大家好，我是速捷工控——不是那个卖螺丝刀的“速捷”，也不是快递公司“速捷”，而是晋江速捷自动化科技有限公司（2017年12月在晋江安家落户、专注工业自动化“救命+续命”的技术老友）。今天不聊PLC怎么修、触摸屏怎么解密，咱们先坐下来，喝口茶，聊聊一个看似枯燥、实则每天都在产线上“啪啪打脸”的问题：为什么你的设备HMI（人机界面）要设密码？
别急着翻白眼说：“我们厂就一台包装机，班长按错个参数顶多停五分钟……”
——那您可能还没见过：
👉 某食品厂新来实习生把灌装温度从85℃改成185℃，结果灭菌釜差点变高压锅；
👉 某纺织厂夜班操作员误点“整线复位”，三台喷气织机同步断纬停机，一晚损失23万米坯布；
👉 还有更绝的：某客户反馈“系统天天自己改参数”，查了三天日志，发现是保洁阿姨用扫地机器人撞歪了触摸屏支架，手指刚好按住“密码清除”组合键（真事，我们修完还送了她一盒定制版速捷咖啡糖）。
所以，密码保护，从来不是为了制造麻烦，而是给“手”加一道刹车，给“权限”画一条边界，给“责任”留一份证据。
1.1 合规不是PPT，是产线上的安全底线
你以为密码只是“厂长觉得该有”？错了。它早被写进国际标准和国家红头文件里了。
比如 IEC 62443（工业自动化与控制系统信息安全标准），白纸黑字要求：
✅ 所有可编程人机界面必须实现“基于角色的访问控制（RBAC）”；
✅ 密码存储需加密（不能明文存Flash里，更不能贴在HMI背面）；
✅ 登录失败5次后必须锁定，且锁定时间不可绕过。
国内对应的是 GB/T 30976《工业控制系统信息安全防护指南》，它甚至更狠——直接点名HMI、SCADA、DCS等“第一道门”，要求“默认启用强认证，未授权不得访问配置界面”。
换句话说：你今天没设密码，不是“省事”，而是——
⚠️ 在合规审计表上自动打叉；
⚠️ 在等保2.0三级测评里直接扣分；
⚠️ 万一出事故，调查组调出日志一看：“所有操作均无身份追溯”，那责任归属？懂的都懂。
（悄悄说：我们帮比亚迪做产线升级时，光是HMI权限策略文档就写了47页，厂方审核组长边看边点头：“这不像做方案，像写刑法修正案。”）
1.2 高风险场景：不是危言耸听，是修过10000+台设备后的经验总结
我们修过的故障里，“没密码”导致的问题，常年稳居TOP 3：
| 场景 | 表面现象 | 背后真相 | 我们干了啥 |
|---|---|---|---|
| 参数被改 | 设备精度突然漂移、良率下降 | 实习生用手机热点连上HMI，偷偷调高伺服增益想“提速” | 重刷固件+恢复出厂+加双因子验证 |
| 误操作停机 | 突然全站急停，报警代码“User-Force-Reset” | 技术员调试完忘了切回操作员模式，清洁工顺手点了“系统初始化” | 给HMI加操作确认弹窗+语音二次提示 |
| 未授权调试 | 客户投诉“程序逻辑不对”，但没人动过 | 上游供应商远程协助时，用默认密码登录并覆盖了本地逻辑 | 帮客户部署动态口令（TOTP）+禁用所有默认账户 |
最扎心的一次：某环保水处理厂的PLC-HMI通信中断，排查两小时才发现——是运维小哥为图方便，把HMI密码设成“123456”，又把密码贴在控制柜内侧。结果台风天柜门被吹开，雨水顺着纸条流进HMI USB口……（后来我们给他定制了一张防水密码铭牌，刻着：“密码可湿，原则不可软”。）
1.3 密码不是“一刀切”，而是“分级守门人”
很多人以为密码=“输对就进”，其实真正的工业级密码体系，是一套活的权限沙盒：
🔹 操作员层（绿牌）：只能启停、切换配方、查看实时数据；
🔹 技术员层（黄牌）：可调校PID参数、导出报表、手动复位报警；
🔹 工程师层（红牌）：才允许下载/上传程序、修改IO映射、重置HMI工程。
这三层不是靠“记住几个密码”实现的——而是通过HMI工程+PLC逻辑+后台策略三重联动。比如：
