数据二极管的原理
数据二极管的核心是把物理或协议层面的回传路径去掉：硬件形态通常只在发送方向有物理通路，接收方向不存在可用链路；协议形态则由中间代理完成转发，控制网侧设备「以为」数据已经送达，外部网络无法把任何报文送回去。它解决的问题是「既要让生产数据出去，又不能把控制指令的路径留出来」。适用方向一般是控制网向外部单向上行；反方向（外部向控制网下发）在单向设备上不可实现，需要走独立受控通道。
基本信息
| 方向 | 通常为控制区向外单向输出数据，反向不可达或需另建受控通道 |
|---|---|
| 实现方式 | 硬件单向传输设备、协议代理加单向转发、带内容检查的单向网关 |
| 适配难点 | 多数工控协议依赖请求应答机制，需由代理侧本地应答或改为周期性推送 |
| 部署位置 | 控制区与外部数据消费方之间，常见于历史库、报表、上级平台的数据出口 |
| 内容控制 | 单向不等于可信，仍需在出口做文件类型白名单、格式校验与内容检查 |
| 验证方法 | 用回程探测确认反向不可达，并保留测试记录 |
典型使用场景
- 生产数据上报：把产量、状态、报警等数据送到办公网或集团平台，同时不留反向控制路径
- 上级或监管平台数据汇聚：按上级要求上报数据，但明确不允许其反向访问控制网
- 跨安全域数据交换：在两个不同安全要求的区域之间只允许文件或数据单向上行
- 高后果场景：涉及人身安全或环境影响的生产环节，宁愿牺牲部分便利也要杜绝外部操控
- 历史数据汇集：从多个控制区单向采集到统一历史库，避免历史库成为进入控制区的跳板
- 替代双向直连：把原本为了取数据而打通的双向通道改成单向上行，收敛暴露面
实现方式对照
| 实现方式 | 方向保障 | 主要代价 |
|---|---|---|
| 硬件单向设备 | 物理层无回传路径，保障最强 | 成本较高，协议适配需要专用代理 |
| 协议代理单向转发 | 由软件逻辑保证单向 | 依赖实现正确性，配置错误即失效 |
| 带内容检查的单向网关 | 单向传输加内容过滤 | 吞吐与延迟受检查能力限制 |
| 普通防火墙规则模拟 | 仅策略层面限制方向 | 属于配置约束，不是机制保证，风险最高 |
单向传输的常见工程问题是协议会「卡住」：如果采集端使用需要应答的读取协议，下行路径被切除后通信立即超时。解决办法是在控制网侧部署数据采集与缓存，把数据以推送方式交给单向设备，而不是让外部系统主动去读。