CN111726332A - 用于在两个网络之间传输数据的传输设备和方法 - Google Patents

Abstract

本发明涉及用于在具有高的安全要求的第一网络（NW1）和具有低的安全要求的第二网络（NW2）之间传输数据的计算机实现的方法和传输设备（500），其中在第一网络和第二网络之间构建（S1）第一会话，第一数据包由第一网络（NW1）中的发送单元（101）经由第一单向通信单元（301）传输（S2）给第二网络（NW2）中的接收单元（202），并且构建第二会话，并且第二数据包由第二网络（NW2）中的发送单元（201）经由第二单向通信单元（400）传输（S4）给验证单元（302），第二数据包根据预设的规则在验证单元（302）中验证（S5），在第二数据包的验证为肯定时，构建第三会话，并且第二数据包由验证单元（302）传输给第一网络（NW1）中的接收单元（102）。

Description

用于在两个网络之间传输数据的传输设备和方法

技术领域

本发明涉及一种用于在具有高的安全要求的第一网络和具有低的安全要求的第二网络之间传输数据的计算机实现的方法和传输设备，其中相应的通信尤其沿一个方向地实现。

背景技术

为了在安全关键的网络和开放网络、诸如工业控制网络（英语为：IndustrialControl Network或Operational Network）和典型的IT网络之间进行安全的通信，例如可以使用单向通信单元，诸如数据二极管，以便能够实现单向数据传输。具有反馈通道的数据二极管、也称作为双向网络防护或安全网关能够实现在两个具有不同的安全级的信息区域之间的安全的数据传递。网络防护通常是由硬件和软件构成的组合并且能够实现比防火墙更多的功能。

双向网络防护通常构造成，分别借助于数据二极管实现两个彼此分开的单向数据流，其中数据流沿相反方向流动。这允许沿两个方向的数据交换，其中分别确保单向功能。例如，借助双向网络防护可以将数据从具有高的安全要求的网络传送到具有低的安全要求的开放网络中或者从具有低的安全要求的网络传送给具有高的安全要求的网络。

在具有不同的安全要求的网络之间的数据传递应可靠地、即正确地、完整地并且满足安全要求地执行的情况下，通常需要附加的传递确认，所述传递确认在网络之间交换。“可靠的”或“可信赖的”数据传递尤其可以理解成完整的且无错误的数据传递。

在从具有低的安全要求的网络到具有高的安全要求的网络的数据传递中，通常需要附加的检查，以便确保具有高的安全要求的网络的安全性和/或完好性和/或网络可用性。

发明内容

因此，本发明的目的是，针对在具有不同的安全要求的两个网络之间的数据交换，从一个网络到另一网络中的数据传输在具有以及不具有对数据传输的确认的情况下都能够分别灵活地实现单向的数据传递。

所述目的通过在独立权利要求中描述的措施来实现。在从属权利要求中，示出本发明的有利的改进方案。

根据第一方面，本发明涉及一种用于在具有高的安全要求的第一网络和具有低的安全要求的第二网络之间传输数据的计算机实现的方法，其中

a）为从第一网络到第二网络中的数据传输，在第一网络和第二网络之间构建第一会话，第一数据包从第一网络中的发送单元经由第一单向通信单元传输给第二网络中的接收单元，所述第一单向通信单元布置在第一网络和第二网络之间，

和

b）为从第二网络到第一网络中的数据传输，构建第二会话，并且第二数据包从第二网络中的发送单元经由第二单向通信单元传输给验证单元，所述验证单元布置在第一网络和第二网络之间，