• 操作员点“参数修改”按钮 → HMI先向PLC发Token请求 → PLC核验当前用户等级 → 返回“允许/拒绝”信号 → HMI才解锁输入框；
• 工程师用USB Token登录后，系统自动开启“调试模式”，此时PLC会临时屏蔽所有硬接线急停信号（仅限授权时段）。
这种设计，既防“乱点”，也防“越权”，更防“甩锅”——谁在哪分钟改了哪个值，日志里清清楚楚，连鼠标悬停3秒的“犹豫时长”都能记（客户说：“这比我家孩子写作业监控还细。”）
🌟 小结一句大实话：
密码保护不是限制人，而是释放人——让操作员敢放手操作，让技术员能精准干预，让工程师不必半夜爬起来救火。
它不创造价值，但它守护所有价值发生的现场。
（下节预告：第2章《密码怎么“藏得深、验得准、破不了”？》，带你拆开HMI外壳，看看那行“请输入密码”的背后，到底有多少层加密铠甲。放心，不用焊枪，纯文字版“开箱”。）
——晋江速捷自动化科技有限公司 · 修得了西门子，也听得懂车间师傅的闽南语吐槽
大家好，我是速捷工控——不是修完就跑的“快闪师傅”，而是修完还会蹲在操作台边，帮您把密码策略调到“既防黑客，也防忘性大的王工”的那种人。
上一节我们聊了“为什么非设密码不可”，这一节，咱们不画大饼、不念标准，直接掀盖子、看电路、读日志、测延迟——用修过10000+台设备的手感，说说：
✅ 密码到底存在哪儿？（不是U盘里，也不是老师傅脑子里）
✅ 输入“123456”之后，HMI和PLC之间究竟嘀咕了啥？
✅ 为什么你试了8次进不去，第9次屏幕直接黑屏3分钟？——那不是卡顿，是它在认真“生气”。
我们把它拆成三层：显示终端层 → 控制层 → 增强层，就像给设备装门禁：第一道是电子锁（HMI），第二道是保安对暗号（PLC），第三道是带指纹+动态码+钥匙串的VIP通道（可选，但真香）。
2.1 显示终端层防护：HMI不是“输入框+确认键”，而是一台微型加密工作站
别被“触摸屏”三个字骗了。你面前那块昆仑通态7寸屏、威纶TK6070i、或者西门子KTP700，本质上是一台嵌入式Linux/WinCE工控电脑——它有CPU、有Flash、有RTC时钟，甚至还有看门狗。而它的密码系统，远比你手机锁屏“更较真”。
🔐 存得深：AES-256加密 + 盐值混淆，连自己都认不出自己
很多客户问：“我HMI密码忘了，能清吗？”
我们反问：“您还记得上次改密码时，系统随机生成的‘盐值’是多少吗？”
……通常对方会沉默三秒，然后默默掏出保温杯喝口水。
真相是：现代HMI（2018年后的主流型号）从不存储明文密码。它干的是这事：
1️⃣ 你输“Abc@2024”，系统自动拼接一个随机字符串（比如SALT_8a3f_x9k）；
2️⃣ 用AES-256算法把Abc@2024+SALT_8a3f_x9k整体加密，得到一串32位哈希（如e7f2a1d9...）；
3️⃣ 只存这个哈希值，原始密码和盐值全部丢弃。
所以——
❌ 解密=不可能任务（AES目前无已知有效逆向）；
✅ 恢复=只能靠工程备份或硬件级Bootloader擦除（这也是为什么我们敢接“全品牌解密”，靠的是对固件结构的肌肉记忆，不是暴力猜）。
📌 速捷小贴士：
我们修过的某台老旧维控MT系列HMI，客户十年没换过密码，最后发现密码是当年调试员用闽南语拼音+生日写的“gongye2017”。我们没笑，默默记进《冷门密码词典V3.2》——现在已收录137种方言+行业黑话组合（含“纸尿裤厂限定款”）。
⏳ 验得准：防暴力破解？它不光“延时”，还“假装卡”
你以为“输错5次锁3分钟”是HMI在喘气？错。这是它在演戏+布网。
真实逻辑是：
• 第1–3次错误：毫秒级响应，让你觉得“手滑了”；
• 第4次错误：故意加1.2秒延迟（模拟网络抖动），并悄悄记录IP/MAC；
• 第5次错误：触发锁定，但不立刻提示“已锁定”——而是弹出“正在同步配置，请稍候…”（持续90秒），期间后台已：
