CN114175581A - 用于单向传输数据的网络适配器 - Google Patents

Abstract

一种用于单向传输有用数据流到双向网络接口的网络适配器（20、40），所述网络适配器具有：第一连接单元（21、41），所述第一连接单元与第一设备（10）的双向网络接口（11）能够物理连接；第二连接单元（24、44），所述第二连接单元与第二设备（30）的双向网络接口（31）能够物理连接；和终止单元（22、42），所述终止单元具有至少一个比特传输组件（23、43），并且配置成，建立到所述第一设备（10）的网络接口（11）的双向数据连接（14）、仅仅单向地经由所述数据连接（14）而从所述第一设备（10）接收有用数据流并且不将任何有用数据流发送到所述第一设备（10）。

Description

用于单向传输数据的网络适配器

技术领域

本发明涉及一种用于单向传输数据流到双向网络接口的网络适配器。

背景技术

当今的工业设施、交通安全网络或者能量分配网络包括多个设备，这些设备经由通信网络相互交换数据、例如关于该设备的状态的数据或诊断数据或者将这些数据传输给中央的控制或监控服务器。这样的设备通常被称为物联网设备、简称IoT设备或者“Internet-der-Dinge（物联网）”设备。例如来自工业设施的数据应该为了分析而以受保护的方式被传输到物联网服务器，所述物联网服务器要么在工业设施附近要么在远处布置的共享服务器系统（也称为云）中。所述数据在那里例如被评估，以便及时识别出未来的故障，以便优化机器参数或者识别出对工业设施的攻击或操纵。出于成本原因，在此通常使用公共网络、例如互联网或者办公网络或者工厂网络用于数据传输。

重要的安全要求在于，不能从外部、例如互联网攻击或者影响例如自动化网络。这尤其因此是重要的，因为一些自动化网络必须满足特定的实时和运行安全性要求。此外，在一些自动化网络中使用的是具有不足的访问保护的旧设备并且通常通过严格的网络隔离、也称为周边防护而实现运行安全性。这意味着，从设备到外部系统的直接的、双向连接是不可能的，因为由此会危及设施网络的防护水平。

已知数据二极管或者单向网关，它们能够实现设施网络到外部的或公共的网络的无反馈连接。通过这样的单向网关而保证：仅仅能够将数据从代表具有高安全相关性的网络区的工业设施传输出去。不仅直接不可能将数据从代表具有可能较低安全相关性的网络区的外部网络传输到设施网络中，而且也不应该可能将来自信令协议或其他数据源的数据从外部网络引入到设施网络中。通过这种严格的数据流控制而可靠地防止：可能从外部网络影响或损害到工业设施的运行。

WO 2019/040438 A1公开了一种由于硬件而强制的信息流控制设备，该设备具有第一网络接口卡和第二网络接口卡，其与发送或接收侧连接。第一网络接口卡包括两个收发器模块，这些收发器模块相互连接。第一网络接口卡的收发器模块的发送输出端附加地与第二网络接口卡的收发器模块连接。通过这种连接而在第一网络接口卡和第二网络接口卡之间传输信息流。

DE 10 2015 108109 A1公开了一种用于从第一网络中的发送器经由数据二极管单向传输数据到第二网络中的接收器的设备。

根据应用领域而定，目前所提供的单向网关是昂贵的网络部件，这些网络部件通常源自用于军事或公务应用的部件。这些高成本阻碍了在工业网络中值得期望的广泛应用。EP 3207683 例如描述了用于无反馈地检测安全关键的网络区中的数据并且将所述数据传输到具有较小安全要求的网络区中的这样的方法和这样的设备。

此外存在如下需求，对现有的网络部件、诸如到云服务器的数据网关扩展单向传输功能性。

发明内容

因此，本发明的任务在于，利用尽可能简单且低成本的装置实现：从安全关键的、例如封闭的网络区到公共网络区、具有较低安全相关性的网络区、例如云服务器系统的安全的、严格单向的数据传输。在此，应该能继续使用现有的网络部件并且尽管如此还以尽可能小的耗费确保单向通信。

按照第一方面，本发明涉及一种用于单向传输有用数据流到双向网络接口的网络适配器，其具有第一连接单元、第二连接单元和终止单元，所述第一连接单元与第一设备的双向网络接口能够物理连接，所述第二连接单元与第二设备的双向网络接口能够物理连接，所述终止单元具有至少一个比特传输组件，并且所述终止单元配置成，建立到第一设备的网络接口的双向数据连接、仅仅单向地经由所述数据连接而从第一设备接收有用数据流并且不将任何有用数据发送到第一设备。