- 根据预设的规则在验证单元中验证第二数据包，和

- 在第二数据包的验证为肯定时，构建第三会话，并且第二数据包从验证单元传输给第一网络中的接收单元。

“计算机实现”在本发明的上下文中可以理解成方法的一种实现，其中尤其处理器执行至少一个方法步骤。

根据第二方面，本发明涉及一种用于在具有高的安全要求的第一网络和具有低的安全要求的第二网络之间传输数据的传输设备，其包括：

- 第一接收单元和第一发送单元，所述第一接收单元和第一发送单元分别布置在第一网络中，

- 第二接收单元和第二发送单元，所述第二接收单元和第二发送单元分别布置在第二网络中，

- 第一单向通信单元，所述第一单向通信单元布置在第一和第二网络之间并且设计成，在从第一发送单元到第二接收单元的数据传输中，传输数据包，

- 第二单向通信单元，所述第二单向通信单元布置在第二网络和第一网络之间，用于从第二网络到第一网络的数据传输，

和

- 验证单元，所述验证单元布置在第二网络和第一网络之间并且设计成，在从第二发送单元至第一接收单元的数据传输中，根据预设的规则来验证数据包。

本发明的优点是，提供灵活的传输设备和传输协议，所述传输设备和传输协议能够在确认以及不确认数据传输的完整性或执行的情况下都实现从具有高的安全要求的网络到具有低的安全要求的网络中的数据传输和相反的安全的数据传输。尤其可以满足如下要求：保护第一网络免受出自第二网络的不期望的数据传递。

尤其在传输时可以为每会话（英语为：Session）实现检查，该会话在下文中也称作为“对话”，使得传递更少的控制数据包。这样，可以减少经常费用。本发明的另一优点是，限定协议，所述协议可以用于单向的和双向的数据传输。

验证单元能够实现，验证从第二网络到第一网络中的数据传递，从而对其进行控制。从第一网络到第二网络中的数据传输经由单向数据连接并且在无验证的情况下执行。

在从第二网络到第一网络的数据传递的验证为否定时，尤其仅一个数据包、例如控制数据包可以由验证单元创建，并且向回传输给第二网络。借此，可以将关于传输错误或数据的篡改的信息传送给初始发送方。

第一单向通信单元能够实现单向数据传输。第一单向通信单元例如可以设计成数据二极管或设计成窃听装置，所述窃听装置仅被动地窃听数据传递并且转发所窃听的数据。

从第一网络到第二网络中的和从第二网络到第一网络中的数据传输分别单向地构造。

可以在每会话中传输至少一个数据包或多个数据包。

在计算机实现的方法的一个有利的实施方式中，在第一网络中的接收单元和发送单元之间和/或在第二网络中的接收单元和发送单元之间可以传输至少一个数据包。

尤其可以在相应的发送和接收单元之间传输确认消息。这尤其能够实现反馈信道，而不妨碍在网络之间的各个传输路径的无反作用性。例如，可以将对从第一网络发送到第二网络的数据包的反馈经由验证单元向回传送给第一网络。数据传输分别单向地经由单向通信单元进行。

在计算机实现的方法的一个有利的实施方式中，第一或第二数据包可以设计成有效数据包或设计成控制数据包。

尤其地，在每会话中可以传输至少一个控制数据包和至少一个有效数据包。有效数据包包括有效数据，而控制数据包例如包括用于执行接收确认和/或所传递的有效数据的完整性检查的信息。此外，控制数据包可以推动会话构建。

在计算机实现的方法的一个有利的实施方式中，如果第二数据包在验证单元中的验证得出否定结果，那么控制数据包可以由验证单元签发并且控制数据包经由第一网络传输给第二网络。

以所述方式可以简单地中断从第二网络到第一网络中的数据传输。第二数据包尤其可以是控制或有效数据包。由验证单元签发的控制数据包例如可以包括关于验证的信息，诸如检查结果。

在计算机实现的方法的一个有利的实施方式中，可以给会话的有效数据包分配明确的会话标记。

有效数据包的结构或数据结构包括有效数据和会话标记。该结构此外尤其可以包括数据包辨识标记、数据包的校验和、类型信息和/或应用辨识码。

在计算机实现的方法的一个有利的实施方式中，可以给控制数据包分配会话标记、数据包辨识标记和发送方和/或接收方信息。

控制数据包的结构此外尤其可以包括控制数据包的校验和、分配给控制数据包的数据包辨识标记、类型信息、至少一个标志（英语为Flag）和/或关于相应的会话的数据传输的大小的信息。

在计算机实现的方法的一个有利的实施方式中，在数据传输时在传输有效数据包之前可以传输控制数据包。

在第一和第二网络之间的数据传输尤其可以在确认正确地执行的数据传输的情况下执行，其中在每会话中传送至少一个控制数据包。控制数据包尤其可以包括用于构建或结束会话的信息。可以在每会话中传送多于一个的有效数据包。具有确认的传输尤其具有如下优点，可以确保可靠的传输。

