高斯与正十七边形：一个清晨，两千年的难题

1796 年 3 月 30 日，一个还差一个月才满十九岁的年轻人，想通了欧几里得之后两千年里没有人做到的事——只用直尺和圆规，画出正十七边形。但比“画出来”更深的问题是：

为什么可以画？

这篇文章从零讲起：费马素数、模 17 的时钟、高斯周期、Galois 群、四层二次扩张，直到 $\cos\frac{2\pi}{17}$ 的显式闭式与 Richmond 的二十步作图，再到 Wantzel 与 Lindemann 关上古希腊三大难题的门。

目录

• §0 引子
• §1 为什么是 17（费马素数判据）
• §2 时钟上的乘法 (ℤ/17ℤ)*
• §3 高斯周期 → 第一个 √17
• §4 对称的群：Galois
• §5 cos(2π/17) 的显式闭式
• §6 Richmond 1893：二十步作图
• §7 必要性：Wantzel + Lindemann
• §8 历史与意义
• §9 结语

§0 引子

高斯数学日记（Tagebuch）首条，1796 年 3 月 30 日——正十七边形可作图的发现记录（拉丁文 Principia quibus innititur sectio circuli…）。Wikimedia Commons, public domain.

在两千多年前的地中海世界，古希腊是一个由诸多城邦组成的文明共同体，我们如今的哲学、天文学、几何学，都在这里慢慢成形。

我对数学的兴趣，就源于初中时的平面几何。而其中最让我震撼的，是年轻的高斯作出正十七边形的故事。

青年高斯，J. C. A. Schwartz 粉彩，1803 年（高斯约 26 岁）。Wikimedia Commons, PD.

这一集，让我们一起来回顾这个故事。比起“怎么把它画出来”，这篇博文更想讲清楚的，是高斯当年真正想通的那件事——为什么可以画。

§1 — 为什么是 17：费马素数与可作图判据

正十七边形之所以是数学史上的一座里程碑，不是因为”17 这个数好看”，而是因为它正好踩在一条极其苛刻的判据线上：用没有刻度的直尺与圆规，能精确作出的正多边形，边数被一种叫”费马素数”的稀有素数死死卡住。这一节从零开始讲清楚两件事——什么样的素数才”可作”，以及为什么 $17$ 恰好是其中一个。我们先用一个朴素的画面把”费马数”说明白，再补全一条关键引理的完整证明（高斯把它写进了《算术研究》，但常被各种科普一笔带过的”$2^m+1$ 素数 $\Rightarrow m$ 是 $2$ 的幂”），最后说清”可作 $\iff$ 边数长什么样”这条判据的来龙去脉，以及它跟三大古希腊难题各自的归属。

本节符号补充

1.1 直觉先行：什么是费马数，为什么指数必须是”$2$ 的幂”

$z^{17}=1$ 的 17 个根均布单位圆；$\zeta_{17}=e^{2\pi i/17}$（橙）的实部即 $\cos\frac{2\pi}{17}$。— 动画帧：Abel（Manim）

先看一个最朴素的问题：形如 $2^m+1$ 的数里，哪些可能是素数？

随手试几个：$2^1+1=3$（素），$2^2+1=5$（素），$2^3+1=9=3\times3$（不是），$2^4+1=17$（素），$2^5+1=33=3\times11$（不是），$2^6+1=65=5\times13$（不是），$2^8+1=257$（素）。

一个规律呼之欲出：只有当指数 $m$ 本身是 $2$ 的幂（$m=1,2,4,8,\dots$）时，$2^m+1$ 才有机会是素数；只要 $m$ 带一个奇因子（$3,5,6$ 都带），它必然能被分解。

这个观察的画面是这样的：如果 $m$ 里藏着一个奇因子，那么 $2^m+1$ 就会自动”长出”一个小一号的因子 $2^{d}+1$ 把自己劈开。十七世纪的费马据此猜想：取 $m=2^k$（彻底掐掉一切奇因子），得到的数

或许个个都是素数。前五个确实漂亮：

$17=F_2=2^{2^{2}}+1$ 正是其中的第三个费马素数——这就是它后来能被尺规作图的算术身份证。

1.2 把直觉证严：$2^m+1$ 是素数 $\Rightarrow m$ 是 $2$ 的幂

上一小节的”规律”必须证明，否则它只是巧合。这里给出完整证明（高斯《算术研究》§365 把可作性判据建立在它之上）。证明的全部燃料是下面这条初等恒等式。

引理（奇次幂的因式）. 设 $e$ 是奇数，则多项式 $x+1$ 整除 $x^{e}+1$：

（把右边展开，相邻项逐对抵消，只剩 $x^{e}+1$；因为 $e$ 奇，最后一项是 $+1$，符号恰好对得上。等价地说，$x=-1$ 是 $x^{e}+1$ 的根，故 $x+1$ 是它的因式。）

