DE102013226700A1

DE102013226700A1 - Automotive electronics unit

Info

Publication number: DE102013226700A1
Application number: DE102013226700.2A
Authority: DE
Inventors: Torsten Posch; Jürgen Leimbach; Albert Kos; Markus Groh
Original assignee: Continental Automotive GmbH
Current assignee: Continental Automotive GmbH
Priority date: 2013-12-19
Filing date: 2013-12-19
Publication date: 2015-06-25

Abstract

Eine Fahrzeugelektronikeinheit (1) weist auf einen Hypervisor (10), der eine erste virtuelle Maschine (20) und eine zweite virtuelle Maschine (30) bereitstellt wobei der Hypervisor (10) eine Kommunikationsschnittstelle (15) aufweist, die von dem Hypervisor (10) gesichert wird und eine Endgerätschnittstelle (5), wobei die Endgerätschnittstelle (5) der Fahrzeugelektronikeinheit (1) exklusiv der ersten virtuellen Maschine (20) zugeordnet ist zum Datenaustausch mit einem unsicheren Endgerät (50) und die erste virtuelle Maschine (20) und die zweite virtuelle Maschine (30) über die von dem Hypervisor (10) gesicherte Kommunikationsschnittstelle (15) verbunden sind.A vehicle electronics unit (1) comprises a hypervisor (10) providing a first virtual machine (20) and a second virtual machine (30), the hypervisor (10) having a communication interface (15) accessible from the hypervisor (10). and a terminal interface (5), wherein the terminal interface (5) of the vehicle electronics unit (1) is assigned exclusively to the first virtual machine (20) for data exchange with an insecure terminal (50) and the first virtual machine (20) and the second virtual machine (30) are connected via the communication interface (15) secured by the hypervisor (10).

Description

Die Erfindung betrifft eine Fahrzeugelektronikeinheit mit einem Hypervisor. The invention relates to a vehicle electronics unit with a hypervisor.

In modernen Fahrzeugen spielt es eine immer größer werdende Rolle, dass mobile Endgeräte, wie beispielsweise Smartphones, Tablet-PCs und Ähnliches, mit dem Fahrzeug verbunden werden können zum Austausch von Daten und/oder Befehlen. In modern vehicles, it is playing an increasingly important role that mobile terminals, such as smart phones, tablet PCs and the like, can be connected to the vehicle for exchanging data and / or commands.

WO 2013/110736 A1 offenbart ein Rechnersystem mit einem Prozessor, einem ersten Massenspeicher und einem zweiten Massenspeicher. Das Rechnersystem ist eingerichtet auf dem Prozessor einen Master-Betriebssystem-Kern sowie einen ersten und einen zweiten Betriebssystem-Kern unter Kontrolle des Master-Betriebssystem-Kerns auszuführen. Ein Speicherkontroller ist eingerichtet dem Master-Betriebssystem-Kern definierte Bereiche eines Massenspeichermediums als einen ersten und einen zweiten Massenspeicher zur Verfügung zu stellen, die jeweils voneinander unabhängig sind und eine Abbildung des ersten und des zweiten Massenspeichers auf die definierten Bereiche des Massenspeichermediums zu steuern. Der Master-Betriebssystem-Kern ist eingerichtet dem ersten und dem zweiten Betriebssystemkern exklusiven Zugriff auf jeweils einen der zur Verfügung gestellten Massenspeicher zu ermöglichen. WO 2013/110736 A1 discloses a computer system having a processor, a first mass storage, and a second mass storage. The computer system is adapted to execute on the processor a master operating system kernel and a first and a second operating system kernel under the control of the master operating system kernel. A memory controller is arranged to provide the master operating system core with defined areas of a mass storage medium as a first and a second mass memory, each of which is independent of each other and to control an image of the first and second mass storage on the defined areas of the mass storage medium. The master operating system kernel is set up to allow the first and the second operating system kernel exclusive access to one of the provided mass storages.

