>>328
その式は線形解読法の式そのものだよ。そうやって立てた式のうち効率が高いやつを使って解く。
ただP'はKとKによって撹乱されているから、Pを使った式の形に変換してその時ついでにKを消す。
P'1 xor P'2 … P'n辺りの式でKを消せる数が制限されるし、Kを消し損なうほど効率が落ちていく。

ここでのP、K、P'、Cは特定のペアの値じゃなくて変数(のビット)だから、式を立てるだけなら値は無視できる。
言い換えるとCに含まれるKの情報でP'からKの影響を除去した式を求めるんだよ。具体的なKの推定はしない。
Kを推定することで一つのペアを求めるんじゃなくて、Kを無視して線形解読法を直接適用してしまう。

>>329
別の特許に依存する特許自体は別に良いんじゃ無いの？
乱数使う既存のやつでKがより大きい既存の暗号利用モードがある事の方が不味いと思う。
あと、ここで言うKの影響を消しての線形解読法などはK総当り以外の方法になる…筈。
そもそも、これが超絶有効な暗号利用モードなのだとしても、
暗号利用モードで特許取られると利用の邪魔になって算術符号の如くだからなんか嫌なんだよなぁ…