命题. 若 $2^{m}+1$ 是素数，则 $m$ 是 $2$ 的幂。

证明（反证法）. 假设 $m$ 不是 $2$ 的幂。那么 $m$ 至少含有一个奇因子 $e>1$。把它写成

在引理里代入 $x=2^{d}$（注意 $e$ 是奇数，引理适用）：

于是 $2^{d}+1$ 是 $2^{m}+1$ 的一个因子。再看它的大小：因为 $1\le d<m$，所以

即 $2^{d}+1$ 是一个严格介于 $1$ 与 $2^{m}+1$ 之间的真因子。这与 $2^{m}+1$ 是素数（只有平凡因子 $1$ 和自身）矛盾。

因此 $m$ 不含奇因子 $>1$，即 $m$ 只由因子 $2$ 构成——$m$ 是 $2$ 的幂。(证毕)

方向提醒（别读反了）

：这条命题只说”素数 $\Rightarrow$ 指数是 $2$ 的幂”，它

不

保证”指数是 $2$ 的幂 $\Rightarrow$ 素数”。反方向是费马猜错的地方——见下一小节 $F_5$。

1.3 费马翻车：$F_5$ 不是素数（欧拉 1732）

费马素数 $F_0\!=\!3,\,F_1\!=\!5,\,F_2\!=\!17,\,F_3\!=\!257,\,F_4\!=\!65537$；$F_5$ 被欧拉 1732 用因子 641 划掉。— Abel（Manim）

费马猜测”所有 $F_k$ 都是素数”，但他只验到了 $F_4$。约一个世纪后，欧拉在 1732 年给出第一个反例：第六个费马数

不是素数。欧拉的关键洞察是：$F_5$ 若有素因子，该素因子必形如 $64k+1$（这一约束把搜索范围大幅缩小），据此他很快锁定了 $641$。验证只需一次除法：

（$641$ 是素数，$6700417$ 也是素数，但后者要到更晚才被确认。$641=64\times10+1$，正合 $64k+1$ 的形。）这一刀让”费马素数”从”无穷一族”跌成”目前只知 $5$ 个”的稀有名单：$F_0,\dots,F_4 = 3,5,17,257,65537$。$F_5$ 之后人们再没找到过新的费马素数，是否还有第六个至今未知。

正是这份稀有，决定了能用尺规作出的”奇素数边正多边形”屈指可数——而 $17$ 占着其中一席。

1.4 可作图判据：高斯–Wantzel 定理

高斯–Wantzel 判据 $n=2^a p_1\cdots p_k$（互异费马素数）；$7/9/11/13/14$ 边形出局。— Abel（Manim）

F. J. Richelot（1808–1875），1832 年作出正 257 边形。Wikimedia Commons, public domain.

现在把”哪些正多边形可作”这条总判据完整摆出来。它的”充分性”（怎么作）由高斯在 1796 年用周期开方给出（本系列 §3–§6 正是把 $n=17$ 的情形从头作一遍），“必要性”（不满足就真作不出）由 Wantzel** 在 1837 年**（J. Math. Pures Appl. 2, 366–372）补全。合称：

高斯–Wantzel 定理.

正 $n$ 边形可用直尺与圆规精确作图，当且仅当

$$n=2^{a}\,p_{1}p_{2}\cdots p_{k},$$

其中 $a\ge 0$，而 $p_{1},\dots,p_{k}$ 是

互不相同

的费马素数（$k$ 可以为 $0$）。

读这条判据要抓住三个要点：

• “互不相同”是硬约束。可作的奇素数因子，每个费马素数最多用一次。比如 $n=9=3^{2}$ 用了重复的费马素数 $3$，不可作——而这恰好等价于”$60^\circ$ 不能三等分”。捋一遍这条等价链：正九边形要作出 $40^\circ=\tfrac{1}{9}\cdot360^\circ$；而 $40^\circ=2\times20^\circ$，倍角可作，所以”作 $40^\circ$“与”作 $20^\circ$“是一回事；又 $20^\circ=\tfrac{1}{3}\cdot60^\circ$，于是它最终归到”能否三等分 $60^\circ$“——而 $60^\circ$ 本身是现成可作的角（正三角形），三等分它却不行。这一不可能性的严格证明留到 §7。
• 乘 $2$ 不要钱。因子里的 $2^{a}$ 随便加：能作正 $n$ 边形，就能作正 $2n$ 边形（每条弧二等分，只需一次作中垂线）。所以正 $3,5,15,17$ 边形可作，正 $6,10,30,34,68$ 边形也都可作。
• 可作的奇边数清单极短。从 $5$ 个已知费马素数 $\{3,5,17,257,65537\}$ 里取”互不相同”的若干个相乘，连”一个都不取”（空积 $=1$，对应 $n$ 是纯 $2$ 的幂）也算上，总共只有 $2^{5}=32$ 种组合。把空积 $1$ 之外的奇边数列出来，就是 $3,5,15,17,51,85,255,257,\dots$（$15=3\times5$ 插在 $5$ 与 $17$ 之间）。$17$ 是其中第四小、且是第一个”非平凡到让人意外”的——这正是高斯当年震动数学界的原因（他在不满十九岁时解决此问题后才决定献身数学）。

1.5 必要性的算术心脏：度数必须是 $2$ 的幂

为什么判据里偏偏是费马素数？这一小节给出直觉链条（完整证明见 §7 的 Wantzel 度数判据），它把”几何可作”翻译成”算术上指数是 $2$ 的幂”，正好接回 §1.2。

