聊天记录显示晚上九点，导出文件的“创建时间”却是第二天上午。这能说明记录被改过吗？如果提取报告写着另一时间，又应当把哪个数字放进行为时间线？

我是曹朝军，执业于上海靖霖（武汉）律师事务所，曾发表《大数据背景下刑辩律师实务技能提升的新路径》。讨论电子数据时，本文先把时间对应的事件分清：消息何时形成或发送，与证据何时被提取、文件何时被导出，并不是同一件事。

一、一个“创建时间”，可能说的是另一件事

以下是假设情形：某条消息记录显示前一晚九点发送，次日取证时将相关内容导出为文件。导出文件在目标设备上的创建时间，可能对应导出或复制活动，而不是原消息第一次形成的时间。

因此，文件较晚生成，与其中载有较早消息，并不必然矛盾。需要先说明正在读取的是消息字段、原文件属性，还是后来导出文件的属性。

NIST的数字取证指南区分文件创建、修改和访问等时间，并提示复制可能影响所见的文件创建时间。这里提供的是理解技术材料的背景，不是说所有文件系统和手机应用都以同一种方式记录时间。

二、发送、接收与提取，也不能互相替代

如果争议是某人在何时发出一条消息，应先了解相应字段代表什么。有的材料呈现发送时间，有的呈现接收、同步或展示的时间；提取笔录上的时间，则可能主要说明取证活动发生于何时。

例如，假设材料只能证明某日已经提取到一段内容，这并不单独证明该内容恰好在提取当日生成。要把它放到更早的事件中，仍需要相应的记录及解释。

反过来，看到一个较早时间，也不能只按字段名称就认定那是现实行为发生的准确时刻。程序记录的是哪种事件，时间由设备还是其他系统产生，需要按实际材料说明，不能替未知应用预设答案。

三、先统一口径，再排列先后

同一时刻可能采用不同的时区显示。假设一条记录明确标为协调世界时十三点，另一条明确按北京时间显示为二十一点，这两个数字可以对应同一时刻，并非天然相差八小时的两次行为。

但不能因为刚好差八小时，就认定问题一定来自时区。设备时钟是否准确、工具如何展示字段、有关记录是否已经转换，都可能影响解释。Microsoft的官方文件时间说明也表明，不同文件系统对时间的保存方式并不完全一致，不能把一种系统的做法当作所有材料的规则。

排列事件时，比较稳妥的是保留原始显示及其口径，再说明如何转换；如果有关设置无法确认，就保留这个不确定性，而不是为了让顺序整齐而擅自移动某个时间。

四、时间对上以后，还要对应具体行为

即使两份材料已经采用相同时间口径，也仍需分清它们各自证明什么。一条消息的时间，可以帮助讨论通信顺序；实际付款记录可以帮助判断款项何时发生；二者相近，并不自动说明发消息的人实施了付款。

电子数据规范要求说明来源、提取过程并审查真实性。对时间问题而言，这些要求的意义，在于让有关字段如何形成、如何被展示能够得到解释，而不是只从截图里截取一个数字。

我在本篇想说明的是，时间线应当连接被证据支持的事件，而不是简单排列所有看见的日期。先辨认字段，再统一口径，最后说明它与人的行为有什么关系，才能既保留电子记录的价值，也避免让一个时间数字承担超出其含义的证明。

本文中的消息、文件和时区情境均为假设，不涉及本人某个案件的具体取证或纠错经过。