工具准备：写 $p - 1 = 2^{t_p} u_p$（$u_p$ 奇）；$\mathbb{Z}_p^*$ 是 $p-1$ 阶循环群，其中 $a$ 模 $p$ 的阶为奇的比例是 $2^{-t_p}$、恰含 $s$ 个因子 2 的比例是 $2^{s-1-t_p}$；由中国剩余定理，模 $N$ 均匀等价于模 $p$、模 $q$ 各自独立均匀，故 $r = \mathrm{lcm}(r_p, r_q)$。失败仅两种：其一 $r$ 为奇，需两个阶均为奇，概率 $2^{-(t_p+t_q)} \le 1/4$；其二 $a^{r/2} \equiv -1$——域 $\mathbb{Z}_p$ 中 1 的平方根只有 $\pm 1$，符号组合 $(+,+)$ 与 $r$ 的最小性矛盾，$(-,-)$ 即失败，概率 $(2^{2m}-1)/(3\cdot 2^{t_p+t_q})$，$m = \min(t_p, t_q)$。合计 $P_{\text{失败}} = (2^{2m}+2)/(3\cdot 2^{t_p+t_q}) \le 1/2$，等号在 $t_p = t_q = 1$（$p \equiv q \equiv 3 \bmod 4$）时取到，两种失败各占 $1/4$。演算 $N = 15 = 3\times 5$：$t_p = 1$（$3-1 = 2 = 2^1\cdot 1$）、$t_q = 2$（$5-1 = 4 = 2^2\cdot 1$）、$m = 1$，$P(r\ \text{奇}) = 2^{-3} = 1/8$、$P(-,-) = (4-1)/(3\cdot 8) = 1/8$，理论失败率 $1/4$。全量枚举印证：$\gcd(a, 15) = 1$ 的 7 个 $a$ 中仅 $a = 14 \equiv -1$ 失败，成功比例 $6/7 \approx 0.857 \ge 1/2$。