第一步——化几何为坐标. 把正 $p$ 边形放进单位圆、首顶点钉在 $(1,0)$，则相邻顶点是 $\big(\cos\frac{2\pi}{p},\sin\frac{2\pi}{p}\big)$。作出正 $p$ 边形 $\iff$ 作出实数 $\cos\frac{2\pi}{p}$（有了这个横坐标，纵坐标 $\sin$ 由单位圆方程一次开方即得，其余顶点靠等弧复制）。于是问题彻底落到一个实数能否作。

第二步——可作数的”次数”必是 $2$ 的幂. 尺规每一步（直线交直线、直线交圆、圆交圆）在坐标上至多解一个二次方程，即至多引入一次平方根。把作图全程串起来，任何可作数 $x$ 都落在一座”每层二次”的扩张塔顶端，从而它的代数次数

必是 $2$ 的幂（这是 Wantzel 1837 的核心，§7 给塔乘公式的严格论证）。

第三步——算 $\cos\frac{2\pi}{p}$ 的次数. 对素数 $p$，可以证明（本系列 §2 已证 $\zeta_{17}$ 在 $\mathbb{Q}$ 上次数 $=16$，一般素数同理给 $p-1$）：

第四步——拼起来. 若正 $p$ 边形可作，则由第二、三步，$\dfrac{p-1}{2}$ 必是 $2$ 的幂，于是 $p-1$ 是 $2$ 的幂，即 $p=2^{m}+1$ 形。而由 §1.2 的命题，$2^{m}+1$ 为素数强制 $m$ 是 $2$ 的幂，故 $p=2^{2^{k}}+1=F_k$ 是费马素数。这就解释了判据里为什么必须是费马素数——它是”次数是 $2$ 的幂”这一几何约束在算术上的唯一出口。

三大难题的归属（请勿混为一谈）

：Wantzel 这把”度数必为 $2$ 幂”的尺子，

只

直接关掉了

倍立方

（需作 $\sqrt[3]{2}$，次数 $3$）与

三等分任意角

（如 $\cos20^\circ$ 满足不可约三次方程，次数 $3$）这两个难题——两者都因出现”次数 $3$“而出局。但

化圆为方

靠的不是 Wantzel：它要作 $\sqrt{\pi}$，而 $\pi$ 的不可作根源是

Lindemann

** 在 1882 年**

（

Math. Annalen 20, 213–225

）证明的

$\pi$ 是超越数

（连代数数都不是，更谈不上可作）。所以第三个难题的句号由 Lindemann 画下，不是 Wantzel。§7 会把这三条分别证完。

1.6 算例：用判据快速判定几个正多边形

例 1.1（$17=F_2$，可作）.

$17=2^{4}+1$，指数 $4=2^{2}$ 是 $2$ 的幂，且 $17$ 为素数，故 $17$ 是费马素数 $F_2$。$\dfrac{17-1}{2}=8=2^{3}$ 是 $2$ 的幂 → 正十七边形

可作

。

例 1.2（$7$，不可作）.

$\dfrac{7-1}{2}=3$ 不是 $2$ 的幂；且 $7=2^{m}+1$ 无整数解（$7-1=6$ 非 $2$ 幂）→ $7$ 不是费马素数 → 正七边形

不可作

。同理正 $11,13$ 边形：$(11-1)/2=5$、$(13-1)/2=6$ 都非 $2$ 幂，皆不可作。

例 1.3（$9=3^{2}$，不可作）.

$9$ 的奇素因子是重复的费马素数 $3\times3$，违反”互不相同”→ 正九边形

不可作

（等价于 $60^\circ$ 不可三等分：正九边形需作 $40^\circ=2\times20^\circ$，而 $20^\circ=60^\circ/3$）。

例 1.4（$15=3\times5$，可作）.

$3=F_0$、$5=F_1$ 是两个

不同

费马素数，乘积满足判据 → 正十五边形

可作

（欧几里得已知）。再乘 $2$ 的幂：正 $30,60,120$ 边形也都可作。

# §1 verification — pure stdlib, runs clean.
def is_power_of_two(n: int) -> bool:
    return n >= 1 and (n & (n - 1)) == 0

# 1) Fermat numbers F_k = 2**(2**k) + 1, and 17 = F_2.
F = [2 ** (2 ** k) + 1 for k in range(6)]
assert F[:5] == [3, 5, 17, 257, 65537]
assert F[2] == 17, "17 = F_2"

# 2) F_5 is composite (Euler 1732): a single trial division by 641 catches it.
assert F[5] == 4294967297
assert F[5] % 641 == 0
assert F[5] == 641 * 6700417
print(f"F_5 = {F[5]} = 641 x 6700417   (641 | F_5 in one division)")

# 3) Lemma engine: if 2**m + 1 is prime, then m is a power of 2.
#    Contrapositive: an odd factor e>1 of m (m=d*e) yields the proper
#    divisor 2**d + 1 of 2**m + 1, via  (x+1) | (x**e + 1)  with x = 2**d.
def proper_divisor_from_odd_factor(m: int):
    e = 3
    while e <= m:
        if m % e == 0:                      # e is an odd factor > 1
            d = m // e
            assert (2 ** m + 1) % (2 ** d + 1) == 0   # 2**d+1 divides 2**m+1
            assert 1 < 2 ** d + 1 < 2 ** m + 1        # and it is proper
            return 2 ** d + 1
        e += 2
    return None

for m in range(1, 40):
    val = 2 ** m + 1
    is_prime = val > 1 and all(val % q for q in range(2, int(val ** 0.5) + 1))
    witness = proper_divisor_from_odd_factor(m)
    if is_prime:
        assert witness is None and is_power_of_two(m)
print("Checked m=1..39:  2**m + 1 prime  =>  m is a power of 2")

