La línea que se descuadra

Una línea de tiempo es tan buena como el reloj de la peor de sus fuentes. Hay relojes en UTC, relojes en hora local y relojes simplemente mal puestos, y la diferencia entre unos y otros no está en el evento: está en la ficha de la fuente. Esa ficha es lo primero que se lee.

Para comparar eventos de fuentes distintas se pasan todos a una misma base, normalmente UTC. Una marca local se convierte sumando el desfase del huso (la planta está en UTC-5, sin cambio de hora), y si además el reloj iba corrido, primero se corrige ese error. El orden de las operaciones importa: se corrige el reloj y después se cambia de huso.

Ordenar por la marca tal como viene produce una secuencia que parece una historia y no lo es: mezcla horas de bases distintas y el resultado depende de la hora del día en que cada fuente escribió. Es el error más barato de cometer y el más caro de arrastrar hasta el informe.

Un archivo guarda dos conjuntos de marcas: las que enseña el explorador, que son fáciles de cambiar, y las que lleva el sistema de archivos por dentro, que cuesta más. Cuando una dice años atrás en números redondos y la otra dice esta mañana, la primera no es una fecha: es un disfraz.

La salida de datos y el latido de una conexión de control se parecen en una cosa y se diferencian en otra: el latido repite, pequeño y regular; la salida se lleva mucho en pocas conexiones. Contar conexiones no basta, hay que mirar bytes. Con las horas ya en UTC, el cortafuegos dice a quién fue cada cosa.