零點零一分，十一顆衛星的路由圖示全部變灰。
值班員先以為大屏卡了。他重新整理一次，星間鏈路仍是一片斷線；切到地面站原始接收，衛星載波還在，健康遙測也能從獨立測控通道收到。衛星沒有關機，沒有掉出軌道，只是不再承認軌道網路遞過去的“工作證”。
葉驍衝進控制廳時，第一顆驗證星剛經過海南站。
“剛才不是正常嗎？”
安全工程師唐梨把兩套記錄並排。二十三點五十九分的驗證發生在隔離測試網，測試站同時信任舊根證書和新根證書；零點整，生產網按計劃更新信任清單，舊根被移除，新清單卻漏掉一張中間證書。衛星帶來的身份證沒壞，地面站少了一頁能把身份證一路核到簽發機構的證明。
那張中間證書不是被人手動忘掉的。配置生成指令碼按“生產必需”自動裁剪信任包，為了減小上傳和維護範圍，只保留當前生產記錄中直接引用的鏈。驗證星的新證書尚未在生產庫正式生效，指令碼便認為那張中間證明“暫無引用”，清理了出去。
隔離測試網為什麼沒出錯，也有一條舊賬。半年以前，為相容一顆早期試驗星，測試站臨時保留過完整證書鏈。任務結束後沒人刪除，文件只寫“相容配置”，沒有寫它會讓測試環境比生產環境多信一層。大家以為測試更接近真實，實際它悄悄多了一張護身符。
換證原計劃提前兩週。資料越權事件發生後，所有跨域證書與訪問更新暫停複核；恢復後，申請又在積壓佇列裡等了幾天。時間被一點點吃掉，最後只剩到期前一夜。沒有一個人決定“拖到最後”，每個環節卻都能解釋自己為什麼晚半天。
唐梨把這三條寫進臨時記錄。運營經理看完，沒再把事故叫作“漏傳一個檔案”。若只補上檔案，下一次自動裁剪、環境漂移和臨期更新仍會在別處重新碰頭。
十顆尚未切換的新證書當然無法建立會話。已經切換的一號星也因為證書鏈不完整，被生產網拒之門外。
“把驗證關掉，先接回來。”運營經理說。
唐梨抬頭：“關掉以後，任何會發同樣訊息的人都能冒充衛星。”
“只關十分鐘。”
“十分鐘也能把假路由和假配置送進來。”
海島終端、船舶短報和十二星影像佇列正在積壓。客戶電話一個接一個打進來，運營經理額頭全是汗：“那你說怎麼辦？”
“走恢復鏈。獨立測控確認節點身份，傳送離線簽名的完整信任包，一顆一顆恢復。先不能把門卸下來。”
恢復鏈存在，是為主網路證書失效準備的。它頻寬低、視窗有限，每次操作要經過兩人授權並核對衛星狀態，速度遠不如網路批次推送。過去演練只做過單顆，沒有人真正用它恢復十一顆。
第一顆可見視窗還剩六分鐘。
唐梨生成包含完整中間證書的新包，離線簽名機需要兩把實體鑰匙同時啟用。一把在她手裡，另一把由當夜不值班的授權人保管。電話打過去，對方正在城西醫院陪母親急診，鑰匙鎖在公司保險櫃，備用授權人住得更遠。
運營經理差點罵出聲：“緊急鑰匙為什麼不在控制廳？”
“因為放在控制廳，網路被攻破時別人也能一起拿走。”
安全設計擋住了錯誤，也擋住了最快的恢復。不能說哪一邊天然正確，只能按預案走。
備用授權人二十七分鐘後趕到，穿著拖鞋，外套裡面還是睡衣。第一顆星早已離開海南站範圍，要等下一座地面站或下一圈。
葉驍調動合作站。北方站天氣良好，十六分鐘後能看見三號星；海外合作站可以更早接觸七號，卻需要按資料和操作協議確認本次緊急指令。誰也不能因為著急，直接把恢復金鑰發給不在授權範圍的站點。
凌晨一點十二分，三號星收到恢復包。
節點先驗證離線簽名，將信任清單寫入備用區，自檢，再切換。主網路會話重新建立時，控制廳裡響起零星掌聲。
三號星恢復了，其他十顆仍然灰著。
路由系統自動把積壓訊息儘量交給三號和未參加換證的第十二顆試驗星。兩顆衛星無法承擔原網路容量，健康與緊急短報優先，普通影像和語音暫停。海島終端頁面從“正在傳送”改成“網路故障，已排隊”，同時提示使用既有應急鏈路。
。號訊沒又機手，列佇先優低在排音語星衛。息訊發裡家給想他，產生要子妻的人工養名一是的急正真，壞沒也機冰製，常正位箱水上島。醒警告端終被晨凌蘭秀林
。用可然仍己自裝假能不更時生發故事，繩命救的一唯是不路網辰星。通接場當至，宜便不費話電。上岸回撥人絡聯急應有既按，話電星衛的上島用去他帶。包急置裝標音語把有沒蘭秀林
。錢算不算時小個幾那網停問只，訴投有沒人工養。安平報的到遲變”了生快“從經已，達送才午中到音語的隊排本原段那。上島回傳話電星衛過先息訊的生出子孩，後亮天