# 4) Constructibility test via degree (p-1)/2 being a power of 2.
for p in [3, 5, 17, 257, 65537, 7, 11, 13]:
    deg = (p - 1) // 2          # = [Q(cos 2pi/p) : Q]
    verdict = "constructible" if is_power_of_two(deg) else "NOT constructible"
    print(f"  p={p:>5}:  (p-1)/2 = {deg:>5}  power of 2? {is_power_of_two(deg)!s:>5}  -> {verdict}")
print("OK")

运行输出确认：$F_5=641\times 6700417$ 一次除法即破；$m=1\sim39$ 内 $2^{m}+1$ 为素数者其指数必是 $2$ 的幂；$p=3,5,17,257,65537$ 可作，$p=7,11,13$ 不可作。

1.7 现代意义

这条判据把”一把直尺、一只圆规”这种最古老的工具，与十九世纪才成熟的域与扩张次数语言焊在了一起，其回响远超几何本身：

• 两千多年的难题，分两条时间线收束。三大古希腊作图难题（倍立方、三等分角、化圆为方）从约公元前 $450$ 年（阿那克萨戈拉狱中思考化圆为方）算起，到 Wantzel 1837 与 Lindemann 1882 才彻底了结，跨度约两千三百年。这是一条线。另一条线是正多边形作图：自欧几里得（约公元前 $300$ 年）给出正 $3,5,15$ 边形后，奇素数边的名单逾两千年毫无进展，直到高斯 1796 年添上正十七边形——两个”千年尺度”指的是不同的事，不要并成一个数。
• 费马素数的稀有，今天仍是开放前沿。除 $F_0\sim F_4$ 外人类至今未再找到费马素数，$F_5$ 之后的费马数已被验证大量为合数；“是否只有有限个费马素数”是数论未解之谜。这意味着”奇边数可作的正多边形”清单是否封闭，本质上是个未决问题。
• 同一套”次数是 $2$ 的幂”的判据思想，正是伽罗瓦理论（§4）的雏形：把一个几何/方程问题翻译成群与域的结构问题，再用”塔的层数”读出答案。这种”先翻译、再用结构判定可不可能”的范式，后来支配了从代数方程根式解（阿贝尔–伽罗瓦）到现代计算复杂性的整片版图。

高斯在不满十九岁那年用正十七边形证明了：有时候，回答”能不能做到”的最快路径，不是更聪明地去做，而是把问题搬进一个能看清全部可能性的代数世界——而 $17=F_2$，正是这个世界递给几何的第一张通行证。

— End of §1.

§2 — 时钟上的乘法：$(\mathbb{Z}/17\mathbb{Z})^{*}$ 与它的生成元

要理解高斯怎么”拆开”正十七边形，先得认识一个小小的代数世界：模 17 的乘法。这一节从零开始——不假设你学过群论。我们会先用一个时钟的画面把对象讲清楚，再把它形式化，最后证明一个关键事实：只用一个数 $g=3$ 反复相乘，就能走遍模 17 的所有非零余数。这个”走遍”的性质，是后面三节逐层开方的全部地基。

本节符号补充

2.1 模 17 的世界：一个 17 小时的时钟

普通时钟有 12 个钟点，到 12 之后绕回 1。把钟点数改成 17，就得到 $\mathbb{Z}/17\mathbb{Z}$：所有整数按”除以 17 的余数”归类，只剩下 $0,1,2,\dots,16$ 这 17 个代表。两个数相加或相乘后，超过 16 就减去 17 的倍数绕回来。例如

记号"$a\equiv b \pmod{17}$"读作”$a$ 与 $b$ 模 17 同余”，意思就是它们除以 17 余数相同（差一个 17 的倍数）。

为什么挑 17？因为 17 是素数——除 1 和自身外没有因子。这保证了一件好事：在 $1,2,\dots,16$ 里，任何一个数都能”除得动”（都有乘法逆元）。比如上面 $5\times 7\equiv 1$ 说明 $7$ 是 $5$ 的倒数。于是这 16 个非零余数在乘法下自成一个封闭的小世界，记作 $(\mathbb{Z}/17\mathbb{Z})^{*}$。（若模数不是素数，比如模 6，则 $2\times 3\equiv 0$，乘法会”掉出”非零集合，这个好性质就没了。）

2.2 “阶”：自乘多久回到 1

在这个乘法世界里，挑一个数反复自乘，迟早会回到 $1$（因为只有有限个值，必然循环；而 $1$ 一定在循环里）。第一次回到 $1$ 用的次数，就叫这个数的阶 $\operatorname{ord}(a)$。

拿 $a=2$ 试：

走了 8 步回到 $1$，所以 $\operatorname{ord}(2)=8$。注意 $2$ 的轨道 $\{2,4,8,16,15,13,9,1\}$ 只有 8 个数——它走不遍全部 16 个。

