Причина $R=n-1$ (или же $R=1,$ применяется к отображению расшифровки) используется следующее. Все индивидуальные дифференциальные аппроксимации, а также дифференциальный след, который выбирается $R$ выход раундов статистический отношения.
Однако теперь можно использовать вывод зашифрованного текста, запускать Sbox в последнем раунде в обратном порядке и условно на каждом предположении для круглых ключей XORed на входы $n^{th}$ круглые Sboxes есть неслучайные и точные предположения для выходов целевых Sbox из раунда $n-1.$ Это означает, что можно провести надежный статистический эксперимент и надежно рассчитать эмпирическую дифференциальную вероятность выбранной разности входных и выходных данных.
На этом этапе, при наличии достаточного количества пар P/C, предположение ключа, дающее наибольшую эмпирическую вероятность, объявляется наиболее вероятным предположением ключа.
Смотрите мой ответ на следующий вопрос для более конкретных деталей.
Учебное пособие по дифференциальному криптоанализу Говарда М. Хейса
Редактировать: Спасибо @fractalice за неаккуратную последнюю часть моего ответа. Действительно, важна вычислительная сложность прохождения ключевых догадок «активных» Sbox в последнем раунде. Таким образом, дифференциальная вероятность $\эпсилон$ принадлежащий $n-1$ дифференциальная характеристика означает, что вам нужно использовать грубо $с/\эпсилон$ пары P/C для того, чтобы эмпирически характеристика была доминирующей, а при наличии $к$ активные Sboxes в последнем раунде вам нужно будет попробовать $2^{4k}$ (поскольку Sbox имеют ширину 4 бита) угадали ключи, пытаясь решить, какие угаданные ключи наиболее вероятны.