在计算机实现的方法的一个有利的实施方式中，在接受控制数据包的情况下，可以传输有效数据包，并且在不接受控制数据包的情况下，可以中断数据传输并且仅将另一控制数据包向回传输。

控制数据包尤其可以包括用于构建会话的标志。在通过接收方接受控制数据包的情况下，可以构建会话并且传输至少一个有效数据包。在不接受控制数据包的情况下，可以将另一控制数据包向回传送给相应的发送方。对是否接受数据包的检查尤其可以在网络的接收单元中执行。

在计算机实现的方法的一个有利的实施方式中，在从第一网络到第二网络的数据传输中，

- 可以将第一控制数据包从第一网络传输到第二网络中，

- 可以在第二网络中检查第一控制数据包可否接受，

- 并且如果接受第一控制数据包，那么第二控制数据包可以从第二网络传输给验证单元，在那里被验证并且在验证为肯定时传输给第一网络，并且至少一个有效数据包可以从第一网络传输给第二网络，并且第三控制数据包可以从第一网络传输给第二网络。

第三控制数据包尤其在发送会话的全部有效数据包之后传送。如果不接受第一控制数据包，那么可以中断数据传输，并且仅将例如包括关于传输错误或数据的篡改的信息的控制数据包传输给第一网络。

在计算机实现的一个有利的实施方式中，根据第一和第三控制数据包可以在第二网络中检查传输的有效数据包的完整性，并且将包括检查结果的第四控制数据包传输给第一网络。

尤其地，在传输有效数据之后，可以根据在会话开始和结束时传送的控制数据包来执行完整性检查和对传输错误或失真的检查。例如可以检查，接收方是否已经接收在第一控制数据包中预告的传递数据量，即在第三控制数据包中说明相同的传递数据量。以所述方式例如可以检测传输错误并且尤其向回传送给初始发送方。

在传输设备的一个有利的实施方式中，

- 第一接收单元和第一发送单元可以在第一网络中的第一部件上设立，

- 第二接收单元和第二发送单元可以在第二网络中的第二部件上设立，

和

- 验证单元和第一单向通信单元可以在第三部件上设立。

在传输设备的一个有利的实施方式中，第一单向通信单元和验证单元可以分别在单独的部件上设立。

部件、尤其网络部件尤其可以构造为硬件部件。部件尤其可以包括处理器。

处理器尤其可以为主处理器（英语为Central Processing Unit，CPU）、微处理器或微控制器，例如专用集成电路或数字信号处理器，可能与用于存储程序指令的存储器单元等组合。处理器例如也可以为IC（集成电路，英语为Integrated Circuit）或多芯片模块，尤其为FPGA（英语为Field Programmable Gate Array，现场可编程门阵列）或ASIC（专用集成电路，英语为Application-Specific Integrated Circuit），SoC（System on Chip，片上系统），图像处理器GPU（Graphics Processing Unit），用于分析神经网络的处理器，诸如TPU（Tensor Processing Unit，张量处理单元）或DSP（数字信号处理器，英语为DigitalSignal Processor）。处理器可以具有一个或多个计算核心（multi-core）。此外，可以将处理器理解成虚拟处理器或软核CPU。例如也可以为可编程的处理器，所述处理器配设有用于执行所述根据本发明的方法的配置步骤或者借助配置步骤配置成，使得可编程的处理器实现本发明的方法的或其他方面和子方面的根据本发明的特征。处理器可以具有用于抵御物理篡改的防篡改保护，例如用于探测物理攻击的防篡改传感器。

此外，本发明涉及一种计算机程序产品，所述计算机程序产品可直接加载到可编程的计算机中，其包括计算机代码部分，所述计算机代码部分适合于，执行根据本发明的计算机实现的方法的步骤。

计算机程序产品，诸如计算机程序机构例如可以作为存储器介质或数据载体、诸如存储卡、USB棒、CD-ROM、DVD或也以可从网络中的服务器下载的文件形式来提供或供应。

附图说明

根据本发明的计算机实现的方法和传输设备的实施例在附图中示例性地示出并且根据下面的描述详细阐述。其中：

图1示出根据本发明的方法的流程图；

图2示出根据本发明的传输设备的示意图；

图3示出另一根据本发明的传输设备的示意图；

图4示出有效数据包的示意图；

图5示出控制数据包的示意图；

图6作为时序图示出根据本发明的方法一个实施例；和

图7作为时序图示出根据本发明的方法的另一实施例。

彼此对应的部分在全部图中设有相同的附图标记。

具体实施方式

尤其地，下面的实施例仅示出示例性的实现可能性，尤其根据本发明的教导的这种实现方案可以如何显现，因为不可能并且也对于理解本发明而言不是主要目标或不需要的是，提到全部这些实现可能性。