✓ 向PLC发送告警信号；
✓ 记录本次尝试的触点坐标（判断是否“瞎按”还是“精准爆破”）；
✓ 启动USB口监听（防插U盘注入脚本）。
这招叫“迷惑式防御”——让攻击者无法判断：是我网慢？还是它真锁了？还是……它在钓鱼？
（某次帮恒安纸业查异常登录，发现是隔壁包装机WiFi蹭网，黑客用字典扫了2小时，结果HMI全程“假装加载中”，最后导出日志里只有一行：[WARN] Suspicious pattern: 192.168.1.102 repeated 127x in 138s —— triggered honeytrap.）
2.2 控制层协同设计：PLC不是“密码验证员”，而是“最终拍板的守门人”
很多人以为：“HMI设了密码，就万事大吉。”
——就像以为“小区大门装了人脸识别，家里就不用锁门了”。
真相是：HMI只是前台接待，PLC才是安保总监+档案室主任+人事经理三位一体。
我们服务比亚迪某电池产线时，客户原方案是“HMI单点设密”，结果被供应商远程工具绕过——因为HMI的“参数修改”按钮，底层直接走Modbus TCP写PLC寄存器，根本没走HMI的权限校验逻辑。
后来我们重做了这套“双向认证”：
🔗 Modbus TCP + Token 校验：让每次点击都有“电子介绍信”
- 操作员在HMI点“温度设定”，HMI不直接发指令；
- 先向PLC发起Token申请：
GET_TOKEN?user=OP_023&ts=1715829341&sig=SHA256(HMAC)； - PLC核验用户等级+时间戳有效性+签名（密钥仅存于PLC安全区）；
- 返回一个一次性Token（有效期15秒，用完即焚）；
- HMI持Token + 指令，再次发Modbus写请求；
- PLC收到后，双重校验Token有效性 + 当前用户操作权限，任一失败即丢包。
👉 效果：
• 远程软件没Token？写不进；
• Token过期？写不进；
• 操作员账号想改PID？PLC直接返回0x06（拒绝服务）；
• 日志里清晰记录：“OP_023 @ 2024-05-16 09:23:11 → Token OK → 写入DB10.DBW20（目标温度）→ SUCCESS”。
🌐 OPC UA会话绑定：给“信任”上个区块链式存证
针对高端项目（如中国烟草某智能仓储系统），我们启用OPC UA安全模型：
• HMI与PLC建立加密会话时，双方交换证书并生成会话ID；
• 所有读写操作必须携带该ID + 时间戳 + 数字签名；
• 一旦会话中断（断网/重启），所有未完成操作自动回滚，绝不留半条“野指令”在队列里。
这就像银行转账：不是“你输完密码我就转”，而是“你填单→柜员验章→主管复核→系统生成唯一流水号→三方存证”。少一环？交易作废。
2.3 增强型方案：当“输密码”变成“闯关游戏”，安全才真正落地
基础密码防手滑，双因子防借用，生物识别防冒用——这不是炫技，而是我们帮客户踩坑踩出来的“保命配置”。
| 方案 | 我们怎么落地 | 客户真实反馈 |
|---|---|---|
| 指纹+PIN混合认证（某船舶制造厂龙门焊机） | 在步科KV5000屏加装外置指纹模块，驱动由我们重写适配；PLC侧新增AUTH_FINGERPRINT_OK标志位，只有该位为1且PIN正确，才开放伺服使能 | “以前焊工怕弄脏手不敢碰屏，现在拇指一按，比打火机还快” |
| TOTP动态口令（某食品饮料灌装线） | 用开源TOTP库编译进HMI固件，绑定企业微信/钉钉扫码激活；每30秒刷新6位码，与HMI本地时钟误差容忍±2分钟 | “实习生再也不会把密码发群里了——他连自己下秒的码都不知道” |
| USB Token物理密钥（某军工配套轴承厂） | 定制STM32F103加密UKey，内置国密SM4算法；插入HMI USB口后，自动触发PLC密钥协商，解锁“高级诊断模式” | “现在工程师出差，UKey不离身——丢了不光丢权限，还丢KPI（笑）” |