到第一设备的网络接口的双向数据连接可以尤其是双向物理层链路，例如以太网PHY。该双向物理层链路被双向地构建，使得所述第一设备识别出所建立的双向连接并且由此能够激活该双向连接。尽管第一设备识别出双向数据连接，然而尽管如此仅可能单向传输有用数据。

通过网络适配器而创建单向网关的低成本的且技术最小化的实现方案，在该实现方案中通过如下方式而确保对所连接的第一设备的无反馈性：双向数据连接仅仅接收来自第一设备的有用数据流，但是并不将任何有用数据流发送到第一设备。在此，通过硬件措施而强制所述无反馈性。网络适配器可以与任意第一设备一起使用，其中该第一设备被布置在安全相关的网络区中并且具有常规的双向网络接口。因此，可以将数据从安全关键的网络区中的第一设备传送到被布置在具有较低安全相关性的区域中的第二设备。在此，对于第一设备和第二设备的这两个所连接的网络接口而言模仿：物理上存在常规的双向数据连接。否则，这些网络接口就会识别出错误，或者这些网络接口可能不会识别为连接有传输介质、例如网络线缆。终止单元为此特别具有比特传输组件，其使得在物理层面上终止双向网络接口，也即能够与例如第一设备的双向网络接口建立常规的双向连接。然而，仅能够单向传输数据包。在物理层面上的终止在此表示执行任务并且根据针对公共系统的连接模型的第一层（也称为比特传输层或物理层）交换信息，其中该连接模型通过国际电信联盟ITU-T被标准化并且简称为OSI参考模型。

在根据本发明的网络适配器中，终止单元具有第一比特传输组件，其终止了关于比特传输模式的双向数据连接并具有与介质有关的和与介质无关的接口。

第一比特传输组件可以被配置成，要么使用与介质有关的接口要么使用与介质无关的接口来用于单向数据传输。该比特传输组件可以在自身的接口被不同地连接以用于传输有用数据流并且因此提供对数据连接传输方向的干预可能性。比特传输组件以优选的方式被构造为集成电路。

在并非根据本发明的实施方式中，在第一比特传输组件的情况下仅仅接通与介质有关的接口，并且与介质有关的接口被配置成，根据双向数据连接的传输介质的预给定类型而终止数据连接。

这具有如下优点：网络适配器以针对双向数据连接的预给定类型的传输介质而经预先配置的方式而存在并且在没有进一步配置的情况下就能够起作用。

在并非根据本发明的实施方式中，并未接通第一比特传输组件的与介质无关的接口。

因此，在该处终止了数据连接并且不能够将数据从比特传输组件发送到第一设备。尤其是，在与介质有关的接口上，根据远端站点和所连接的传输介质的类型而通过信号来协商数据连接的属性，其中这些信号在网络适配器中的比特传输组件和第一设备中的第一网络接口之间被交换。在网络适配器与第一设备之间的连接的无反馈性得以确保。

在并非根据本发明的实施方式中，有用数据流在第一连接单元与终止单元之间被输出耦合并且被输出到第二连接单元。

有用数据流的输出耦合在此表示：从网络适配器之内的数据连接的范围内被动传输或读出有用数据流。该有用数据流例如被复制，并且被复制的有用数据流被传送到第二设备的网络接口。在第一设备中的网络接口以及比特传输组件的网络接口在所谓的“混杂模式中”被配置。原始的有用数据流被进一步传递给比特传输组件并且在那里被终止。比特传输组件因此终止了网络适配器中的数据连接。

根据本发明的网络适配器具有终止单元、第一比特传输组件和第二比特传输组件，其中第一比特传输组件将有用数据流单向传送到第二比特传输组件，而第二比特传输组件则终止了到第二设备的第二数据连接。

这具有如下优点：数据流被主动地转发并且因此使得传输介质的可用类型的选择更大。因此，建立两个主动的网络连接，一方面是从第一比特传输组件到第一设备中的网络接口的网络连接，以及还有第二个从第二比特组件到第二设备的网络接口的主动数据连接。

