上周帮邻居老张调路由器，他一脸紧张：‘听说要换密钥，得把整个监控系统关掉重配？那家里没人的时候岂不是黑屏两小时？’
密钥轮换 ≠ 拔网线重启
很多人一听‘轮换密钥’就联想到服务器维护、服务中断、弹窗提示‘系统升级中’——其实大可不必。现代主流监控平台（比如海康iVMS、大华DSS、还有用Zabbix或Prometheus自建的）都支持热更新密钥：新密钥加载生效的同时，旧密钥还能继续解密正在传输的视频流，直到它自然过期。
就像你换微信登录设备——新手机登上了，老手机不会立刻被踢下线，而是等下次心跳失败才自动退出。密钥轮换也是这个理儿。
哪些情况真要停？一看就知道
真要停机，通常只出现在这几种‘老古董’场景里：
- 用的是2015年前的老款NVR，固件不支持TLS 1.2以上，密钥硬编码在配置文件里，改完必须 reboot；
- 自己写的Python脚本拉RTSP流，密钥写死在代码里，每次改都得
python main.py重跑； - 监控平台和摄像头之间用的是老旧的Digest认证，没做会话延续机制，新密钥一上，旧连接立马断。
这些情况现在越来越少。新买的IPC基本都支持国密SM4动态协商，或者通过ONVIF的SetUser接口在线更新凭据。
实操小技巧：三步平滑轮换
以常见海康设备为例（其他品牌逻辑类似）：
- 进Web界面 → 系统配置 → 安全管理 → 密钥管理，点‘生成新密钥对’；
- 勾选‘启用双密钥模式’（关键！别漏这步）；
- 等10分钟，确认所有摄像头状态灯常绿、录像正常，再进后台点‘停用旧密钥’。
整个过程，监控画面没闪一下，手机App照样推流、回放、抓图。
要是你用的是自建Grafana+Telegraf监控网络设备，密钥存在Vault里，只要更新Vault中的kv路径，Telegraf会自动轮询拉取新token，连reload都不用。
一句话记牢
只要你的设备/平台支持‘双密钥共存’或‘凭据热加载’，密钥轮换就跟换WiFi密码一样——输完保存，顺手点一下‘同步到设备’，就完事了。