US 2011/0307888 A1 offenbart eine Technologie zum Schutz von virtuellen Maschinen, die auf einer Host-Vorrichtung ausgeführt werden, der einen Host-Prozessor und einen Host-Speicher aufweist. Das System kann einen Hypervisor aufweisen, der dazu ausgebildet ist, die virtuellen Maschinen konkurrierend auf der Host-Vorrichtung auszuführen. Eine gleichberechtigte Partition kann bereitgestellt werden mit einem Kommunikationskanal zu dem Hypervisor. US 2011/0307888 A1 discloses a technology for protecting virtual machines running on a host device having a host processor and a host memory. The system may include a hypervisor configured to execute the virtual machines concurrently on the host device. An equal partition can be provided with a communication channel to the hypervisor.

WO 2013/102564 A1 beschreibt ein Rechensystem mit einem Prozessor, einem ersten Massenspeicher und einem zweiten Massenspeicher. Das Rechensystem ist eingerichtet, einen Master-Betriebssystemkern sowie einen ersten und einen zweiten Betriebssystemkern unter Kontrolle des Master-Betriebssystemkerns auszuführen. Der erste Massenspeicher ist eingerichtet, eine Datenbank für eine Softwareverwaltung zu speichern, der zweite Massenspeicher ist eingerichtet, Systemdateien und Programmdateien für den zweiten Betriebssystemkern zu speichern. Der erste Betriebssystemkern ist eingerichtet, unter Nutzung der Datenbank für die Softwareverwaltung Softwareaktualisierungen für den zweiten Betriebssystemkern durchzuführen. WO 2013/102564 A1 describes a computing system with a processor, a first mass storage, and a second mass storage. The computing system is configured to execute a master operating system kernel and a first and a second kernel under control of the master kernel. The first mass storage is set up to store a database for software management, the second mass storage is set up to store system files and program files for the second operating system kernel. The first kernel is set up to perform software updates for the second kernel using the software management database.

Die US 2009/0037906 A1 offenbart eine Partitionsanpassung für logische Partitionen, die über einen Hypervisor auf einem Datenverarbeitungssystem laufen. The US 2009/0037906 A1 discloses a partition adaptation for logical partitions that pass through a hypervisor on a data processing system.

Die Aufgabe, die der Erfindung zugrunde liegt, ist es, eine Fahrzeugelektronikeinheit zu schaffen, mittels der ein unsicheres Endgerät mit einem Fahrzeug sicher verbunden werden kann. The object on which the invention is based is to provide a vehicle electronics unit by means of which an unsafe terminal can be securely connected to a vehicle.

Die Aufgabe wird gelöst durch die Merkmale des unabhängigen Patentanspruchs. Vorteilhafte Ausgestaltungen sind in den Unteransprüchen gekennzeichnet. The object is solved by the features of the independent claim. Advantageous embodiments are characterized in the subclaims.

Die Erfindung zeichnet sich aus durch eine Fahrzeugelektronikeinheit. Die Fahrzeugelektronikeinheit weist einen Hypervisor auf, der eine erste virtuelle Maschine und eine zweite virtuelle Maschine bereitstellt. Der Hypervisor weist eine Kommunikationsschnittstelle auf, die von dem Hypervisor gesichert wird. Die Fahrzeugelektronikeinheit weist eine Endgerätschnittstelle auf, wobei die Endgerätschnittstelle der Fahrzeugelektronikeinheit exklusiv der ersten virtuellen Maschine zugeordnet ist zum Datenaustausch mit einem unsicheren Endgerät. Die erste virtuelle Maschine und die zweite virtuelle Maschine sind über die von dem Hypervisor gesicherte Kommunikationsschnittstelle verbunden. The invention is characterized by a vehicle electronics unit. The on-vehicle electronics unit includes a hypervisor providing a first virtual machine and a second virtual machine. The hypervisor has a communication interface that is backed up by the hypervisor. The vehicle electronics unit has a terminal interface, wherein the terminal interface of the vehicle electronics unit is assigned exclusively to the first virtual machine for data exchange with an unsafe terminal. The first virtual machine and the second virtual machine are connected via the hypervisor-secured communication interface.

Der Hypervisor kann des Weiteren neben der zweiten virtuellen Maschine beispielsweise weitere virtuelle Maschinen bereitstellen, die beispielsweise ebenfalls über die von dem Hypervisor gesicherte Kommunikationsschnittstelle mit der ersten virtuellen Maschine verbunden sind. The hypervisor can also provide, for example, additional virtual machines in addition to the second virtual machine, which are also connected to the first virtual machine via the communication interface secured by the hypervisor, for example.

