂ２を減算することになる。
【0071】
また、ここでは、中間データ生成手段４１は、前記式（２）のように、ｑＡ×ｑＢ′×（ａ２－ｂ１）とｒａとの差を中間データＣＡ１として生成した。
しかし、中間データ生成手段４１は、ｑＡ×ｑＢ′×（ａ２－ｂ１）とｒａとの和を中間データＣＡ１として生成してもよい。
その場合、対応する前記式（３）も、ｑＡ′×ｑＢ×（ｂ２－ａ１）とｒｂとの和を中間データＣＢ１として生成すればよい。
しかし、中間データ生成手段４１は、ｑＡ×ｑＢ′×（ａ２－ｂ１）とｒａとの和を中間データＣＡ１として生成してもよい。
その場合、対応する前記式（３）も、ｑＡ′×ｑＢ×（ｂ２－ａ１）とｒｂとの和を中間データＣＢ１として生成すればよい。
【符号の説明】
【0072】
１００ データマッチングシステム
１ データマッチング装置
１０ マッチング要求手段
２０ 要素選択手段
３０ 秘密情報生成手段
３１ 秘密分散データ生成手段
３２ 乱数生成手段
３３ ハッシュ値算出手段
４０ マッチング判定手段
４１ 中間データ生成手段
４２ 判定データ生成手段
４３ 共通要素抽出手段
５０ 通信手段
２ データベース
１ データマッチング装置
１０ マッチング要求手段
２０ 要素選択手段
３０ 秘密情報生成手段
３１ 秘密分散データ生成手段
３２ 乱数生成手段
３３ ハッシュ値算出手段
４０ マッチング判定手段
４１ 中間データ生成手段
４２ 判定データ生成手段
４３ 共通要素抽出手段
５０ 通信手段
２ データベース
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】