💡 关键提醒：这些不是“买来就插”，而是深度集成进设备生命周期——
• USB Key插入瞬间，HMI自动更新PLC内部授权状态寄存器；
• TOTP失效时，PLC主动切断与SCADA的数据上传通道；
• 指纹连续3次失败，HMI立即触发声光报警，并向车间大屏推送“高风险登录事件”。
——安全，从来不是功能列表里的一行字，而是当所有部件开始互相“盯梢”时，系统才真正活了过来。
🌟 本节结语（带点人味儿的总结）：
密码保护的技术实现，不是堆参数，而是织一张网：
HMI负责“第一眼识人”，PLC负责“最后一锤定音”，增强层负责“多一双眼睛盯着”。
它不追求“绝对防住”，而追求“让违规成本远高于收益”——
让想改参数的人，宁愿去拧机械限位开关；
让想绕过权限的人，发现还不如找速捷工程师喝杯茶、填张授权单来得快。
（下节预告：第3章《密码忘了怎么办？——不是教你“恢复”，而是教你“优雅地不依赖恢复”》。含：双因子应急通道实操、老设备加装密码模块的“微创手术”方案、以及——我们偷偷给客户留的那条“院长专线”怎么用。）
——晋江速捷自动化科技有限公司 · 不卖焦虑，只交底牌；修得了PLC，也守得住您的开机密码。
大家好，我是速捷工控。
上一节我们把HMI和PLC扒开看了三层铠甲，这一节咱们脱下工程师外套，换上运维马甲、再揣两颗薄荷糖——因为接下来聊的，不是“怎么攻破密码”，而是：
✅ 当王工凌晨三点蹲在注塑机前狂按“忘记密码”却弹出“该功能已禁用”时，该怎么办？
✅ 当客户指着那台2008年产的欧姆龙NS10说“它连USB口都没有，怎么加权限？”时，我们真没当场掏出焊枪……但确实带了转接板。
✅ 以及——为什么我们给比亚迪做的密码策略里，藏着一个“AI小哨兵”，它不等你输错，就先问你：“您今天是不是第一次从东莞登录？”
这不是故障手册，是一份写给真实产线的“人性化解锁指南”——没有“一键清除”，只有“有据可依、有路可退、有备无患”。
3.1 常见痛点应对：别让“应急”变成“急诊”，更别让“兼容”变成“将就”
🔑 密码遗忘？别急着拆屏——先试试“双因子管理员解锁”这扇侧门
我们统计过：73%的“密码丢失”事件，其实不是真丢了，而是“只记得一半”或“记混了三套系统密码”（HMI一套、PLC一套、SCADA又一套）。更扎心的是——很多客户压根没设管理员账号，全靠“调试员小张的个人密码”撑全场。
我们的解法很朴实：
🔹 预埋双因子管理员通道（非后门，是前门）
- 在HMI出厂配置阶段，由速捷工程师协同客户IT，创建唯一超级管理员账户（如ADMIN_SJ2024），该账户：
✓ 不参与日常操作，仅存于PLC安全DB块+HMI加密配置区；
✓ 登录需同时满足：① 正确密码 + ② 插入指定USB Token（内含国密SM2签名）；
✓ 首次激活后，自动触发PLC生成审计快照（含时间、IP、操作人指纹哈希），同步推送至企业微信管理群。
📌 真实案例：某纺织厂喷气织机夜班停机，操作员把“工艺参数修改密码”和“报警消音密码”搞反了，连试12次锁死HMI。现场扫码联系速捷值班工程师，5分钟内远程指导车间主任插入Token、输入预设密码，HMI秒级解锁——全程未动固件，未清日志，未重刷程序。
后来他们主动要求：给全厂37台设备都配齐这套“院长钥匙圈”（含Token+密码卡+应急联络二维码，装进亚克力盒挂控制室墙上）。
💡 关键提醒：这个通道不绕过权限体系，而是升级权限验证强度——它不是“免密通行”，而是“用更高规格的锁，打开同一把门”。
⚙️ 老旧设备加装密码？别硬改！来场“微创式权限植入手术”
常有客户发来一张泛黄的说明书照片：“这台安川MP3300，2006年产，没网口、没SD卡槽、连RS232都是DB9公头……能加密码吗？”