Der Hypervisor kann auch als Virtual Machine Monitor bezeichnet werden. Der Hypervisor ist insbesondere dazu ausgebildet, virtuelle Maschinen bereitzustellen und zu verwalten. The hypervisor can also be called a virtual machine monitor. The hypervisor is specifically designed to provide and manage virtual machines.

Die virtuellen Maschinen können auch als Partitionen bezeichnet werden. Die virtuelle Maschine ist ein Rechnersystem, das mittels Virtualisierung nicht direkt auf einer Hardware ausgeführt wird, sondern durch den Hypervisor bereitgestellt wird. Die virtuellen Maschinen werden somit als virtuelle Instanz einer bestimmten Hardware-Zusammenstellung ausgeführt. The virtual machines can also be called partitions. The virtual machine is a computer system that does not run directly on hardware through virtualization, but is provided by the hypervisor. The virtual machines are thus executed as a virtual instance of a particular hardware compilation.

Das unsichere Endgerät ist insbesondere ein Endgerät, das frei ist von vorgegebenen Sicherheitsvorgaben. Es handelt sich also insbesondere um ein Endgerät, das frei programmiert und/oder bedient werden kann. Das unsichere Endgerät ist somit insbesondere ein Tablet-PC und/oder ein Smartphone und/oder ein USB-Stick. The unsafe terminal is in particular a terminal which is free from predetermined security specifications. It is therefore in particular a terminal that can be freely programmed and / or operated. The unsafe terminal is thus in particular a tablet PC and / or a smartphone and / or a USB stick.

Da die erste virtuelle Maschine nur über die gesicherte Kommunikationsschnittstelle mit der zweiten virtuellen Maschine verbunden ist, können unsichere Endgeräte über eine ungesicherte Endgeräteschnittstelle mit der ersten virtuellen Maschine kommunizieren, beispielsweise zum Austausch von Daten und/oder Befehlen, ohne die Sicherheit der zweiten virtuellen Maschine zu gefährden. Somit ist eine offene, breitbandige und/oder dynamische Verbindung, beispielsweise über Bluetooth-Schnittstelle und/oder WLAN-Schnittstelle zu dem unsicheren Endgerät möglich, ohne dass die Sicherheit der zweiten virtuellen Maschine gefährdet ist. Somit können auf der zweiten virtuellen Maschine beispielsweise sicherheitskritische Anwendungen ausgeführt werden. Weiterhin kann die Kommunikation zwischen der ersten virtuellen Maschine und der zweiten virtuellen Maschine nicht durch einen mechanischen Eingriff mitgelesen oder manipuliert werden, da die Kommunikationsschnittstelle von dem Hypervisor gesichert wird. Since the first virtual machine is connected to the second virtual machine only via the secure communication interface Insecure devices communicate with the first virtual machine via an unsecured terminal interface, for example, to exchange data and / or commands without jeopardizing the security of the second virtual machine. Thus, an open, broadband and / or dynamic connection, for example via Bluetooth interface and / or WLAN interface to the unsafe terminal is possible without compromising the security of the second virtual machine. Thus, for example, safety-critical applications can be executed on the second virtual machine. Furthermore, the communication between the first virtual machine and the second virtual machine can not be read or manipulated by a mechanical intervention because the communication interface is backed up by the hypervisor.

Gemäß einer vorteilhaften Ausgestaltung ist die von dem Hypervisor gesicherte Kommunikationsschnittstelle von der zweiten virtuellen Maschine überwacht. According to an advantageous embodiment, the communication interface secured by the hypervisor is monitored by the second virtual machine.

Hierdurch kann sichergestellt werden, dass die Kommunikationsschnittstelle nicht von der ersten virtuellen Maschine manipuliert wird, sodass keine unerlaubten Daten von der ersten virtuellen Maschine an die zweite virtuelle Maschine übertragen werden oder von der zweiten virtuellen Maschine an die erste virtuelle Maschine. This makes it possible to ensure that the communication interface is not manipulated by the first virtual machine, so that unauthorized data is not transferred from the first virtual machine to the second virtual machine or from the second virtual machine to the first virtual machine.