根据本发明的网络适配器使得第一比特传输组件将有用数据流经由与介质无关的接口传送到第二比特传输组件。

因此，有用数据流仅仅从第一比特传输组件传送到第二比特传输组件。而在反向上，即从第二比特传输组件到第一比特传输组件却并不发生任何有用数据流的传输。

在一种有利的实施方式中，第一比特传输组件与第一设备协商双向数据连接的传输介质的类型。

这具有如下优点：能够在第一设备和网络适配器、尤其是第一连接单元之间使用不同类型的传输介质。

在一种有利的实施方式中，第二比特传输组件与第二设备协商双向数据连接的传输介质的类型并且将在第二比特传输组件中所接收的有用数据流转发给该第二设备。

这具有如下优点：能够在网络适配器和第二设备之间使用不同类型的传输介质。

在一种有利的实施方式中，第二比特传输组件被配置成：在与介质无关的接口上接收来自第一比特传输组件的有用数据流并且将来自与介质无关的接口的有用数据流传送到第二设备的网络接口，优选在混杂模式中传送。

这具有如下优点：有用数据流仅仅经由与介质无关的接口而单向传输。第一比特传输组件和第二比特传输组件的与介质有关的接口则并没有被连接并且因此被脱耦，并且在与介质有关的接口上在第一比特传输组件和第二比特传输组件之间无法传送有用数据流。

在一种有利的实施方式中，网络适配器具有介质控制单元，所述介质控制单元配置所述第一和/或第二比特传输组件，以用于提供预给定的或所协商的类型的传输介质。

因此，比特传输组件能够简单地结构化地构造，因为通过介质控制单元来执行用于设置和适配于不同类型的传输介质的逻辑。

在一种有利的实施方式中，第一和第二连接单元被构造为用于连接传输介质的插塞连接器。该插塞连接器可以是插头、插塞转接器或者插塞转接器线缆。

因此，所述网络适配器可以简单地连接到现有的传输介质上。这样的插塞连接器可以例如被构造为根据RJ-45或M12标准或者IEC 63171-2（针对办公环境的Single PairEthernet（单对以太网））或IEC 63171-5（针对工业环境的Single Pair Ethernet（单对以太网））的以太网插口并且接纳相对应的以太网线缆或其插头。

在一种有利的实施方式中，网络适配器包括两个传输介质，这些传输介质与第一和/或第二连接单元固定连接。

因此，能够固定地预先配置由网络适配器加传输介质组成的组合并且因此在没有附加传输介质的情况下将其连接到多个设备。

在一种有利的实施方式中，第一和/或第二比特传输组件终止关于根据以太网标准的比特传输模式的双向数据连接。

由IEEE标准化组织以编号802.3而标准化的所述以太网标准在网络技术中被广泛使用。相对应的网络适配器因此涵盖了广泛的应用领域。

相应的“单元”可以以硬件技术的方式实现和/或也可以以软件技术的方式实现。在硬件技术实现方案中，相应的单元可以被构造为设备或设备的部分。该网络适配器和所包含的单元、尤其是终止单元可以被构造为集成电路、微处理器或者可编程电路模块。在软件技术实现方案中，相应的单元可以被构造为计算机程序产品、功能、例行程序、程序代码的部分或者可执行对象。

附图说明

根据本发明的网络适配器的实施例在附图中示例性示出并且依照接下来的描述进一步予以阐述。其中：

图1以框图示出具有有用数据流的被动分接的非根据本发明的网络适配器的第一实施例；

图2以框图示出具有有用数据流的主动分接的根据本发明的网络适配器的第二实施例；和

图3以框图示出具有多个传输介质的根据本发明的网络适配器的第三实施例。

彼此相对应的部分在所有图中配备有相同的附图标记。

具体实施方式

图1示出网络适配器20，该网络适配器具有第一连接单元21，该第一连接单元与第一设备10的双向网络接口11能够物理连接。该网络适配器20还具有第二连接单元24，所述第二连接单元与第二设备30的双向网络接口31能够物理连接。该第一设备10被布置在安全相关的网络区12中。该第一连接单元21因此构成用于安全相关的网络区、例如自动化设施的数据网络或运行安全网络的接口。第二设备30以优选的方式处于具有较低安全相关性的网络区13中，例如在办公网络或公共网络中，例如在互联网中。第二设备30可以利用其它网络接口32与服务器50、尤其是云系统连接。

网络适配器20此外包括终止单元22，所述终止单元被配置成，建立到第一设备10的网络接口11的双向数据连接14。例如经由网络线缆而实现数据连接14，其中所述网络线缆与第一连接单元21以及第一设备10的网络接口11连接。数据连接33经由第二连接单元24而被继续引导至第二设备30的双向网络接口。