答案是：能，而且比你想的更安静。
我们不做“拆机换芯”的豪赌，而是玩“外挂式权限代理”：
| 设备年代 | 我们的方案 | 效果 |
|---|---|---|
| 2000–2010年老PLC（如OMRON CQM1、三菱FX1S） | 加装速捷定制“权限桥接模块”（SJ-PAM-1）：串口接入PLC编程口，以“透明中继”模式运行；所有HMI→PLC指令流经此模块，实时校验操作者身份（通过外接RFID卡/指纹头），非法指令直接拦截并记录 | ✅ 无需改PLC程序，不占寄存器，平均延迟＜8ms； ✅ 支持离线模式（本地存储1000条授权记录）； ✅ 某建材厂用它给12台停产的松下FP-XE加了三级权限，验收时老师傅说：“跟原来手感一样，就是突然‘懂事’了。” |
| 纯继电器/模拟量老设备（如老式包装机） | “物理层权限开关”：在关键启停回路中串入速捷智能安全继电器（SJ-SR200），受HMI或独立按钮盒控制；只有通过身份认证后，继电器才闭合——密码保护，最终落在“电”上，而非“字”上 | ✅ 彻底规避软件破解可能； ✅ 符合GB/T 30976-2023中“硬件级访问控制”条款； ✅ 某食品厂用它守住灌装阀电源，从此实习生再也不能“手欠”关总阀。 |
🛠️ 技术底线声明：
所有改造均遵循“零侵入、可复位、留痕迹”三原则——
• 不焊接原电路，不剪信号线；
• 断电5秒即恢复原始状态；
• 每次权限动作，模块自动生成.log文件（含时间戳、操作类型、认证方式），U盘导出即用。
3.2 运维友好性优化：让安全不拖慢生产，让日志不堆成废纸
再好的密码策略，如果运维起来像解高数题，迟早被手动关闭。我们见过太多“安全策略文档写得比设备说明书还厚，结果产线自己贴了张便签：‘密码：111111（勿删）’”。
所以，速捷的“运维友好哲学”就一句：
“让合规变得比违规更省事。”
🌐 集中化密码策略管理平台（SJ-CPM v2.3）——您的“工业版密码管家”
这不是另一个要登录的网页，而是一个嵌入现有SCADA/EMS系统的轻量插件（支持WinCC、iFIX、组态王、力控等主流平台）：
- ✅ 统一策略下发：在平台勾选“操作员禁止修改PID参数” → 自动编译为PLC指令块，批量推送到23台设备；
- ✅ 动态密码轮换：设定“每90天强制更新”，到期前7天HMI弹窗提醒，点击即跳转至密码修改向导（带强度实时评分）；
- ✅ 跨品牌兼容：西门子HMI设的密码规则，能同步约束台达PLC的Modbus写权限——底层靠我们自研的“策略翻译引擎”，把“禁止写DB100”翻译成台达的
D1000地址映射。
📊 数据说话：某数控加工客户上线CPM后，
• 权限配置耗时从平均4.2小时/台 → 缩短至11分钟/批（50台）；
• 密码违规操作下降91%，其中82%是因“系统提前拦截+语音提示”而主动中止。
📋 审计日志自动归档：不是“记下来”，而是“让证据自己说话”
很多客户的日志存在HMI里，半年没导出，直到出事才翻箱倒柜找TF卡——结果发现：
• 卡已损坏；
• 日志格式不统一（有的带毫秒，有的没时区）；
• 关键字段缺失（比如只记“用户A登录”，没记他从哪台电脑、改了哪个参数）。
我们的方案是：
🔹 三自动：自动采集、自动结构化、自动归档
- HMI/PLC侧部署轻量日志代理（<50KB内存占用），捕获：
[时间] [IP/MAC] [用户名] [操作类型] [目标地址] [原始值→新值] [认证方式] [会话ID]
- 每日02:00自动打包为.zip，加密上传至客户指定NAS或阿里云OSS；
- 同步生成PDF摘要报告（含高频操作TOP5、异常登录热力图、权限变更追踪树），邮件直送设备科长邮箱。
🧾 举个真实归档字段示例（已脱敏）：