2.3 生成元 $g=3$：一步一步走遍整个钟面

生成元 $g=3$：从 1 反复 $\times 3 \bmod 17$，依次走遍全部 16 个非零余数（$1\to3\to9\to10\to13\to\dots\to1$）后回到起点——“生成”的字面图像。— 动画：Abel（Manim）

换成 $a=3$，反复 $\times 3 \bmod 17$：

继续走下去，轨道是

16 个数恰好不重不漏地遍历了 $1$ 到 $16$，第 16 步才回到 $1$。也就是 $\operatorname{ord}(3)=16$。这种”自乘能走遍全体”的数，叫生成元（或原根）：它像时钟的秒针，每跳一格（一次 $\times 3$），$16$ 跳正好绕钟面一圈、踩遍每一个钟点。

对比 2.2 的 $2$（只踩到 8 个点就提前回到起点），就能直观感到”生成元”的特别：不是每个数都能生成，能生成的才配叫原根。$g=3$ 是模 17 最小的原根，后文一律用它。

这个”用 $g$ 的幂次重新给余数编号”是整篇文章的

核心技巧

。我们不按自然顺序 $1,2,3,\dots$ 看这些余数，而是按它们是 $g$ 的第几次幂来排队。后面会看到：这个排队顺序一旦定好，正十七边形的对称性就变成了简单的”指标平移”。

2.4 严格化：$(\mathbb{Z}/17\mathbb{Z})^{*}$ 是 16 阶循环群，$\operatorname{ord}(3)=16$

把上面的直观证严。“阶”有一条基本性质（Lagrange 定理在循环情形的特例）：$\operatorname{ord}(a)$ 必整除 群的元素个数 $16$。所以 $\operatorname{ord}(3)$ 只能是 $16$ 的因子之一：$1,2,4,8,16$。

证明. 要证 $\operatorname{ord}(3)=16$，只需排除所有真因子 $1,2,4,8$。注意它们全都整除 $8$，因此”$\operatorname{ord}(3)$ 是某个真因子”会推出 $3^{8}\equiv 1$。于是只需验一个条件 $3^{8}\not\equiv 1$ 即可一举排除全部真因子。逐次平方：

得 $3^{8}\equiv -1\neq 1$，故 $\operatorname{ord}(3)\nmid 8$；结合 $\operatorname{ord}(3)\mid 16$，唯一可能是 $\operatorname{ord}(3)=16$。(证毕)

既然存在一个阶为 $16$ 的元素，整个 $(\mathbb{Z}/17\mathbb{Z})^{*}$ 就由它的幂穷尽，即 $(\mathbb{Z}/17\mathbb{Z})^{*}=\langle 3\rangle$ 是循环群，$(\mathbb{Z}/17\mathbb{Z})^{*}\cong \mathbb{Z}/16\mathbb{Z}$。

2.5 关键地基：$\zeta_{17}$ 在 $\mathbb{Q}$ 上的次数恰是 16

后面所有”对称群有 16 个元素""每层扩张次数为 2”的论断，都悬在一个必须证明（而非默认）的事实上：$\zeta_{17}=e^{2\pi i/17}$ 满足的最低次有理系数方程，次数恰为 16。

$\zeta_{17}$ 是 $x^{17}-1=0$ 的根。除去因子 $x-1$，它落在分圆多项式

上。我们证 $\Phi_{17}$ 在 $\mathbb{Q}$ 上不可约（不能再分解成更低次有理系数多项式之积）。技巧是代换 $x\mapsto x+1$ 后用 Eisenstein 判据：

因为 $17$ 是素数，所有中间二项式系数 $\binom{17}{k}$（$1\le k\le 16$）都被 $17$ 整除；常数项是 $\binom{17}{16}=17$，被 $17$ 整除但不被 $17^2=289$ 整除；首项系数 $1$ 不被 $17$ 整除。这恰好满足 Eisenstein 判据（素数 $p=17$），故 $\Phi_{17}(x+1)$ 不可约，从而 $\Phi_{17}(x)$ 不可约。因此

这一步是整篇的承重墙：正因为次数是 $16$，$\zeta_{17}$ 的”对称群”（§4 的 Galois 群）才真有 $16$ 个元素、才等于整个 $(\mathbb{Z}/17\mathbb{Z})^{*}$ 而非它的某个子群；否则后面”$|G|=16=2^4$、四层二次扩张”全部落空。（没有这一步，$\zeta_{17}$ 原则上可能满足更低次方程，整座塔会塌。）

2.6 算例：生成元 vs 非生成元

例 2.1（$g=3$ 是生成元）.

$3$ 的幂轨道长度 $=\operatorname{ord}(3)=16$，遍历 $\{1,\dots,16\}$ 全体——见 2.3。

例 2.2（$g=2$ 不是生成元）.