尤其对于（有关的）技术人员在了解一个/多个方法权利要求时当然已知用于实现本发明的全部在现有技术中常见的可能性，使得尤其不需要在说明书中独立地公开。尤其地，这些常用的和对于技术人员而言已知的实现变型形式仅可以经由硬件（部件）或仅经由软件（部件）实现。替选地和/或附加地，技术人员可以在其专业知识的范围中选择由硬件（部件）和软件（部件）构成的尽可能任意的根据本发明的组合，以便实现根据本发明的实现变型形式。

图1示出根据本发明的用于在具有高的安全要求的第一网络、诸如工业控制网络和具有低的安全要求的第二网络、诸如监控网络之间传输数据的计算机实现的方法的流程图。该方法可以借助于根据本发明的如在图2和3中示例性地示出的传输设备来执行。

例如，传感器数据可以从工业控制网络传输到用于监控或分析控制网络的监控网络中。在此，在网络之间的通信尤其应是单向的，使得尤其仅允许从监控网络到工业控制网络的许可的数据传递。

在步骤S1中，构建用于在第一网络和第二网络之间传输数据的第一会话。尤其地，在第一网络的发送单元和第二网络的接收单元之间构建第一会话。

在步骤S2中，将第一数据包、例如控制数据包从第一网络的发送单元传送给布置在第一和第二网络之间的第一单向通信单元，并且从那里转发给第二网络。控制数据包例如包括用于传输、用于执行接收确认和/或所传递的有效数据的完整性检查的信息。

第一单向通信单元尤其可以构造为数据二极管或构造为窃听装置，并且用于，实现从第一网络到第二网络中的单向数据传输。

在传送第一控制数据包之后，在通过第二网络中的接收单元接受第一控制数据包的情况下，包括有效数据的至少一个有效数据包可以从第一网络传送给第二网络。对此，首先在方法的步骤S3中在第一和第二网络之间构建第二会话和第三会话，其中步骤S4，另一数据包、例如控制数据包经由单向通信单元和验证单元传送给第二网络。

第二会话在第二网络中的发送单元和以下接收单元之间构建，所述接收单元被分配给验证单元并且尤其可以设立在共同的部件上。如果接收到会话的全部数据包，那么所述数据包由接收单元转发给验证单元。这样，仅为每会话实现数据包的验证。

在验证单元中，控制数据包根据预设的规则来验证，步骤S5。仅检查从第二网络到第一网络中的数据传递。根据规则确定，数据包是否是允许的并且允许经过，即为肯定的验证，或者拒绝，即否定的验证。在肯定的验证的情况下，步骤S6，在发送单元和分配给验证单元并且尤其可以设立在共同的部件上的接收单元之间构建第三会话，并且将控制数据包从验证单元传输给第一网络中的接收单元。

例如，肯定验证的控制数据包可以包括关于接受的数据传输的信息。所述信息向回传送给第一网络。随后，可以开始有效数据从第一网络到第二网络中的数据传输，步骤S7。有效数据随后可以由第二网络中的接收单元转发给应用。

在从第一网络传送的控制数据包的验证为否定的情况下，验证单元可以签发另一控制数据包，所述另一控制数据包可以传送给第一和第二网络。

图2以框图示出根据本发明的传输设备500的一个变型形式。传输设备500尤其可以由三个单独的硬件部件100、200和300构成，其中第一部件100布置在具有高的安全要求的第一网络NW1中，第二部件200布置在具有低的安全要求低的第二网络NW2中，并且第三部件300布置在两个网络NW1、NW2之间。

第一部件100包括第一接收单元102和第一发送单元101，例如服务器102和客户端101。接收单元102和第一发送单元101可以交换数据。尤其地，这样可以传输确认消息10。第一接收单元102和第一发送单元101可以与第一网络NW1中的应用A1通信。应用A1例如可以生成有效数据或调用有效数据。尤其地，所述有效数据、例如传感器数据可以从应用A1传送给发送单元101。