终止单元22包括第一比特传输组件23，其中所述第一比特传输组件终止关于比特传输模式的双向数据连接14。因此，在第一双向网络接口11和比特传输组件23之间建立主动数据连接14。该比特传输模式包括按照OSI参考模型的物理比特传输层上的功能。根据所连接的传输介质而规定这些功能。针对根据以太网标准的网络线缆，在电气与电子工程师协会IEEE的标准802.3中规定了相对应的功能。然而，网络适配器20并非限于根据以太网标准的传输介质，也即以太网线缆。也能够将根据其他标准的其他传输介质与第一和第二连接单元21、24连接。

比特传输组件23具有与介质无关的接口以及与介质有关的接口。经由与介质无关的接口与相对置的网络接口、在此为第一设备的网络接口11协商例如要传输的数据的物理编码、例如时钟频率和编码方法。与介质有关的接口构成比特传输组件的机械连接并且与第一连接单元21连接。

在当前实施方式中，数据连接14从第一设备的第一双向网络接口11经由第一连接单元21与终止单元22的比特传输组件23连接并且在那里被终止。比特传输组件23的与介质无关的接口在此并没有接通。因此，不能将任何有用数据流从比特传输组件23传送到第一设备。比特传输组件23根据所连接的传输介质的类型而被固定地配置，其中数据连接14经由所述所连接的传输介质而物理传输。因此，比特传输组件23例如被配置成，按照以太网标准根据10Mbit或100Mbit的传输介质而建立数据连接。所述比特传输组件23的配置例如经由介质控制单元25而进行。替代地，比特传输组件23可以根据传输介质的类型而被固定地配置并且因此仅仅支持相对应的传输介质。第二设备30的网络接口31在此优选地在混杂模式（英文也称为“Promiscuous Mode”）中运行。

该有用数据流现在利用数据连接14而在第一连接单元21和第一比特传输组件23之间被单向输出耦合并且经由第二连接单元31被转发到第二设备30的双向网络接口31。该第二设备30可以将数据或有用数据流例如经由第二网络接口32而转发到服务器50。该网络适配器20可以尤其是终止经由按照以太网标准具有10MBit/s或100MBit/s的传输速率的传输介质的数据连接14。

图2示出有用数据流从数据连接14的有效分接。该网络适配器40在此包括第一连接单元41以及第二连接单元44，这些连接单元分别与第一设备10或第二设备30的双向网络接口11、31能够连接。第一比特传输组件43布置在该终止单元42中，其中该第一比特传输组件43保持和终止与第一设备10的第一网络接口11的主动的双向数据连接14。第一设备10在此是有用数据流的发送器。该有用数据流经由比特传输组件43中的与介质有关的接口被接收。

该终止单元42此外包括第二比特传输组件46，所述第二比特传输组件经由单向数据连接47与第一比特传输组件43的与介质无关的接口连接。该有用数据流从第一比特传输组件43经由这种单向数据连接47而被转发到第二比特传输组件46的与介质无关的接口。所述第一比特传输组件的与介质无关的接口在此被如此连接，使得数据仅仅在一个方向上被传输到第二比特传输组件46。以这种方式而确保：数据仅仅能够从安全关键的网络区12中被导出，但是无法将任何数据引入到该安全关键的网络12中。

第一比特传输组件和第二比特传输组件43、46优选地分别与介质控制单元45、47连接，这些介质控制单元对相应的比特传输组件43、46进行配置。介质控制单元45、47也可以被构造为唯一的介质控制单元，其不仅对第一比特传输组件43进行配置而且也对第二比特传输组件46进行配置。

在第二比特传输组件46以及进一步经由第二连接单元44之间存在到第二设备30的网络接口31的双向数据连接33，其中该第二设备是数据连接或有用数据流的接收器。以有利的方式，该第二设备30的双向网络接口31在混杂模式中运行。从第二比特传输组件46所接收的有用数据流在第二数据连接33中经由第二连接单元44被传送到第二设备30的网络接口31。第二设备30例如包括云网关并且将可能被预处理或过滤的有用数据流传输到云系统50。

图3示出网络适配器60，其具有终止单元62以及第一连接单元和第二连接单元61、64以及两个传输介质63、65。该网络适配器60的第一和/或第二连接单元61、64例如被构造为用于连接传输介质63、65的插塞连接器。传输介质63、65能够与相应的连接单元以可释放的方式连接。