$2$ 的幂轨道 $\{2,4,8,16,15,13,9,1\}$ 只有 $\operatorname{ord}(2)=8$ 个元素，缺了 $\{3,5,6,7,10,11,12,14\}$。验阶：$2^8=256=15\times 17+1\equiv 1$，且 $2^4=16\equiv -1\neq 1$，故 $\operatorname{ord}(2)=8\neq 16$。

**它只走半圈。

例 2.3（更小的阶）.**

$\operatorname{ord}(16)=2$（因 $16\equiv -1$，$(-1)^2=1$）；$\operatorname{ord}(4)=4$（$4^2=16\equiv -1$，$4^4\equiv 1$）。阶越小，轨道越短，离”生成”越远。

# Verify orders + that 3 is a primitive root mod 17; spot-check Phi_17 degree.
def order(a: int, n: int = 17) -> int:
    x, k = a % n, 1
    while x != 1:
        x = (x * a) % n
        k += 1
    return k

assert order(3) == 16,  "3 should be a primitive root (order 16)"
assert order(2) == 8,   "2 reaches only half"
assert order(4) == 4 and order(16) == 2
# 3 visits every nonzero residue exactly once:
assert {pow(3, k, 17) for k in range(16)} == set(range(1, 17))
print("ord(3)=16 primitive root; cycle =", [pow(3, k, 17) for k in range(16)])

# Phi_17 irreducible (proved via Eisenstein on Phi_17(x+1)) => [Q(zeta_17):Q] = 16.
# Cross-check the degree: deg Phi_17 = phi(17) = 16 (since 17 is prime, phi(17)=16),
# and confirm Eisenstein's hypotheses on Phi_17(x+1) hold at p=17.
from math import comb
# binomial coefficients C(17,k), k=1..16, are the non-leading coeffs of Phi_17(x+1):
mids = [comb(17, k) for k in range(1, 17)]
assert all(c % 17 == 0 for c in mids),         "all middle coeffs divisible by 17"
assert mids[-1] % (17**2) != 0,                 "constant term C(17,16)=17 not div by 17^2"
print("Eisenstein at p=17 holds on Phi_17(x+1)  =>  [Q(zeta_17):Q] = phi(17) = 16  [OK]")

2.7 现代意义

“反复自乘走遍整个余数世界”——生成元/原根这个看似古典的概念，是现代公钥密码学的心脏：

• Diffie–Hellman 密钥交换（1976）正是建立在大素数 $p$ 的原根 $g$ 上：双方各自取私密指数 $a,b$，公开交换 $g^a,g^b \bmod p$，各自再算 $g^{ab}$ 作为共享密钥。安全性来自离散对数难题——已知 $g,\ g^a \bmod p$ 反推 $a$，在 $p$ 极大时计算上不可行，尽管 $g$“走遍”全体的结构保证了 $g^a$ 取值充分均匀。
• 同一”循环群 + 生成元”结构也支撑 ElGamal 加密、DSA 数字签名，以及椭圆曲线密码（把模乘群换成椭圆曲线点群，原根换成基点）。

高斯 1796 年为作图研究的 $(\mathbb{Z}/17\mathbb{Z})^{*}$ 循环结构，与两个世纪后保护互联网通信的数学，是同一个对象。

— End of §2.

§3 — 高斯周期：把十六个根分成两半，逼出第一个 $\sqrt{17}$

§2 把模 17 的世界整理成了一条 16 格的”秒针轨道”——生成元 $g=3$ 的幂依次踩过全部 16 个非零余数。高斯的天才一步是：别去硬解 $\zeta_{17}$ 满足的那个 16 次方程，而是把 16 个根按这条轨道分组、每组求和，让组与组之间满足一个简单的二次方程。这一节做”第一刀”：把 16 个根分成两组各 8 个，证明这两组的和恰好是 $x^2+x-4=0$ 的两个根——于是 $\sqrt{17}$ 第一次出现。

本节符号补充

3.1 直觉：为什么”分组求和”是个好主意

直接面对 $\zeta_{17}$ 很难——它满足一个 16 次方程。但 16 个根作为一个整体有大量对称性（§2 的循环结构）。高斯的想法像切蛋糕：先把 16 个根切成 2 块（每块 8 个根之和，记 $\eta_0,\eta_1$），这两块满足一个二次方程，好解；再把每块切成 2 小块（§4 的 $\theta$），又是二次方程；如此切 4 刀，每刀都只需解二次方程、开一次平方根。4 次开方，就把 $\zeta_{17}$ 从天上拽到了尺规能够到的地面。 本节是第一刀。

3.2 什么是二次剩余（先定义，再用）

一个非零余数 $a$ 叫二次剩余（QR），如果它在模 17 下”是个平方”——即存在某个 $b$ 使 $b^2\equiv a\pmod{17}$。否则叫非二次剩余（NQR）。

把 $1^2,2^2,\dots,8^2$ 模 17 算一遍（再大就对称重复了）：

去重得到 8 个二次剩余：

与 §2 生成元的联系（关键）：二次剩余恰好是 $g=3$ 的偶次幂。理由很短：偶次幂 $g^{2k}=(g^{k})^2$ 当然是平方，所以是 QR；反过来，平方映射 $x\mapsto x^2$ 的”核”只有 $\{\pm 1\}$ 两个元素（$x^2\equiv 1$ 仅 $x\equiv\pm1$，因 17 素数），所以平方映射是 2 对 1 的——$16$ 个元素映成 $8$ 个像，这 8 个像就是全部 QR，恰为 8 个偶次幂。于是