Gemäß einer weiteren vorteilhaften Ausgestaltung weist die Fahrzeugelektronikeinheit eine Fahrzeugnetzwerkschnittstelle auf. Die Fahrzeugnetzwerkschnittstelle ist der zweiten virtuellen Maschine zugeordnet zur Kopplung mit einem Fahrzeugnetzwerk. Das Fahrzeugnetzwerk kann beispielsweise auch verteilt mit weiteren virtuellen Maschinen gekoppelt sein. According to a further advantageous embodiment, the vehicle electronics unit has a vehicle network interface. The vehicle network interface is associated with the second virtual machine for coupling to a vehicle network. The vehicle network can also be coupled, for example, distributed with other virtual machines.

Hierdurch kann die Fahrzeugelektronikeinheit in das Fahrzeugnetzwerk integriert werden und gleichzeitig die Sicherheit gewährleistet werden, da die erste virtuelle Maschine keinen direkten Zugriff auf das Fahrzeugnetzwerk hat, sondern nur die zweite virtuelle Maschine. As a result, the vehicle electronics unit can be integrated into the vehicle network while at the same time ensuring safety since the first virtual machine does not have direct access to the vehicle network, but only the second virtual machine.

Gemäß einer weiteren vorteilhaften Ausgestaltung weist die zweite virtuelle Maschine eine Sicherheitseinheit auf zum Ausführen von vorgegebenen sicherheitsrelevanten Funktionen. Die vorgegebenen sicherheitsrelevanten Funktionen können beispielsweise auch verteilt auf Sicherheitseinheiten weiterer virtueller Maschinen ausgeführt werden. According to a further advantageous embodiment, the second virtual machine has a security unit for executing predetermined security-relevant functions. The predefined security-relevant functions can, for example, also be executed distributed to security units of further virtual machines.

Derartige sicherheitsrelevante Funktionen sind beispielsweise Funktionen zum Anzeigen von sicherheitskritischen Warnhinweisen auf einer Anzeigeeinheit des Fahrzeugs. Such safety-related functions are, for example, functions for displaying safety-critical warnings on a display unit of the vehicle.

Hierdurch kann die Ausführung von sicherheitsrelevanten Funktionen in die Fahrzeugelektronikeinheit integriert werden und gleichzeitig die Sicherheit gewährleistet werden, da die erste virtuelle Maschine keinen direkten Zugriff auf die sicherheitsrelevanten Funktionen hat. As a result, the execution of safety-relevant functions can be integrated into the vehicle electronics unit and at the same time the safety can be ensured since the first virtual machine has no direct access to the safety-relevant functions.

Ausführungsbeispiele der Erfindung sind im Folgenden anhand der schematischen Zeichnung erläutert. Embodiments of the invention are explained below with reference to the schematic drawing.

Es zeigt: It shows:

1 eine Fahrzeugelektronikeinheit. 1 a vehicle electronics unit.

1 zeigt eine Fahrzeugelektronikeinheit 1. Die Fahrzeugelektronikeinheit 1 weist eine Recheneinheit 3, einen nicht gezeigten Daten- und Programmspeicher und eine Endgeräteschnittstelle 5 auf. Alternativ oder zusätzlich weist die Fahrzeugelektronikeinheit 1 eine Fahrzeugnetzwerkschnittstelle 6 auf. Die Recheneinheit 3, der Daten- und Programmspeicher, die Endgeräteschnittstelle 6 und/oder die Fahrzeugnetzwerkschnittstelle 6 können in einer Baueinheit und/oder verteilt auf zwei oder mehrere Baueinheiten ausgebildet sein. 1 shows a vehicle electronics unit 1 , The vehicle electronics unit 1 has an arithmetic unit 3 , a data and program memory, not shown, and a terminal interface 5 on. Alternatively or additionally, the vehicle electronics unit 1 a vehicle network interface 6 on. The arithmetic unit 3 , the data and program memory, the terminal interface 6 and / or the vehicle network interface 6 may be formed in a structural unit and / or distributed over two or more units.

Die Fahrzeugelektronikeinheit 1 weist zusätzlich einen Hypervisor 10 auf, der beispielsweise mittels der Recheneinheit 3 und/oder dem Daten- und Programmspeicher der Fahrzeugelektronikeinheit 1 ausgeführt wird. The vehicle electronics unit 1 additionally has a hypervisor 10 on, for example by means of the arithmetic unit 3 and / or the data and program memory of the vehicle electronics unit 1 is performed.