第二部件200包括第二接收单元202和第二发送单元201，例如服务器202和客户端201。它们尤其可以交换确认消息10。此外，第二接收单元202和第二发送单元201可以与第二网路中的应用A2交换数据包。

第三部件300包括：第一单向通信单元301，所述第一单向通信单元尤其可以作为数据二极管实现；第三接收单元303、第三发送单元304和验证单元302。第三接收单元303和第三发送单元304尤其分配给验证单元302。

第一单向通信单元301构造成，单向实现从第一网络NW1到第二网络NW2中的数据传递。第一单向通信单元301仅转发数据包，优选不改变所述数据包。

验证单元302根据至少一个预设的规则验证从第二网络NW2发送给第一网络NW1的数据包。数据包从第二网络NW2到第一网络NW1的传输此外经由第二单向通信单元400、例如数据二极管进行，所述第二单向通信单元例如可以布置在第二部件和第三部件之间。

替选地（未示出），可以在第三部件300和第一部件100之间布置第二单向通信单元400，其中所述第二单向通信单元管理从第二网络NW2到第一网络NW1中的数据传输。作为另外的替选方案，也可以将两个单向通信单元用于从第二网络NW2到第一网络NW1中的数据传输，其中一个单向通信单元可以布置在第二部件200和第三部件300之间并且另一单向通信单元可以布置在第三部件300和第一部件100之间。

在另一变型形式中，第二单向通信单元400可以包括第三接收单元303和/或第三发送单元304和/或验证单元302（未示出）或者所述单元可以在一个单元中实现。

具有接收确认的从第一网络NW1到第二网络NW2的数据传输例如借助于箭头示出并且根据图7详细阐述，其中经由验证单元向回传送确认。

图3示出根据本发明的传输设备500的另一实施方式。第三部件在此作为两个单独的部件300a、300b实现。两个单向链接的所述分离是有利的，因为在两个部件300a、300b之间未设有通信。这样，从第一网络NW1到第二网络NW2中的单向数据传输可以经由单独的第三部件300b进行，并且从第二网络NW2到第一网络NW1的单向数据传输可以经由另一单独的第三部件300a进行。

图4示意地示出有效数据包PDU1的示例性的构造。有效数据包PDU1包括有效数据D和会话标记SID。此外，有效数据包PDU1可以包括数据包辨识标记PID、数据包的校验和CRC、类型信息TYP和/或应用辨识码AID。

会话标记SID将数据包分配给确定的会话。数据包辨识标记PID在会话的包序列中明确地辨识数据包。校验和CRC可以是整个数据包的校验和。类型信息TYP说明数据包的类型，尤其用于“有效数据包”的“数据”。应用辨识码AID说明应用的类型，所述应用与有效数据相关联。

图5示意地示出控制数据包PDU2的示例性的构造。控制数据包PDU2包括会话标记SID、数据包辨识标记PID和发送方和/接收方信息DST。此外，控制数据包PID2可以包括控制数据包的校验和CRC、数据包辨识标记PID、类型信息TYP、至少一个标志FL（英语为Flag）和/或关于相应的会话的数据传输的大小的信息SZ。类型信息尤其可以包括用于“控制数据包”的“控制”。标志尤其可以置于代表构建新会话的“S”、代表结束会话的“F”、代表确认会话的“A”或代表中断会话的“R”。借助于标志，接收单元或发送单元可以识别，为何种类型的控制数据包PDU2。标志“S”和“F”尤其可以由发送方使用。标志“A”和“R”可以由发送方和接收方使用。关于相应的会话的数据传输的大小的信息SZ尤其仅在构建会话时存在。

图6示出在不具有对数据传输的确认的情况下用于数据传输的时序图。本发明，尤其根据本发明的传递协议能够实现执行从一个网络到另一网络的数据传输，其中仅构建一个会话并且仅传输至少一个有效数据包。

不具有确认的数据传输尤其在不传送控制数据包的情况下实现。在该变型形式中，有效数据包可以在没有之前传输控制数据包的情况下从一个网络传送到另一网络中。

在构建会话之后，可以将有效数据包PDU1直接传送给接收方。在不具有确认的情况下，例如不能对传送的有效数据执行完整性检查。例如，第一网络中的客户端101构建至第二网络的第一会话。经由服务器102，将有效数据包传送给第二网络。对此，将数据包传送给第三部件上的客户端303，从第一单向通信单元301转发给第三部件的服务器304，并且从所述服务器经由第二网络的服务器201传送给第二网络的客户端202。换言之，第一网络中的客户端101在没有传送控制数据包的情况下开始将有效数据传输给客户端202。第一单向通信单元301将有效数据包在没有检查或改动的情况下转发。