下图把这件事画出来：16 个余数放在单位圆上，QR（赭色）与 NQR（蓝色）按 $g=3$ 的幂次奇偶分成两组——这正是马上要定义的 $\eta_0,\eta_1$ 的成员。

3.3 两个一阶高斯周期 $\eta_0,\eta_1$

16 个根分裂成两个一阶高斯周期：8 个 $\to\eta_0$（橙）、8 个 $\to\eta_1$（蓝）。— 动画：Abel（Manim）

把 QR 对应的单位根求和、NQR 对应的求和，得到两个数：

它们各是 8 个单位根之和。下面证明它们满足一个漂亮的二次方程。

3.4 命题一：$\eta_0+\eta_1=-1$

两组指数合起来正是 $\{1,2,\dots,16\}$，所以

而全部 17 个单位根之和为零（$1+\zeta_{17}+\cdots+\zeta_{17}^{16}=0$，因为它们是 $x^{17}-1=0$ 的根，$x^{16}$ 项系数为 0）。移走 $\zeta_{17}^0=1$，得 $\sum_{k=1}^{16}\zeta_{17}^{k}=-1$。故

3.5 命题二：$\eta_0\cdot\eta_1=-4$（含 $8\times 8=64$ 展开的完整说明）

$\eta_0\cdot\eta_1$ 的 $8\times8=64$ 项展开：每个非零余数恰出现 4 次，求和 $=-4$。— 动画：Abel（Manim）

这是本节唯一需要点功夫的一步。按定义，两个 8 项之和相乘，得到 $8\times 8=64$ 个乘积项，每项形如 $\zeta_{17}^{a}\cdot\zeta_{17}^{b}=\zeta_{17}^{a+b}$：

因为 $\zeta_{17}^{17}=1$，每项只看指数 $c:=(a+b)\bmod 17$。把 64 项按 $c$ 归类，记

我们证两件事：(i) $N(0)=0$；(ii) 对每个 $c\in\{1,\dots,16\}$，$N(c)=4$。

(i) $c=0$ 不可能。 $a+b\equiv 0$ 即 $b\equiv -a$。由于 $17\equiv 1\pmod 4$，$-1$ 是二次剩余（$-1\equiv 16=4^2$）。剩余乘剩余仍是剩余，故 $-a=(-1)\cdot a$ 当 $a\in\mathrm{QR}$ 时仍在 $\mathrm{QR}$，永远不会落进 $\mathrm{NQR}$。所以没有合法的 $(a,b)$ 给出 $c=0$，即 $N(0)=0$。

(ii) 每个非零 $c$ 恰好 4 次。 这里用一个干净的对称论证（不依赖 $\eta_0\neq\eta_1$，避免循环）：

• 第一步（$\mathrm{QR}$-平移）：取任一剩余 $t\in\mathrm{QR}$。乘以 $t$ 把 $\mathrm{QR}\to\mathrm{QR}$、$\mathrm{NQR}\to\mathrm{NQR}$（剩余乘剩余=剩余，剩余乘非剩余=非剩余），于是 $(a,b)\mapsto(ta,tb)$ 是 $\mathrm{QR}\times\mathrm{NQR}$ 到自身的双射，把 $a+b\equiv c$ 变成 $\equiv tc$。故 $N(c)=N(tc)$。又非零余数在”乘 QR”作用下恰分成两条轨道——$\mathrm{QR}$ 自己与 $\mathrm{NQR}$。所以 $N$ 在 $\mathrm{QR}$ 上取常值 $N_{\mathrm R}$、在 $\mathrm{NQR}$ 上取常值 $N_{\mathrm N}$。
• 第二步（$\mathrm{NQR}$-交换，把两个常值焊成一个）：取任一非剩余 $s\in\mathrm{NQR}$。乘以 $s$ 把 $\mathrm{QR}\leftrightarrow\mathrm{NQR}$ 互换，故 $(a,b)\mapsto(sb,sa)$（注意 $sb\in\mathrm{QR}$、$sa\in\mathrm{NQR}$）仍是 $\mathrm{QR}\times\mathrm{NQR}$ 到自身的双射，且 $sa+sb\equiv sc$。于是 $N(c)=N(sc)$；而 $s\in\mathrm{NQR}$ 把 $\mathrm{QR}$ 类映到 $\mathrm{NQR}$ 类，反之亦然。这一步直接给出 $N_{\mathrm R}=N_{\mathrm N}$——无需任何关于 $\eta_0,\eta_1$ 是否相等的信息。
• 第三步（计数）：$8N_{\mathrm R}+8N_{\mathrm N}=\sum_{c=1}^{16}N(c)=64-N(0)=64$，结合 $N_{\mathrm R}=N_{\mathrm N}$ 得 $N_{\mathrm R}=N_{\mathrm N}=4$。

于是每个非零余数恰出现 4 次：

为什么强调”不依赖 $\eta_0\neq\eta_1$”

：一个常见的写法用伽罗瓦自同构 $\sigma$ 推出 $(N_{\mathrm R}-N_{\mathrm N})(\eta_0-\eta_1)=0$，再除以 $\eta_0-\eta_1$。但那需要先知道 $\eta_0\neq\eta_1$，而最干净的"$\eta_0\neq\eta_1$"理由恰恰来自下面要算的 $\sqrt{17}\neq 0$——那就

