在云計算出來之前，大多數(shù)的商業(yè)模式、計算模式都是自家的機器服務(wù)自家。云計算出來之后，這一場景發(fā)生了變化，人們開始依賴于把自己需要的服務(wù)放在別人家的機器里，而你沒法確認機器是否在做它該做的事情。當我們使用云服務(wù)時，如何知道云上的某些管理員或者程序是否保證了我們所使用服務(wù)的安全可靠，那些近乎居于“王座”的大型云服務(wù)商的服務(wù)又是否安全可靠。

三權(quán)分立，是西方一種關(guān)于權(quán)力架構(gòu)和權(quán)力資源配置的政治學說，主張行政、立法和司法三種權(quán)力分別由不同機關(guān)掌握，各自獨立行使、相互制約制衡。三權(quán)分立的政治思想，可以幫助我們解決云中“封建王權(quán)”的問題。

如圖1所示，描述了一個簡化的云基礎(chǔ)設(shè)施，云用戶U將其應(yīng)用程序A部署到云服務(wù)提供商P的基礎(chǔ)設(shè)施上，服務(wù)提供商P執(zhí)行云服務(wù)來支持應(yīng)用程序A。由于可能存在外部對手或者內(nèi)部惡意人士，用戶U會尋求可信第三方T的認證來保證P的可信性。

用戶U可能會擔心存在以下威脅：

1.不可信的云服務(wù)提供商P

P可能無法加載足夠的云服務(wù)組件Si以滿足用戶U的SLA（服務(wù)等級協(xié)議，即“合同”）。

2.入侵者或者內(nèi)部惡意人士M

M可以篡改應(yīng)用程序A或者云服務(wù)組件Si，以違反SLA或者篡改用戶U的數(shù)據(jù)。

3.有缺陷的可信第三方T

T可能無法及時有效地報告上述威脅。

為了構(gòu)建一個可信、開放的云生態(tài)系統(tǒng)，需要解決以上三種威脅，使用戶U能夠：

1.確定參與服務(wù)其應(yīng)用程序A的確切云服務(wù)或者惡意軟件；

2.確定已識別的每個服務(wù)或惡意軟件的確切屬性；

3.根據(jù)需要，在眾多第三方提供商中自由選擇獲取上述信息。

“三權(quán)分立”模型（Separation-of-Powers，簡記為SoP）可以幫助我們實現(xiàn)這三個目標。

SoP的核心思想是將云服務(wù)提供商的定義、執(zhí)行、檢查權(quán)分配給三個各自獨立的角色。由這三個角色協(xié)作來證明云服務(wù)的可靠性，同時限制彼此的行為從而實現(xiàn)權(quán)力的平衡。SoP由以下三個模型組成：

角色模型

定義了實現(xiàn)SoP的三個角色。

協(xié)作模型

指定三個角色如何協(xié)作實現(xiàn)云服務(wù)認證。

約束模型

執(zhí)行三個角色間的約束條件以及同一角色執(zhí)行方之間的約束條件。

圖1描述了SoP的角色模型。CSE作為云服務(wù)執(zhí)行機構(gòu)，執(zhí)行符合客戶要求的云服務(wù)；TER作為信任證據(jù)報告機構(gòu)，負責檢查CSE執(zhí)行的云服務(wù)行為；SPD作為軟件屬性定義器，負責定義云服務(wù)每個軟件組件屬性。在角色模型中，CSE的權(quán)力被TER和SPD所限制。

圖2描述了三個角色之間的協(xié)作方式。用戶從三個角色那里收集信息，以此來驗證云服務(wù)的可信度，從而做出決策。收集的信息包括：TER提供的執(zhí)行情況摘要，其中記錄了為服務(wù)目標應(yīng)用程序而加載的云服務(wù)的身份信息；CSE提供的服務(wù)清單，聲明了每個云服務(wù)的軟件組成；SPD提供的屬性定義列表，對每個服務(wù)組件的屬性進行了認證。

約束模型的設(shè)計是為了防止TER和SPD獲得過多的權(quán)力，從而平衡權(quán)力。圖3描述的互檢約束模型是TER和SPD相互進行約束；圖4描述的多方約束模型表示CSE可以為每個角色雇傭多個執(zhí)行方，CSE可以有多個SPD來定義其軟件組件屬性，也可以雇傭多個TER來負責檢查它的服務(wù)執(zhí)行情況。

基于Trias CEO阮安邦博士提出的云平臺可信安全治理的三權(quán)分立模型的科研積累，Trias采用了三權(quán)分立的模型理念，在完全去中心化與完全中心化的治理結(jié)構(gòu)之間，利用三權(quán)的相互協(xié)作與制約，很大程度上解決區(qū)塊鏈和智能合約現(xiàn)有的權(quán)利監(jiān)管不足的問題，實現(xiàn)了權(quán)力的動態(tài)平衡，從而最終實現(xiàn)信息世界的公平與公正。