为了在不具有确认的情况下从第二网络到第一网络中的传输（未示出），在验证单元中检查数据包。对此，借助中间步骤构建两个单独的会话：从第二网络中的客户端201至第三部件上的客户端303的会话，在验证单元302中的验证和从第三部件的服务器304到第二网络的服务器102的另一会话。

图7示出用于在具有对数据传输的确认的条件下从第一网络到第二网络中的有效数据传输的时序图。首先，在由第一网络的客户端101构建会话之后，将具有数据传输信息“SYN”的第一控制数据组PDU2a传送给第二网络的服务器202。由服务器202关于接受与否来检查询问，并且在接受时将包括确认标记“A”或“ACK”的第二控制数据包PDU2b从服务器202传送给第一网络的客户端102。对此，第二控制数据包PDU2b首先从服务器202转发给第二网络的客户端201并且从客户端201转发给第三部件的服务器304。第二控制数据包PDU2b经过验证单元301并且在那里根据规则来验证。在成功验证时，第二控制数据包PDU2b从第三部件的客户端303传送给第一网络的服务器102。第一网络的服务器102将第二控制数据包PDU2b转发给第一网络的客户端101。

只要在第一网络中的客户端101处存在确认，所述至少一个有效数据包PDU1可以经由第一单向通信单元传输给第二网络的服务器202。尤其地，仅传输以下有效数据包PDU1，用于存在的会话的正确的会话标记分配给所述有效数据包PDU1。只要传输完会话的全部有效数据包，客户端101将包括关于会话结束的信息、即具有标志“F”或“FIN”的第三控制数据包PDU2c发送给第二网络中的服务器202。只要服务器202已经接收到第三控制数据包PDU2c，那么所述服务器202将第四控制数据包PDU2d传送给第一网络中的客户端101。根据第一控制数据包PDU2a和第三控制数据包PDU2c，可以由第二网络中的服务器202确定所传输的有效数据包PDU1的完整性。例如，这可以根据控制数据包PDU1a、PDU1c的相应的校验和来检查。所述检查的结果例如可以在第四控制数据包PDU2d中传输给第一网络。如果例如所传送的有效数据包PDU1不完整或有错误，那么这样可以开始重新的传输。

客户端或服务器可以在任何时刻中断传输，其方式为：传送包括相应的会话标记和必要时附加的信息的控制数据包PDU2。所述控制数据包的接收和因此会话的结束必须由接收方确认，其方式为：将另外的控制数据包向回传送给发送方。

全部描述的和/或描绘的特征可以在本发明的范围中有利地彼此组合。本发明不限于所描述的实施例。

Claims (14)

1.一种用于在具有高的安全要求的第一网络（NW1）和具有低的安全要求的第二网络（NW2）之间传输数据的计算机实现的方法，其中

a）为了从所述第一网络（NW1）到所述第二网络（NW2）中的数据传输，在所述第一网络（NW1）和所述第二网络（NW2）之间构建（S1）第一会话，第一数据包由所述第一网络（NW1）中的发送单元（101）经由第一单向通信单元（301）传输（S2）给所述第二网络（NW2）中的接收单元（202），所述第一单向通信单元布置在所述第一网络（NW1）和所述第二网络（NW2）之间，

和

b）为了从所述第二网络（NW2）到所述第一网络（NW1）中的数据传输，构建（S3）第二会话，并且第二数据包从所述第二网络（NW2）中的发送单元（201）经由第二单向通信单元（400）传输（S4）给验证单元（302），所述验证单元布置在所述第一网络（NW1）和所述第二网络（NW2）之间，

- 根据预设的规则在所述验证单元（302）中验证（S5）所述第二数据包，和

- 在所述第二数据包的验证为肯定的情况下，构建第三会话，并且所述第二数据包由所述验证单元（302）传输（S6）给所述第一网络（NW1）中的接收单元（102）。

2.根据权利要求1所述的计算机实现的方法，

其中在所述第一网络（NW1）中的接收单元（102）和发送单元（101）之间和/或在所述第二网络（NW2）中的接收单元（202）和发送单元（201）之间传输至少一个数据包。

