O relógio da câmera: por que a hora da gravação é parte da prova

Engenharia Por Juliano Baladão · 21 de setembro de 2026 · 8 min de leitura

Por que a hora da gravação é uma afirmação separada da imagem?

Porque integridade e datação são garantias de natureza diferente, produzidas por mecanismos diferentes. Uma impressão digital criptográfica do arquivo prova que aquele conjunto de bytes não mudou desde o momento do cálculo. Ela não prova quando a imagem foi feita, nem que a imagem retrata a realidade — é o limite que já tratamos na cadeia de integridade da evidência de vídeo. O instante escrito no arquivo é uma declaração do aparelho que gravou, feita com o relógio que ele tinha. Sem fonte de tempo auditável, esse instante é opinião do aparelho.

Na prática, o horário é onde o caso desmorona. A discussão de uma infração interna raramente começa pela imagem; começa pela linha do tempo. A câmera do portão diz 19h42, o controle de acesso diz 19h39, o celular de quem reclama diz 19h41. Três relógios, três verdades, e quem decide não tem critério para escolher. O registro volta a ser palavra contra palavra — exatamente o que ele deveria encerrar.

Vale separar dois relógios que se confundem. Medir velocidade por vídeo é medir intervalo: dois instantes e uma distância, como descrevemos nos limites físicos da medição. Ali o que importa é a cadência interna entre quadros, que pode estar correta num equipamento cuja hora do dia está errada há semanas. Duração e data são medidas independentes.

Quem define a hora certa no Brasil?

O Observatório Nacional (ON), unidade de pesquisa do Ministério da Ciência, Tecnologia e Inovação. A cadeia normativa começa na Lei nº 2.784, de 18 de junho de 1913, que estabelece o uso da Hora Legal no Brasil, passa pelo Decreto nº 10.546, de 5 de novembro de 1913, e pelo Decreto nº 4.264, de 10 de junho de 2002, e chega à Portaria MCT nº 293, de 11 de maio de 2007, que atribui a execução dos serviços essenciais da HLB à Divisão Serviço da Hora (DISHO) do ON. Os fusos vieram depois: a Lei nº 11.662/2008 fixou três e a Lei nº 12.876/2013 fixou quatro.

O ON gera a HLB a partir da sua própria materialização do UTC, o UTC(ONRJ), que contribui para a geração do UTC; a diferença entre os dois fica em dezenas de nanossegundos (NTP.br, FAQ). A referência nacional, portanto, não é o problema em nenhuma ordem de grandeza — o problema está no último trecho, entre a referência e o aparelho.

Esse trecho tem um caminho público: o NTP.br, iniciativa do NIC.br com o Observatório Nacional, cujos servidores são rastreáveis e auditáveis à HLB. A referência primária deles são os relógios atômicos do ON, hospedados em datacenter no Brasil — e não satélites. A distinção importa para quem trata de evidência: a maioria dos servidores NTP públicos depende de GPS ou de outro sistema de navegação global, e sinal de rádio sofre interferência e pode ser forjado (NTP.br, FAQ).

Quanto erro cada arranjo de relógio produz

As três primeiras linhas estão em ordens de grandeza diferentes, e é isso que decide se o registro serve: para cruzar vídeo com controle de acesso, ou duas câmeras do mesmo evento, uma dezena de segundos de desvio já desalinha as duas histórias. Repare no que o número do RFC é e no que ele não é: é o pior caso admitido para um relógio que já foi acertado e perdeu a fonte. Um relógio nunca disciplinado não tem nem essa garantia.

Daí a consequência de projeto mais contraintuitiva: sincronismo não é um estado, é um processo. Duas câmeras do mesmo modelo, instaladas no mesmo dia, derivam de formas diferentes se a fonte cair — cada oscilador tem o seu erro de frequência. Não há “acertou uma vez, está acertado”.