可替代地，网络适配器60可以包括一个或两个传输介质63、65。其中一个和/或第二个传输介质63、65在此固定地与第一或第二连接单元61、64连接。传输介质63、65例如是以太网线缆。此外，可以将仅一个连接单元构造为插塞连接器，而其他连接单元则能够与传输介质固定连接。

与迄今为止已知的单向数据传输设备、诸如单向网关不同，在本网络适配器的情况下，明显减小了硬件耗费。通过不同的配置可能性能够支持不同的传输介质，尤其是根据以太网标准IEEE 802.3的传输介质。通过根据本发明的网络适配器，能够显著减小针对工业数据二极管的成本。网络适配器不仅可以与现有设备、所谓的棕色地带设备而且也可以与新设备一起来使用。

在图1中所示出的和描述的变型支持对数据的纯被动分接。因此，该变型能够以低成本的方式不仅实现为无反馈的网络分接点（Netzwerk-Tap）而且也实现为单向网关、也即针对关键的基础设施的数据二极管。

在图2中描述的网络适配器的第二变型还支持经由具有1Gbit/s的传输速率的传输介质的数据连接。虽然因为数据的分接主动地进行而使该解决方案在物理意义上并非是无反馈的。然而，该变型方案非常好地适合于利用专用的附加发送和接收器系统的单向网关的低成本实现方案。即便是在网关段的功率下降的情况下，该解决方案从关键网络的角度来看也是无反馈的。

所有描述的和/或描绘的特征都能够在本发明的范畴内有利地相互结合。本发明并不限于所描述的实施例。

Claims (8)

1.一种用于单向传输有用数据流到双向网络接口的网络适配器（20、40、60），所述网络适配器具有：

- 第一连接单元（21、41、61），所述第一连接单元与第一设备（10）的双向网络接口（11）能够物理连接；

- 第二连接单元（24、44、64），所述第二连接单元与第二设备（30）的双向网络接口（31）能够物理连接；和

- 终止单元（22、42），所述终止单元具有至少一个比特传输组件（23、43），并且所述终止单元配置成，建立到所述第一设备（10）的网络接口（11）的双向数据连接（14）、仅仅单向地经由所述数据连接（14）而从所述第一设备（10）接收有用数据流并且不将任何有用数据流发送到所述第一设备（10），其中

所述终止单元（42）具有第一比特传输组件（43），所述第一比特传输组件终止了关于比特传输模式的双向数据连接（14）并具有与介质有关的和与介质无关的接口，

其中所述第一比特传输组件（43）将有用数据流单向（47）传送到第二比特传输组件（46）并且所述第二比特传输组件（46）终止了到第二设备（30）的第二数据连接（33）并且所述第一比特传输组件（43）将所述有用数据流经由与介质无关的接口传送到所述第二比特传输组件（46）。

2.根据权利要求1所述的网络适配器，其中，所述第一比特传输组件（43）与所述第一设备（10）协商所述双向数据连接（14）的传输介质的类型。

3.根据上述权利要求其中任一项所述的网络适配器，其中所述第二比特传输组件（46）与所述第二设备协商所述双向数据连接（33）的传输介质的类型，并且将在所述第二比特传输组件（46）中所接收的有用数据流转发到所述第二设备（30）。

4.根据上述权利要求其中任一项所述的网络适配器，其中所述第二比特传输组件（46）被配置成：在与介质无关的接口上接收来自所述第一比特传输组件（43）的有用数据流并且将来自与介质无关的接口的有用数据流传送到所述第二设备（30）的网络接口，优选在混杂模式中传送。

5.根据上述权利要求其中任一项所述的网络适配器，其中所述网络适配器具有介质控制单元（45、47），其中所述介质控制单元配置所述第一和/或第二比特传输组件（43、46），以用于提供预给定的或所协商的类型的传输介质。

6.根据上述权利要求其中任一项所述的网络适配器，其中所述第一和第二连接单元（41、44）被构造为用于连接传输介质的插塞连接器。

7.根据权利要求1至5其中任一项所述的网络适配器，其中所述网络适配器包括至少一个传输介质，所述传输介质与所述第一和/或第二连接单元（41、44）固定连接。

8.根据上述权利要求其中任一项所述的网络适配器，其中所述第一和/或第二比特传输组件（43、46）终止关于根据以太网标准的比特传输模式的双向数据连接（14、33）。

Images