Der Hypervisor 10 stellt eine erste virtuelle Maschine 20 und eine zweite virtuelle Maschine 30 bereit. Alternativ oder zusätzlich stellt der Hypervisor 10 weitere virtuelle Maschinen bereit. The hypervisor 10 Represents a first virtual machine 20 and a second virtual machine 30 ready. Alternatively or additionally, the hypervisor represents 10 more virtual machines ready.

Die Endgeräteschnittstelle 5 ist exklusiv der ersten virtuellen Maschine 20 zugeordnet zum Datenaustausch mit einem unsicheren Endgerät 50. Die Endgeräteschnittstelle 5 ist hierfür beispielsweise einer ersten virtuellen Schnittstelle 23 der ersten virtuellen Maschine 20 zugeordnet. The terminal interface 5 is exclusive to the first virtual machine 20 assigned for data exchange with an insecure terminal 50 , The terminal interface 5 This is, for example, a first virtual interface 23 the first virtual machine 20 assigned.

Mittels der Endgeräteschnittstelle 5 ist ein Datenaustausch zwischen der ersten virtuellen Maschine 20 und dem unsicheren Endgerät 50 möglich. Die Endgeräteschnittstelle 5 ist beispielsweise eine offengelegte und/oder breitbandige und/oder dynamische Schnittstelle. By means of the terminal interface 5 is a data exchange between the first virtual machine 20 and the unsafe terminal 50 possible. The terminal interface 5 is for example a disclosed and / or broadband and / or dynamic interface.

Das unsichere Endgerät 50 ist beispielsweise ein Tablet-PC und/oder ein Smartphone und/oder ein USB-Stick. The unsafe terminal 50 is for example a tablet PC and / or a smartphone and / or a USB stick.

Die Endgeräteschnittstelle 5 umfasst beispielsweise eine Bluetooth-Schnittstelle und/oder eine WLAN-Schnittstelle und/oder eine USB-Schnittstelle. The terminal interface 5 includes, for example, a Bluetooth interface and / or a WLAN interface and / or a USB interface.

Der Hypervisor 10 weist insbesondere eine Kommunikationsschnittstelle 15 auf, die von dem Hypervisor 10 gesichert wird. Die von dem Hypervisor 10 gesicherte Kommunikationsschnittstelle 15 wird beispielsweise von der zweiten virtuellen Maschine 20 überwacht. The hypervisor 10 in particular has a communication interface 15 on top of that from the hypervisor 10 is secured. The one from the hypervisor 10 secured communication interface 15 for example, from the second virtual machine 20 supervised.

Die erste virtuelle Maschine 20 und die zweite virtuelle Maschine 30 sind über die von dem Hypervisor 10 gesicherte Kommunikationsschnittstelle 15 verbunden. Beispielsweise ist hierfür die erste virtuelle Schnittstelle 23 der ersten virtuellen Maschine 20 mit einer zweiten virtuellen Schnittstelle 33 der zweiten virtuellen Maschine 30 über die von dem Hypervisor 10 gesicherte Kommunikationsschnittstelle 15 verbunden. Alternativ oder zusätzlich ist die erste virtuelle Maschine 20 mit weiteren virtuellen Maschinen über die von dem Hypervisor 10 gesicherte Kommunikationsschnittstelle 15 verbunden. The first virtual machine 20 and the second virtual machine 30 are beyond those of the hypervisor 10 secured communication interface 15 connected. For example, this is the first virtual interface 23 the first virtual machine 20 with a second virtual interface 33 the second virtual machine 30 over from the hypervisor 10 secured communication interface 15 connected. Alternatively or additionally, the first virtual machine 20 with more virtual machines than those from the hypervisor 10 secured communication interface 15 connected.

Die zweite virtuelle Maschine 30 umfasst beispielsweise eine Sicherheitseinheit 37 zum Ausführen von vorgegebenen sicherheitsrelevanten Funktionen. Alternativ oder zusätzlich können die vorgegebenen sicherheitsrelevanten Funktionen auch verteilt auf Sicherheitseinheiten weiterer virtueller Maschinen ausgeführt werden. The second virtual machine 30 includes, for example, a security unit 37 for performing predefined safety-relevant functions. Alternatively or additionally, the predetermined security-relevant functions can also be executed distributed on security units of further virtual machines.