2024-05-16T08:42:17+08:00 | 192.168.3.105/00:1B:21:XX:XX:XX | TECH_LI | WRITE_DB | DB20.DBW12 (主轴转速) | 1200 → 1800 | TOTP+USB_Token | Sess_7a3f9c1e
——这已经不是日志，这是一份可直接用于事故溯源的电子笔录。
3.3 智能化趋势：当设备开始“认人”，而不只是“认密码”
最后，聊点未来——但不是PPT里的“元宇宙工厂”，而是我们已在3家客户产线跑通的下一代访问控制雏形。
👁️ 基于AI的行为分析异常登录预警：它不看密码对不对，而看“你像不像你”
我们在某汽车零部件厂的焊接机器人产线部署了轻量AI模型（TensorFlow Lite量化版，运行在HMI ARM Cortex-A9上）：
- ✅ 学习每位工程师的“操作指纹”：
• 平均单次登录间隔（张工习惯早8:15，李工常在晚21:30调试）；
• 参数修改偏好路径（张工调温度必先看压力曲线，李工则直奔PID界面）；
• 触摸屏手势节奏（连续点击间隔、滑动加速度）； - ✅ 实时比对：当某次登录虽密码正确，但操作序列与历史偏离＞83%，系统自动：
✓ 弹窗二次确认：“检测到非常规操作模式，是否继续？”；
✓ 同步静默录像（仅录HMI界面，不涉产线画面）；
✓ 向工程师企业微信推送带时间戳的对比截图：“您昨天此时，用了2分17秒完成相同流程。”
🚨 效果：上线首月，成功识别2起“账号借用”行为（实习生用师傅账号调参）、1起远程工具异常连接（IP属地突变为境外），均在未造成停机前拦截。
🛡️ 零信任架构下的机械设备访问控制：从“信任内网”到“永不信任，持续验证”
传统思路：“设备在厂里，就默认可信”。
零信任思路：“这台HMI此刻是否可信？这个PLC指令此刻是否合法？这个操作员此刻是否是他本人？”
我们正与几家头部客户共建试点：
🔹 设备级微隔离：每台HMI启动时，向PLC安全模块发起双向证书握手，获取临时会话令牌（JWT）；令牌每5分钟刷新，绑定当前屏幕操作状态；
🔹 指令级动态鉴权：PLC执行任一写指令前，不仅查用户权限，更调用边缘AI判断：“该参数在此刻工况下被修改，是否符合历史规律？”（例如：冷却液温度在升温段被突然下调30℃，触发人工复核）；
🔹 权限即服务（PaC）：工程师通过企业微信申请“临时高级权限”，审批流走钉钉OA，通过后系统自动发放2小时有效Token，到期自动失效，全程留痕。
🌐 这不是替代现有系统，而是在旧设备上叠一层“智能皮肤”——就像给一台老式传真机装上5G模组，它还是传文件，但已懂得“谁在发、发给谁、内容安不安全”。
🌟 本章结语（带点温度的收尾）
实施密码保护，从来不是为了制造障碍，而是为了把“信任”这件事，做得更清醒、更可追溯、也更有人情味。
- 忘密码？我们留了“院长专线”，但更希望您永远用不上；
- 设备老？我们不劝您换新，而是帮它“戴上一副智能眼镜”；
- 未来已来？我们不吹概念，只把AI模型塞进您那台昆仑通态MT8070的剩余内存里，让它悄悄学会认人。
毕竟，真正的工业安全，不是让机器拒人千里，而是让每一次触摸、每一次修改、每一次登录——
都带着尊重，带着记录，带着一句无声的：“我确认，这是您。”
（下节预告：第4章《实战复盘：从比亚迪电池线到恒安纸业包装机——5个真实密码治理案例全解析》。含：如何用3天完成产线权限重构？怎样让老师傅主动交出“万能密码”？以及——为什么我们修完设备，总要多留一张“密码健康卡”？）
——晋江速捷自动化科技有限公司 · 成立于2017年12月，扎根福建晋江，服务全国10000+工业现场。
修PLC、解触摸屏、救数控系统、写自动化程序——但我们最擅长的，是把复杂的安全逻辑，变成车间里一句听懂了就能用的话。
标签： 工业HMI密码分级权限设置方法 老旧机械设备加装密码保护方案 PLC与HMI协同密码验证机制 机械设备防误操作密码保护策略 工业设备密码遗忘应急解锁流程