下一代商用计算机什么形态：邦彦给的是云端真机加本地双主机

本文解读：《2026下一代商用计算机NGCC技术架构白皮书-邦彦技术》 · 共 34 页 · 原文

下一代商用计算机不是更薄的笔记本，而是把计算放回独立物理机，只留一个交互入口在用户手边。

邦彦技术这份 NGCC 白皮书 V4.22 共 32 页，给出的答案是一句话的核心加两条产品线： 以云端真机为核心，CPC 承载云端主线，DPC 把独立物理计算延伸到本地双主机。

它真正想解决的是 AI 带来的新问题：员工同时用内部系统、私域模型、公有模型和智能体， 数据副本、网络连接和本地权限分散在多台设备上，管理者只能逐一维护，靠网络位置授予权限也不再可靠。

报告的结论很硬气：虚拟化云 PC 只是特定场景的例外配置， 不能用来定义这类产品，也不能和真机形态并列。

这轮变化的本质不是桌面虚拟化升级，而是把“真机”重新变成可授权、可验证的资源。

图源：《2026下一代商用计算机NGCC技术架构》（第1页）

一、传统 PC 与 VDI 都卡在同一个地方

传统 PC 把交互、计算、存储、网络和外设全部集中在设备内，好处是本地独立运行、外设适配直接、使用灵活。

代价出现在需要不同信任环境协作的时候：数据副本、网络连接和本地权限分散到多台设备， 管理者得逐一掌握状态，还要维持一致策略。

VDI 换了思路，用虚拟机承载桌面系统和应用，再向用户提供远程桌面。 它和真机可以有一模一样的显示与操作体验，但计算承载机制完全不同。

报告把 AI 单独拎出来作为第二个变量：员工通过内部系统、私域模型、公有模型和智能体完成工作， 外部信息会影响任务执行，工具调用可能持续访问多个系统，业务知识还可能通过问答或生成结果传播出去。

这意味着计算架构要为不同信任条件提供明确的运行环境，而不是只凭“在内网”就默认授权。 集中部署和本地部署也面对同一个问题：资源有没有明确身份，谁能从何处使用，异常时怎么收回访问。

问题从来不是算力不够，而是算力归属说不清、边界画不实。

图源：《2026下一代商用计算机NGCC技术架构》（第3页）

二、定义分四层：真机、三域、两条线、一个平面

报告给的统一定义是：NGCC 是以云端真机为核心的下一代商用计算机架构， 用独立物理计算单元承载用户操作系统、应用和业务数据。

定义依次展开四层：云端真机确立技术本质，三域分离说明责任结构， CPC 与 DPC 说明产品形态，DMS 说明管理与协同关系。

与之配套的还有两样东西。DTP 是桌面传输协议，属于相应实现的数据平面； DMS 即桌面管理系统，归属 CPC 产品体系，统一纳管资源与授权关系。

报告特意划了一条红线：vPC 即虚拟化云 PC 实例，仅为限定场景的例外配置， 必须单独标识和验证，不能用“物理或虚拟均可”替代核心定义。

它也说明了这个框架的性质：不是国家或行业标准，符合性结论要写清产品版本、运行模式、 适用要求和测试证据，实际方案可以和传统 PC、VDI 云桌面、既有业务系统并存。

把例外说成常态，是这类产品最容易犯的错，报告先把这个口子堵上了。

图源：《2026下一代商用计算机NGCC技术架构》（第4页）

三、三个域是责任分工，不是三台设备

三域分别是终端接入域、隔离传输域和业务计算域，各管一段，合起来才完成一次使用。终端接入域负责显示、输入、身份接入和受控外设。CPC 可以由专用终端或软件客户端承担， DPC 则由设备内的相应交互功能承担。

隔离传输域限定交互的端点、类型、方向和接口。CPC 通过传输协议和结构实现远端交互， DPC 通过本机受控接口实现，跨资源访问走适用接入机制。

业务计算域才是真机所在：以独立物理计算单元承载操作系统、业务应用、数据和业务网络。最容易误解的一点，报告专门写了：三域是围绕真机建立的责任模型，不等同于三台设备， 也不等同于三个业务安全域。DMS 在上层组织对象与授权。