As três falhas que fazem a hora da gravação mentir

Fuso e horário de verão. O horário de verão foi encerrado no território nacional pelo Decreto nº 9.772, de 25 de abril de 2019. O NTP sempre trabalha na escala UTC: não interfere em fuso nem em horário de verão, e o tratamento da hora local é função do sistema operacional do aparelho (NTP.br, FAQ). Um gravador com tabela de fuso antiga aplica em outubro uma hora que a lei não prevê mais. O erro é de uma hora, constante, e a imagem continua perfeita — nada no vídeo denuncia.

Relógio livre. O NTP usa a porta UDP 123 e o NTS, a porta TCP 4460 (NTP.br, FAQ). Uma rede de CFTV segmentada sem essas liberações — decisão de segurança razoável, tomada por quem não estava pensando em tempo — deixa o parque inteiro sem fonte. E o modo de falha não é a câmera parar de gravar: é ela continuar gravando com a hora derivando, sem avisar ninguém.

Fonte única, ou fonte não autenticada. O NTP.br recomenda no mínimo três servidores com referências primárias diferentes, idealmente entre quatro e seis; com dois ou menos os algoritmos ficam sem parâmetro de comparação e, se um servidor entregar hora errada, o cliente segue o errado (NTP.br, FAQ). O NTP puro também não autentica nada: quem responde pode ser qualquer um. A extensão NTS (Network Time Security, RFC 8915, de setembro de 2020) leva o TLS — o mesmo mecanismo do HTTPS — para dentro do protocolo, e o NTP.br a oferece nos seus servidores stratum 1.

Como conferir se a hora da sua gravação se sustenta?

Sem abrir equipamento, com três perguntas e uma medição. Primeira pergunta: qual é a fonte de tempo declarada, e ela é rastreável à HLB? “Sincroniza pela internet” não é resposta — a resposta é o nome dos servidores, quantos são, e se há NTS onde a plataforma permite. Segunda: o instante é gravado com o fuso, ou é hora local solta? Terceira: o sistema registra o desvio que mediu, ou apenas afirma estar sincronizado? Um sistema que não mede o próprio erro não sabe o próprio erro, e portanto não pode informá-lo a quem vai julgar o registro.

A medição não precisa de instrumento: pegue um evento visível em dois equipamentos independentes — a câmera do portão e o controle de acesso — e compare os dois instantes gravados. A diferença é o desalinhamento atual. Repita trinta dias depois: o que cresceu no intervalo é deriva, e deriva que cresce significa que não existe fonte de tempo funcionando, só um acerto antigo. É o critério de aceitação honesto, porque mede o sistema operando, e não como foi entregue.

Há um grau acima, para quem precisa comprovar formalmente: o Observatório Nacional, pela DISHO, presta serviço de certificado de sincronismo à HLB — a instituição opera um equipamento que armazena o valor do ajuste, envia esse valor ao ON e recebe um certificado mensal, com o qual comprova, para fins legais, estar com a Hora Legal Brasileira (MCTI, carta de serviços). A maioria das operações de CFTV não chega a esse grau e não precisa. Precisa não ficar no grau mais baixo, que é o relógio de fábrica nunca mais tocado.

O que uma hora correta ainda não prova

Sincronismo torna confiável a etiqueta, não a cena. Hora certa não prova que a imagem retrata o que se diz, e impressão digital criptográfica não prova quando a imagem foi feita. Juntas, as duas dizem uma coisa modesta e verificável: este arquivo não mudou desde o cálculo, e o instante nele gravado vem de uma fonte auditável, com erro de ordem conhecida. É menos do que “a verdade” e muito mais do que um campo de texto escrito pelo próprio aparelho.

E sincronismo na instalação não prova sincronismo no evento. O que prova é registro contínuo do desvio, guardado com a mesma seriedade com que se guarda a imagem. Por isso a pergunta certa para o fornecedor não é “as câmeras estão com a hora certa?”, que se responde olhando a tela hoje. É: “como você sabe que elas estavam com a hora certa no dia 14, às 19h42?”