>>322
あーすまん、必要な既知平文の数じゃなくて、単に既知平文使われた時の計算量を積み増すって話なのか。

Kの情報量が暗号文に漏れてくるからそれ考慮して式立てる事ができれば計算量オーダは増えないかも…
まず、乱数K、平文Pでの変換結果をP'とした場合に、それぞれの関係は論理式に落とし込めるはず。
鍵kでの暗号化をEkとしてEk(P')=Cとしたとき、P'1 xor P'2 … P'n xor C1 … Cn = k1 xor k2 が有効なとき、
P'をPとKで書きなおしてKを減らせば、Kの総当りコストは減らすことが出来る…筈。Kをすべて消せばコスト0。

都合よくKを消せないような既知乱数表と暗号の組合せならこの問題はない…と思う。
このへんは他の暗号利用モードも同じかも知れんけど…論文読んだりしたほうが良さそうな話だ。
なんか真面目にやるなら乱数表の設計がSボックスの設計並みに面倒臭そう。

FEAL-4は295で出てたから解読に必要な既知平文の数の例に持ってきただけで深い意味は無い。