3.根据上述权利要求中任一项所述的计算机实现的方法，

其中第一或第二数据包构造为有效数据包（PDU1）或构造为控制数据包（PDU2）。

4.根据上述权利要求中任一项所述的计算机实现的方法，

其中如果所述第二数据包在所述验证单元中的验证得出否定结果，那么由所述验证单元签发控制数据包，并且所述控制数据包经由所述第一网络传输给所述第二网络。

5.根据上述权利要求中任一项所述的计算机实现的方法，

其中给会话的有效数据包（PDU1）分配明确的会话标记（SID）。

6.根据上述权利要求中任一项所述的计算机实现的方法，

其中给控制数据包（PDU2）分配明确的会话标记（SID）、数据包辨识标记（POD）和发送方和/或接收方信息。

7.根据上述权利要求中任一项所述的计算机实现的方法，

其中在传输数据时在传输有效数据包（PDU1）之前，传输控制数据包（PDU2）。

8.根据权利要求7所述的计算机实现的方法，

其中在接受所述控制数据包（PDU2）的情况下传输有效数据包（PDU1），并且在不接受所述控制数据包（PDU2）的情况下中断数据传输，并且仅将另一控制数据包（PDU2）向回传输。

9.根据上述权利要求中任一项所述的计算机实现的方法，

其中在从所述第一网络（NW1）到所述第二网络（NW2）中传输数据时，

- 第一控制数据包从所述第一网络（NW1）传输到所述第二网络（NW2）中，

- 在所述第二网络（NW2）中检查所述第一控制数据包可否接受，

- 其中如果接受所述第一控制数据包，那么第二控制数据包从所述第二网络（NW2）传输给所述验证单元（303），在那里被验证并且在验证为肯定的情况下传输给所述第一网络（NW1），至少一个有效数据包从所述第一网络（NW1）传输给所述第二网络（NW2），并且第三控制数据包从所述第一网络（NW1）传输给所述第二网络（NW2）。

10.根据权利要求9所述的计算机实现的方法，

其中根据所述第一控制数据包和所述第三控制数据包，在所述第二网络（NW2）中检查所传输的有效数据包的完整性，并且将包括检查结果的第四控制数据包传输给所述第一网络（NW1）。

11.一种用于在具有高的安全要求的第一网络（NW1）和具有低的安全要求的第二网络（NW2）之间传输数据的传输设备（500），所述传输设备包括：

- 第一接收单元（102）和第一发送单元（101），所述第一接收单元和第一发送单元分别布置在所述第一网络（NW1）中，

- 第二接收单元（202）和第二发送单元（201），所述第二接收单元和第二发送单元分别布置在所述第二网络（NW2）中，

- 第一单向通信单元（301），所述第一单向通信单元布置在所述第一网络（NW1）和第二网络（NW2）之间并且设计成，在从所述第一发送单元（101）至所述第二接收单元（202）的数据传输时，传输数据包，

- 第二单向通信单元（400），所述第二单向通信单元布置在所述第二网络（NW2）和所述第一网络（NW1）之间，用于从所述第二网络到所述第一网络中的数据传输，

和

- 验证单元（302），所述验证单元布置在所述第二网络和第一网络之间并且设计成，在从所述第二发送单元（201）至所述第一接收单元（102）的数据传输中，根据预设的规则来验证数据包。

12.根据权利要求11所述的传输设备（500），其中

- 所述第一接收单元（102）和所述第一发送单元（101）设立在所述第一网络（NW1）中的第一部件（100）上，

- 所述第二接收单元（202）和所述第二发送单元（201）设立在所述第二网络（NW2）中的第二部件（200）上，

和

- 所述验证单元（302）和所述第一单向通信单元（301）设立在第三部件（300）上。

13.根据权利要求11或12所述的传输设备（500），

其中所述第一单向通信单元（301）和所述验证单元（302）分别设立在单独的部件（300a，300b）上。

14.一种计算机程序产品，所述计算机程序产品可加载到可编程的计算机中，所述计算机程序产品包括程序代码部分，所述程序代码部分适合于，执行根据权利要求1至10中任一项所述的方法的步骤。

Images