循环论证

了。上面的 NQR-交换论证绕开了这个坑：它直接给出 $N_{\mathrm R}=N_{\mathrm N}$，因果不倒置。

3.6 第一个根号 $\sqrt{17}$

$x^2+x-4=0 \Rightarrow \eta_{0,1}=\frac{-1\pm\sqrt{17}}{2}$——$\sqrt{17}$ 第一次出现。— Abel（Manim）

由 (1)(2) 与韦达定理（根与系数关系），$\eta_0,\eta_1$ 是

的两根。判别式 $1^2-4(1)(-4)=1+16=17$，于是

$\sqrt{17}$ 第一次出现。$\eta_0,\eta_1$ 都是实数（复共轭把 $\zeta_{17}^a$ 送到 $\zeta_{17}^{-a}$，而 $-\mathrm{QR}=\mathrm{QR}$、$-\mathrm{NQR}=\mathrm{NQR}$，故两和取共轭不变）。取 $\eta_0=\frac{-1+\sqrt{17}}{2}\approx 1.5616$（较大者），$\eta_1=\frac{-1-\sqrt{17}}{2}\approx -2.5616$。它生成域塔第一层 $K_1=\mathbb{Q}(\sqrt{17})$，$[K_1:\mathbb{Q}]=2$——只用一次开平方即可作出，这正是尺规的本事。

3.7 算例

例 3.1（验和与积）.

数值上 $\eta_0+\eta_1\approx 1.5616+(-2.5616)=-1$ ✓；$\eta_0\eta_1\approx 1.5616\times(-2.5616)=-4.000$ ✓。

例 3.2（$N(c)$ 抽查）.

取 $c=1$：在 $\mathrm{QR}\times\mathrm{NQR}$ 里数 $a+b\equiv 1$ 的对（需 $a\in\mathrm{QR},b\in\mathrm{NQR}$）：候选里 $(2,16)$、$(9,9)$ 都出局（$16,9\notin\mathrm{NQR}$）；

真正合法的恰好 $4$ 对是 $(4,14),(8,10),(13,5),(15,3)$

（程序枚举见下）。每个非零 $c$ 都是 4，$c=0$ 是 0。

# Verify (1),(2) and the count N(c) for eta_0 * eta_1.
QR  = {1, 2, 4, 8, 9, 13, 15, 16}     # = even powers of g=3 = squares mod 17
NQR = set(range(1, 17)) - QR          # = {3,5,6,7,10,11,12,14}
assert QR == {pow(b, 2, 17) for b in range(1, 17)}, "QR = squares mod 17"

from collections import Counter
N = Counter((a + b) % 17 for a in QR for b in NQR)
assert N[0] == 0,                       "c=0 never occurs (-1 is a QR mod 17)"
assert all(N[c] == 4 for c in range(1, 17)), "each nonzero residue exactly 4 times"
assert sum(N.values()) == 64

import cmath, math
z = cmath.exp(2j * math.pi / 17)
eta0 = sum(z**a for a in QR).real
eta1 = sum(z**b for b in NQR).real
assert abs(eta0 + eta1 - (-1)) < 1e-9          # (1)
assert abs(eta0 * eta1 - (-4)) < 1e-9          # (2)
assert abs(eta0 - (-1 + math.sqrt(17)) / 2) < 1e-9
print(f"eta0={eta0:.4f}, eta1={eta1:.4f}; sum=-1, prod=-4; sqrt(17) born  [OK]")

3.8 现代意义

高斯周期不是一次性的技巧。把”按子群陪集给单位根分组求和”一般化，就是现代数论里的高斯和（Gauss sum）与周期多项式，它们是：

• 二次互反律最简洁证明的核心工具（高斯和的平方给出 $\pm p$，正负号即互反律的符号）；
• 分圆域类域论的计算骨架——这些周期生成的中间子域，正对应伽罗瓦群的子群（§4 会用到这条对应）；
• 现代素性检测（如 APR / APR-CL 测试，Adleman–Pomerance–Rumely 1983 + Cohen–Lenstra 实用变体）中分圆周期的直接来源——APR 是素性判定（不做整数分解），其分圆周期渊源来自 Jacobi 和。

一个为画十七边形而做的”分组求和”，长成了二十世纪代数数论的常用语言。

— End of §3.

§4 — 对称的群：Galois 群，与第二、三刀

§3 切了”第一刀”——把 16 个根分成 $\eta_0,\eta_1$ 两半，逼出 $\sqrt{17}$。但那一刀靠的是一个还没说清的东西：为什么”把指数乘以某个 $g$ 的幂”能把二次剩余整齐地映到二次剩余、非剩余映到非剩余?这种”换根而不乱套”的操作,正是本节的主角——Galois 群。它是高斯整套切割法背后的隐形骨架。这一节从零讲起(不假设你听过”群论""伽罗瓦”这些词):先用大白话说清”对称”到底指什么,再形式化成群,然后用它干净利落地切下第二刀($\eta\to\theta$,逼出 $\sqrt{34-2\sqrt{17}}$),并交代清楚整座”四层二次扩张塔”为什么每层恰好是 2 次。

本节符号补充