Die Fahrzeugnetzwerkschnittstelle 6 ist beispielsweise der zweiten virtuellen Maschine 30 zugeordnet zur Kopplung mit einem Fahrzeugnetzwerk 40. Beispielsweise ist hierfür eine dritte virtuelle Schnittstelle 35 der zweiten virtuellen Maschine 30 der Fahrzeugnetzwerkschnittstelle 6 zugeordnet. Alternativ oder zusätzlich kann das Fahrzeugnetzwerk 40 mit weiteren virtuellen Maschinen gekoppelt sein. The vehicle network interface 6 is, for example, the second virtual machine 30 assigned for coupling with a vehicle network 40 , For example, this is a third virtual interface 35 the second virtual machine 30 the vehicle network interface 6 assigned. Alternatively or additionally, the vehicle network 40 coupled with other virtual machines.

Die Recheneinheit 3 kann beispielsweise eine Mehrzahl von Kernen aufweisen. Die virtuellen Maschinen, insbesondere die erste virtuelle Maschine 20 und die zweite virtuelle Maschine 30 und/oder weitere virtuelle Maschinen, können beispielsweise auf die verschiedenen Kerne der Recheneinheit 3 verteilt werden. The arithmetic unit 3 may for example have a plurality of cores. The virtual machines, especially the first virtual machine 20 and the second virtual machine 30 and / or other virtual machines, for example, on the various cores of the arithmetic unit 3 be distributed.

Mittels der gezeigten Fahrzeugelektronikeinheit 1 kann das unsichere Endgerät 50 mit der ersten virtuellen Maschine 20 über die offengelegte, breitbandige und dynamische Kommunikationsschnittstelle 5 kommunizieren, ohne dass die Sicherheit der gesamten Fahrzeugelektronikeinheit 1, insbesondere der Sicherheitseinheit 37 und/oder des Fahrzeugnetzwerks 40 gefährdet ist. By means of the vehicle electronics unit shown 1 can the unsafe terminal 50 with the first virtual machine 20 via the disclosed, broadband and dynamic communication interface 5 communicate without compromising the safety of the entire vehicle electronics unit 1 , in particular the security unit 37 and / or the vehicle network 40 endangered is.

ZITATE ENTHALTEN IN DER BESCHREIBUNG QUOTES INCLUDE IN THE DESCRIPTION

Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.This list of the documents listed by the applicant has been generated automatically and is included solely for the better information of the reader. The list is not part of the German patent or utility model application. The DPMA assumes no liability for any errors or omissions.

Zitierte PatentliteraturCited patent literature

WO 2013/110736 A1 [0003]
US 2011/0307888 A1 [0004]
WO 2013/102564 A1 [0005]
US 2009/0037906 A1 [0006]

Claims

Vehicle electronics unit ( 1 ) - a hypervisor ( 10 ), which is a first virtual machine ( 20 ) and a second virtual machine ( 30 ) whereby the hypervisor ( 10 ) a communication interface ( 15 ) generated by the hypervisor ( 10 ) and - a terminal interface ( 5 ), the terminal interface ( 5 ) of the vehicle electronics unit ( 1 ) exclusive to the first virtual machine ( 20 ) is assigned for data exchange with an insecure terminal ( 50 ) and the first virtual machine ( 20 ) and the second virtual machine ( 30 ) via the hypervisor ( 10 ) secured communication interface ( 15 ) are connected.

Vehicle electronics unit ( 1 ) according to claim 1, in which the hypervisor ( 10 ) secured communication interface ( 15 ) from the second virtual machine ( 30 ) is monitored.

Vehicle electronics unit ( 1 ) according to claim 1 or 2 comprising a vehicle network interface ( 6 ), where the vehicle network interface ( 6 ), the second virtual machine ( 30 ) is associated for coupling with a vehicle network ( 40 ).

Vehicle electronics unit ( 1 ) according to one of claims 1 to 3, in which the second virtual machine ( 30 ) a security unit ( 37 ) for performing predetermined safety-related functions.