Leer la cronología

Cada fuente escribe la hora a su manera: el boletín de un proveedor suele venir en UTC y los equipos de la fábrica, en la hora local. Si se mezclan sin convertir, un evento que ocurrió después parece haber ocurrido antes, y la cronología cuenta una historia falsa. Antes de buscar nada se decide una zona de referencia y se convierte todo a ella, anotando cuál era la original.

Abre zonas y eventos. El boletín del proveedor está en UTC y la fábrica trabaja en UTC-5, cinco horas por detrás. Convierte la hora de publicación de la versión 5.3.1 a la hora local de la fábrica; así se compara con lo que pasó dentro.

Una actualización automática no llega a todos los equipos a la vez. El orden en que aparecen es información: el primero es el que sirve de muestra para ver qué cambió, porque en él se puede leer el antes y el después con más detalle. Busca en eventos las instalaciones de la versión 5.3.1.

Un intervalo corto y repetido en varios equipos es un patrón; uno largo y distinto en cada uno suele ser coincidencia. Toma el equipo de la tarea anterior y mide cuánto pasa desde su instalación hasta la primera consulta DNS que hace a un nombre que la fábrica no veía antes.

La cronología muestra que, en tres equipos, una consulta a un nombre nuevo siguió a la instalación en pocos minutos. Es un patrón que merece explicación. No muestra por qué se hizo la consulta, qué se envió, ni si el proveedor la había planeado: eso exige otras fuentes y, al final, la respuesta del proveedor.