录像机屏幕上那行数字，不等于案发的那一刻。真正站得住的时间，往往是从画面里"推"出来的。
案子争到细处，常常就争那几分钟。
▎先看法院是怎么写的
《中国法院2024年度案例》里有一个案子，判决书确认作案时间时是这么写的：
根据监控视频的内容显示，案发时间段前后除出现被告人进、出院子及三次用编织袋搬运物品外，仅有被害人于18时14分左右到铁皮棚院子收棉被，以及被害人家的租客于21时10分左右骑电动车回租住处。
注意它拿来定位的锚：收棉被、租客回家。都是画面里看得见、又能和别的证据对上的事件，而不是屏幕上那行时间。
这不是个例。实务里稍微认真一点的判决，确认监控时间都会往画面内容上落，而不是直接抄设备时钟。
▎时间戳为什么天生不准
设备断电重启、换硬盘、主板电池没电，系统时间可能跳回出厂值； 多台设备各走各的钟，有的联网校时，有的压根没配； 视频转码、剪辑、导出，时间属性会被改写； 也存在人为调整的可能——这正是辩护方最常打的一点。
▎法律上怎么看这件事
《刑事审判参考》总第125辑在讲电子数据审查时，把真实性与完整性放在一起说：
电子数据又有易变性与稳定性并存的特征：一方面只需要敲击键盘，即可对其进行增加、删除、修改；另一方面，绝大多数情况下对于电子数据的增加、删除、修改……
同一部分还写了完整的审查方法：
《规定》第二十三条……（1）对于扣押、封存电子数据原始存储介质的，应当审查原始存储介质的扣押、封存状态；（2）对收集、提取电子数据的相关活动进行录像的，应当审查电子数据的收集、提取过程……
翻成大白话：时间戳写着 04:01，不等于 04:01 真的发生。要看这个时间是怎么来的、中间有没有留下可核的痕迹。
▎想坐实时间，实务上一般抓这几样
原始存储介质 + 封存状态：硬盘、录像机本体在不在，封条完不完整； 提取过程留痕：录像、笔录、参与人签字； 设备校时记录：有没有 NTP 同步日志、设备系统日志里的时间变更记录； 画面内参照物：手机锁屏、电视画面、店铺收银小票、进出人员； 多源交叉：门禁、支付记录、通话基站，几条线对上同一个时间段； 必要时侦查实验或鉴定：用可复现的方式验证时间差。
▎辩护方通常会问三句
这台录像机的时间是谁设的、什么时候设的？ 中间有没有断电、换盘、重启的记录？ 手里是原始文件，还是只剩一个导出的 MP4？
这三问答不上来，时间戳的说服力就要打折。
▎落点
时间戳只是线索，还不能当结论。真正能被采信的，是"原始载体 + 提取留痕 + 画面内可核事件"这条链。办案的人把这条链补齐，辩的人把这条链拆开——争的始终是那行数字背后，有没有人认真对待过它。