报告还把责任域、安全域、业务域分开使用：责任域说功能分工，安全域说信任与数据边界， 业务域说业务系统与 AI 能力的治理归类。一个业务计算域的多个环境， 不能因为共用入口就被当作共用信任边界。

共用一个入口，不等于共用一个信任边界，这是整套架构的地基。

图源：《2026下一代商用计算机NGCC技术架构》（第5页）

四、CPC：终端不留数据，真机在云端

PANSTONE CPC 全称云端物理计算机，用云端真机承载用户系统、应用和数据， 经 DMS 管理和显式授权后提供使用能力。

报告提醒：云端真机说明的是物理承载本质，不能简单理解为“底层有台服务器”。 真正的支撑是三条——终端零数据、结构级物理隔离、DMS 管理交付。

上面引用的数据都能在原文里找到出处，报告放在运营动脉（www.yydm.cn），搜标题即可。

遇到统计口径不一致的地方，回原文核一眼，比对两三篇二手解读要快得多。

身份被拆成三份分别管理：用户身份回答谁在用，终端身份回答从哪个入口接入， 真机环境身份回答在哪台独立计算机上执行。每个环境固定归属一个安全域。

接入终端也要区别对待。专用终端按业务数据不持久化的目标配置并取证验证； 软件客户端跑在通用操作系统上，宿主可能具备截屏、缓存和外设能力，风险要单独评价。

存储形态不影响计算主体。存算一体还是存算分离，只是存储组织方式不同； 共享存储或共享网络，也不等于把用户环境给虚拟化了。

vPC 在这里再次出现，但被严格限定：采用时要列明场景、型号版本、绑定资源和隔离机制， 单独验收，不作为默认交付。

终端只是显示器加身份凭证，数据从来不落在用户手里。

图源：《2026下一代商用计算机NGCC技术架构》（第7页）

图源：《2026下一代商用计算机NGCC技术架构》（第2页）

五、DPC：一台设备两个真机，各自算各自的

DPC 全称双主机计算机，在一台设备里集成两个独立物理主机， 两侧分别承载计算资源、操作系统、应用、数据和业务网络。报告对它的解释是三个词：一机整合操作体验，双主保留两套计算自主性， 分域保持不同工作环境的信任边界。

两个主机的角色不预设。可以是不同业务、不同安全域或不同任务， 报告明确否定了“一主一从”“一主一备”“一人一AI”这类固化假设。

双机协同也有两种含义：操作协同指在同一台设备上方便地使用两个环境， 任务协同指经获准机制做必要的信息衔接。共享显示或输入，并不意味着剪贴板、文件、USB 和业务网络互通。

有个细节值得注意：共享机箱、电源、散热或管理组件会形成共同故障条件。 物理分域评价的是计算与数据边界，连续性要另外评价，两件事分别出结论。

接入 DMS 后，两个主机分别纳管，与 CPC 真机组成统一资源池。 纳管不需要把主机转成虚拟机，也不自动改变本地数据的位置。

一块屏幕、一台机器，里面住着两个互不认识的系统。

图源：《2026下一代商用计算机NGCC技术架构》（第8页）

六、统一资源池管的是授权，不是合并算力

DMS 归属 CPC 产品体系，统一纳管 CPC 真机与 DPC 的两个物理主机， 形成的资源池是管理与授权意义上的集合，不是把 CPU 和内存拼成一台大机器。

报告用一句话划界：资源池不预设把各主机资源合并为一台逻辑计算机。 自动调度、迁移、弹性伸缩、多用户复用和自动故障接管，都要单独验证，不能顺带承诺。

对象模型分六类：设备或物理节点、主机或计算资源、运行环境或实例、用户或身份、接入入口、访问会话。 DPC 整机记录不能替代两个主机分别纳管，虚拟实例数量也不能顶替真机数量。

生命周期是五步：接入、授权、使用、回收、退役。 报告点出两个常见认知错误：从资源目录删记录不等于擦除数据，撤销 DMS 访问权也不等于注销业务应用账号。

管理平面和交互平面也分开了。资源能被 DMS 管理，不等于业务流量必须穿过 DMS， 具体链路、网关和协议端点在部署图里单独标注。

统一纳管只统一授权视图，绝不意味着统一数据存放位置。

图源：《2026下一代商用计算机NGCC技术架构》（第11页）

七、双向访问的前提是两条路、一套授权语义

纳管之后，两条访问路径成立：CPC 终端访问获准的 DPC 主机，DPC 也能接入获准的 CPC 环境。路径 A 里，目标必须明确到主机一或主机二及其环境，应用执行和数据保存遵循目标主机配置， CPC 终端只负责显示、输入和经允许的外设交互。

