Resumen

  • Duplicar alimentación y transporte no garantiza continuidad si todos los sistemas críticos terminan confiando en la misma autoridad temporal, antena o ruta de distribución.
  • La compra debe fijar un presupuesto de error por servicio, referencias independientes, holdover medido, distribución autenticada, comparación continua y una decisión de restauración ensayada.

La caída que no apaga las luces

A las 02:17 el edificio funciona con generadores, dos operadores de transporte responden y los servidores superan sus comprobaciones. Sin embargo, la fuente horaria ha dejado de ser fiable. Puede haber perdido recepción GNSS, sufrido interferencia, aceptado un reloj ascendente erróneo o entrado en holdover sin mostrar al dueño del servicio cuánto está derivando.

No todo falla de inmediato. Una red móvil puede salir de su margen de fase. Una medición de la red eléctrica puede resultar engañosa. La vigencia de un token, la validación de un certificado o un bloqueo distribuido puede comportarse de forma inesperada. Los registros de dos sedes pueden ordenar de manera distinta el mismo incidente. La organización no solo pierde “la hora correcta”; pierde una base compartida de coordinación y de prueba.

La guía británica de posicionamiento, navegación y tiempo, actualizada en febrero de 2026, sitúa PNT debajo de telecomunicaciones, informática, emergencias y finanzas. El Registro Nacional de Riesgos de 2025 incluye la pérdida de esos servicios. Es una advertencia sistémica, no una acusación contra un operador concreto.

Cuatro propiedades que no son intercambiables

La precisión mide la proximidad a la referencia requerida. La disponibilidad indica si el servicio está presente. La integridad permite detectar una señal creíble pero falsa. La independencia pregunta si dos fuentes nominales comparten constelación, entorno de antena, fibra, energía, software o autoridad operativa.

La autenticación solo resuelve una parte. El NTP autenticado del NIST ofrece garantía criptográfica sobre el origen de las respuestas. Pero una respuesta genuina puede llegar tarde, recorrer un camino común averiado o carecer de la precisión que exige una radio, un sistema eléctrico o un mercado. Del mismo modo, un oscilador excelente puede mantener la hora local sin una referencia independiente que revele su deriva.

Por eso se compra una arquitectura, no una marca. El programa PNT del NIST pide identificar activos dependientes, detectar perturbación o manipulación y gestionar el riesgo. Su Nota Técnica 2187 describe distribución de UTC independiente de GPS y adopta como supuesto de referencia más o menos un microsegundo. No es un límite universal; demuestra que la exigencia debe ligarse al servicio.

El holdover es inventario que caduca

Cuando desaparece la referencia externa, el reloj consume una reserva finita de estabilidad. Temperatura, envejecimiento, vibración, mantenimiento y calibración determinan la velocidad del error. “Tenemos un reloj atómico” es tan incompleto como “tenemos un generador”. Importan la condición inicial certificada, el límite de la aplicación, el peor ambiente, el umbral de alarma y el tiempo hasta intervenir.

La UIT lo muestra con los conceptos G.8272.1 y G.8272.2. Bajo las condiciones de la norma, un ePRTC puede permanecer a menos de 100 nanosegundos de UTC hasta 40 días tras perder GNSS. El cnPRTC añade relojes distribuidos que cooperan y se comparan continuamente. No es una garantía de 40 días para cualquier instalación; es evidencia de que la resiliencia nace de rendimiento especificado y comparación, no de instalar otro receptor en el mismo tejado.

La inversión nacional amplía la oferta

En noviembre de 2025 el Reino Unido anunció 155 millones de libras para resiliencia PNT. El National Timing Centre del NPL y su Resilient Enhanced Time Scale Infrastructure buscan reforzar tiempo terrestre, trazable y geográficamente distribuido.

Estas iniciativas pueden reducir la dependencia de un único canal satelital. No eliminan la obligación local. Desde el laboratorio hasta la aplicación siguen existiendo receptores, fibras, conmutadores, relojes, software, credenciales, contratos y personas. Una referencia nacional excelente puede llegar por una cadena común frágil.

Contratar la forma del fallo

La aceptación debe empezar por las consecuencias. ¿Qué función falla a 100 nanosegundos, un microsegundo, un milisegundo o un segundo? ¿Cuánto tiempo permanece cada reloj dentro del límite? ¿Qué medición independiente lo demuestra? ¿Qué alarma llega antes de agotar el presupuesto?

El registro operativo debe enumerar referencias, rutas físicas, autoridades de confianza y dispositivos de holdover; mostrar residuales de comparación y no solo una luz verde; conservar la incertidumbre en los logs; y nombrar a quien puede aislar una fuente sospechosa. El reingreso también requiere reglas. Un salto brusco hacia una referencia recuperada puede dañar aplicaciones. Ajuste gradual, cuarentena, conciliación de eventos y recuperación de trazabilidad son parte del restablecimiento.

La redundancia cuenta equipos. La resiliencia demuestra que el sistema reconoce la hora mala, se mantiene dentro de su límite y recupera un orden fiable sin dejar que un dueño oculto decida por defecto.

Fuentes principales