1. 课程导入与Marvell DPU全景
在云计算与 AI 集群规模不断扩张的今天，数据中心面临一个结构性矛盾：通用 CPU 既要运行业务应用，又要承担网络、存储、安全等基础设施任务，导致宝贵的算力被大量"杂务"消耗。DPU（Data Processing Unit，数据处理单元）正是为解决这一矛盾而生的专用处理器。本课程聚焦 Marvell 的 DPU 产品线，围绕安全隔离与基础设施卸载两大核心价值展开，帮助读者建立从硬件定位到实际部署的完整认知。
DPU 在数据中心中的定位
要理解 DPU，先要理解数据中心的三类计算资源分工。传统架构中，CPU 是唯一的通用计算单元，网卡（NIC）只做简单的数据搬运。随着 25G/100G/400G 网络普及，以及虚拟化、容器、微服务带来的海量连接，CPU 在协议栈处理、加密解密、存储转发上的开销急剧上升。业界逐步形成"CPU 负责应用、GPU 负责并行计算、DPU 负责基础设施"的三元分工。
DPU 通常以 PCIe 加速卡形态插入服务器，位于主机与网络之间，具备三个关键特征：一是拥有独立的通用处理器核（如 Arm 核）和专用加速引擎；二是可编程，能运行完整的操作系统与网络协议栈；三是具备独立的内存与网络接口，可在主机之外独立处理数据。这意味着 DPU 既能"卸载"主机 CPU 的负担，又能作为主机与外部网络之间的安全边界，实现流量隔离、访问控制与加密隧道。
Marvell OCTEON 与 BlueField 系列对比
Marvell 的 DPU 产品线主要包含两大系列，理解它们的差异是选型的基础。
OCTEON 系列源自 Cavium 的成熟多核网络处理器架构，长期用于路由器、防火墙、基站等网络设备。其特点是集成大量 Arm 核（从数核到数十核）、丰富的网络与安全加速引擎（如加解密、压缩、正则匹配），并支持可编程流水线。OCTEON 更偏向"网络与安全数据面加速"，适合作为 SmartNIC、安全网关、5G 用户面等场景的核心芯片。
BlueField 系列源自 Mellanox（后被 NVIDIA 收购，Marvell 在相关技术路线中亦有对应布局与竞争产品），其设计理念是"以 DPU 为中心的主机架构"，强调与主机 CPU 的紧耦合、PCIe 与网络双面连接、以及对虚拟化与存储的深度支持。BlueField 类产品通常提供强大的 Arm 子系统、可编程数据面与完整的软件栈，适合云原生、裸金属云、存储卸载等场景。
| 对比维度 | OCTEON 系列 | BlueField 类系列 |
|---|---|---|
| 架构来源 | 多核网络处理器演进 | 以 DPU 为中心的主机架构 |
| 核心优势 | 网络/安全数据面加速 | 虚拟化、存储、云原生卸载 |
| 典型场景 | 防火墙、网关、5G UPF | 裸金属云、存储节点、容器网络 |
| 可编程性 | 流水线 + Arm 核 | Arm 子系统 + 可编程数据面 |
| 安全隔离侧重 | 流量检测与加密加速 | 主机与网络间隔离域 |
需要说明的是，具体型号的核数、带宽、加速引擎配置差异很大，选型时应以官方数据手册为准。本课程后续章节会结合具体型号展开参数与配置细节。
安全隔离与基础设施卸载的核心价值
基础设施卸载解决的是"算力浪费"问题。以典型的容器网络为例，主机 CPU 需要处理 vSwitch 转发、VXLAN 封装解封装、IPsec 加密、TCP 重传等。在 100G 网络下，这些操作可能占用数十个 CPU 核。将这些任务下沉到 DPU 后，主机 CPU 可专注于业务容器，整体吞吐提升、时延更稳定、能耗更优。
安全隔离解决的是"信任边界"问题。传统架构中，安全策略（防火墙、入侵检测、访问控制）往往运行在主机内部，一旦主机被攻破，策略即失效。DPU 作为独立执行域，可在主机之外实施策略：所有进出主机的流量先经过 DPU 的检查与过滤，主机无法绕过。这形成了"零信任"架构中的关键一环——即使主机不可信，网络边界仍然可控。
两者的关系可以这样理解：卸载是"把活干完"，隔离是"把门看好"。DPU 同时承担这两个角色，才真正释放了数据中心的潜力。下图展示了 DPU 在主机与网络之间的位置，以及它同时承载的卸载与隔离两条路径。
从图中可以看到，主机 CPU 原本承担的基础设施任务（橙色块）被转移到 DPU 的网络与安全加速引擎上，主机侧只保留策略下发与状态同步的轻量代理。DPU 同时面向主机和网络两侧，既接收卸载任务，又执行隔离策略，最终将处理后的流量转发到外部网络。这种"双面连接"正是 DPU 区别于普通网卡的关键。