路径 B 里，用户从 DPC 入口建立到 CPC 环境的会话，云端应用和数据仍归属目标 CPC 环境， 能不能下载、打印、映射外设，由具体策略控制。

报告反复强调一句：授权允许进入环境，不自动允许在两个环境之间传文件、剪贴板、凭证或网络流量。 身份认证、环境访问、数据传输要分别建策略、分别留证据。

故障场景列了五种：DPC 本地运行、管理链路中断、交互链路中断、目标资源离线、节点重新上线， 每种都规定了对现有会话、新建会话和本地使用的不同处理。

撤销授权同样分两件事：拒绝新建会话，和结束已建立会话，必须分别验证。 审计证据至少要串起用户、入口、目标、时间、授权结果、会话状态和策略版本七项。

能进去不等于能带走，这两件事在架构里必须拆开设计。

图源：《2026下一代商用计算机NGCC技术架构》（第13页）

八、七项原则落实成十二条验收用例

七项原则一条条读下来，本质是七个“不许糊弄”。第一是终端降权与数据驻留可控，零数据要覆盖缓存、日志、传输文件、崩溃转储、打印和外设路径， 不能只查用户目录。第二是结构级隔离，逻辑隔离配置不能直接等同于物理隔离。

第三是独立真机与专属计算资源，CPU、主存和加速资源的归属要先于性能测量， 共享资源配额达标不能替代物理承载要求。第四是一人多环境与显式授权， 用户能访问两侧，不代表两侧数据可以互通。

第五是单环境单安全域，跨域传输另设获准路径。第六是计算位置与使用位置解耦， 但可移动接入要满足网络、身份、入口可信和授权条件。第七是统一纳管与生命周期治理， 管理集中必须配权限分工和审计。

落到验证上，报告给了 T00 到 T11 共十二条用例：T00 核真机基线，T01 核双主机分别纳管， T02、T03 核两个访问方向，T04 核跨域传输是否真被挡住，T05 核撤销与会话， T06 到 T10 覆盖本地远程冲突、故障离线、数据驻留、结构旁路与性能恢复，T11 只服务于 vPC 特例。

报告对结论的措辞很克制：本章给出验证框架与用例要求，不宣称已经完成所列测试； 缺少测试不能标记为通过，确属不适用要记录原因与替代控制。

架构写得再漂亮，管理界面显示一个实例也算不上真机证据。

图源：《2026下一代商用计算机NGCC技术架构》（第16页）

九、AI 场景怎么用，边界说得很清楚

报告把 AI 场景单列一章，但刻意不做技术承诺，只讲承载分工。

CPC 支持在云端环境承载相应任务；DPC 可以用两个独立主机分置不同信任条件的任务； 纳管后两类资源在统一授权体系下使用。两个主机怎么分工，按数据、网络、工具权限和任务风险确定。

它对应了另一份安全计算架构白皮书的五类业务域：S5 核心域、S4 企业业务域、 S3 互联网访问与安全代理域、S2 Agent 执行域、S1 外部生态域。 报告提醒，业务域、能力层和架构责任域是三个视角，不能简单一一对应。

结论落在一句划线的话上：物理分域提供计算边界，不能替代对 AI 任务内容和执行行为的治理。 模型与知识权限、工具审批、任务责任、输出复核和审计，仍然归上层应用与治理机制。

白皮书还给了三种部署选择的对照：CPC 集中部署关注终端类型、集中容量与网络连续性； DPC 独立本地部署关注主机边界、外设切换和本地数据保护；混合部署关注会话冲突、域边界与异构适配。

连 RTO、RPO 也写得很死：要按具体业务、故障情境和配置分别确定，不能拿架构名称推定数值， 恢复后还要核实数据版本、权限和安全域是否一致。

这份 32 页白皮书的完整章节、三域图、七项原则与 12 条验收用例， 都在运营动脉（www.yydm.cn）上，搜报告名即可打开。