储液器与泵的联合控制：PTPFL 最难读懂的那段逻辑

储液器与泵的联合控制：PTPFL 最难读懂的那段逻辑

卫星突然拉高算力负载，热控系统收到指令：泵速上调，流量跟上。

你看着流量数据正常爬升，心里刚想松一口气——泵入口的过冷度报警亮了。不是流量不够，不是工质泄漏，是泵速加快这件事本身，让泵入口更危险了。

这不是 bug，这是 PTPFL 控制系统里最反直觉、也最容易被初学者跳过的耦合陷阱。

两个旋钮，三个约束，一个耦合问题

PTPFL 的控制目标不是让泵转快点或转慢点这么简单。系统在任何工况下，都必须同时满足三个物理约束。

约束一：泵入口过冷度 ΔT_sub ≥ 3 K。 泵必须喝到液态工质，入口一旦混入气泡，轻则效率骤降，重则气蚀损坏叶片。这是不可妥协的安全底线。

约束二：流量跟上热负荷。 蒸发器出口干度一旦失控，热源温度就跟着失控，载荷能不能工作，就看这条约束守不守得住。

约束三：蒸发温度维持在运行窗口内。 这条约束由系统饱和压力决定，而饱和压力由储液器温度锚定。

偏偏执行器只有两个：泵速 ω 和储液器加热功率 Q_h。用两个旋钮同时管三条约束，这是一个天然的耦合控制问题，不能只盯着其中一个旋钮。

双回路架构：快慢分工，时间尺度解耦

理解了三个约束和两个执行器的关系，双回路的设计逻辑就清楚了——本质是把不同时间尺度的任务分开交给不同的回路。

Loop 1（快回路，~1 Hz，秒级响应）：用流量计 FM 作为主反馈，通过调节泵速 ω 跟踪热负荷变化。热负荷突升，流量立刻跟上，这是快回路的主场。

Loop 2（慢回路，~0.01 Hz，分钟级响应）：用储液器温度 T_acc 作为主反馈，通过调节加热功率 Q_h 维持系统饱和压力和运行温度。储液器的热容量大，响应慢，但这恰好是它的优势——压力不会因为快回路的每次流量调节而剧烈波动。

安全仲裁（独立监控，最高优先级）：实时读取泵入口的 T3 + P3，计算 ΔT_sub。一旦过冷度低于阈值，安全仲裁会凌驾于两个回路之上，强制限制泵速或触发储液器升压。

对于氨工质，储液器温度每变化 1°C，饱和压力约变化 14 kPa。T_acc 不是普通测点，它是整个回路压力基准的唯一控制入口，动一下，全局都动。

耦合陷阱：泵速上调如何反噬自身

现在可以回到开篇的问题了。泵速上调，为什么会让泵入口更危险？

整个耦合链是这样的：

ω ↑ → ṁ ↑ → 管路压降 ΔP ↑ → 泵入口压力 P3 ↓ → 过冷裕度 ΔT_sub ↓

流量增大，管路沿程摩擦损失随之增大（压降正比于质量流速的平方）。这个额外压降压在泵入口的背后，导致入口静压 P3 下降。入口压力下降，距离当前温度对应的饱和压力就更近了——过冷度被侵蚀。

这条链路在热负荷突变时会快速建立。Loop 1 快速响应了热负荷，泵速上去了；但 Loop 2 是慢回路，储液器压力还没来得及跟上。在这个短暂的窗口期里，过冷裕度是最脆弱的。

Loop 2 的修复路径是：

Q_h ↑ → T_acc ↑ → P_sat ↑ → 泵入口过冷裕度恢复

储液器升温，饱和压力随之升高，整个回路的压力基准上移，过冷度裕度被重新撑开。但这个过程需要分钟级时间，而 Loop 1 的扰动是秒级的——这就是为什么热负荷突变时必须有前馈补偿而不能只靠反馈等待。

这个耦合链的物理图像如下——

Loop2 的修复速度，决定了系统在热负荷突变后的”安全窗口期”长短。如果 Loop2 的 Q_h 响应够快，窗口期几十秒就能过去；如果储液器热容量大、响应慢，安全仲裁就需要主动介入，暂时限制泵速，以时间换过冷裕度。

状态机：把连续控制和离散安全逻辑缝合起来

双回路解决了稳态和缓变工况的控制问题，但 PTPFL 还要面对启动冷态、热负荷突变、泵故障这些离散事件。用纯粹的连续 PID 回路处理这些场景，轻则控制器饱和，重则直接进入危险区。

状态机的作用，是把这些场景显式定义出来，给每个状态配上专属的控制动作。

预热阶段的逻辑值得多说一句：必须先建立足够的过冷裕度，再开泵。 反过来——冷态直接开泵——是一个经典的调试陷阱。储液器压力没有建立，泵入口几乎没有过冷裕度，大流量启动瞬间触发气蚀，看起来像泵故障，实际是控制逻辑排序错了。

【配图位置：状态机流程图。五个状态节点，箭头标注转换条件，STATE 3 过冷保护用红色框突出，STATE 0→STATE 1 的预热序列用绿色路径标注。】

前馈控制：预判轨道热冲击，而不是等它来了再应对

LEO 卫星的轨道热环境不是随机扰动，它是周期性的。每 90 分钟一个轨道，日照段和阴影段交替出现，冷凝器散热能力跟着大幅波动。

反馈控制在这里有天然劣势：热扰动已经到了才做出响应，Loop2 的分钟级响应时间让这段延迟格外漫长。

前馈控制的思路是：用星历数据提前 5 到 10 分钟预测日照/阴影切换，提前调整储液器设定点和流量设定点，把系统推到一个更安全的工作区——让扰动到来时，回路已经处于最佳待命状态。

前馈不是替代反馈，而是先把压力推高一点、流量留出裕量，让反馈回路只需要做小幅修正，不用从危险边缘往回拉。这是 LEO 热控工程里用得最顺手的一个设计策略。

【配图位置：轨道热环境前馈控制示意图。横轴为轨道相位（0~360°），上方曲线为冷凝器散热能力，下方为储液器设定点的超前调整策略，标注”提前 5~10 min 修正”的时间窗口。】

传感器配置：控制器需要”看见”什么

双回路控制的质量，上限由传感器配置决定。没有泵入口的 T3+P3，安全仲裁就是盲的；没有流量计 FM，Loop1 就变成了开环。

以下六个测点构成 PTPFL 联合控制的最小可行传感器配置：

六个测点里，T3+P3 是最关键的一对——它是安全仲裁的唯一信息来源。这两个测点的采样率建议不低于 10 Hz，保证状态机能在过冷度恶化前及时响应。

收藏备用：七条联合控制设计检查线

① 执行器分工确认 泵速 ω 负责流量跟踪（约束二），储液器 Q_h 负责温度/压力锚定（约束三），二者均参与过冷保护（约束一）。三条约束各有对应，不可混淆。

② 时间尺度验证 Loop1 响应时间 ~1 s，Loop2 响应时间 ~100 s，两者相差两个数量级——这是解耦的前提。如果 Loop2 响应时间意外变快（如储液器容积过小），需要重新评估解耦条件。

③ 耦合链裕度分析 在最大热负荷阶跃工况下，仿真或试验验证”ω上调→ΔT_sub收窄”这段过渡过程中，ΔT_sub 的最小值不低于 1 K（相对 3 K 阈值保留 1 K 余量）。

④ 储液器容积校核 储液器容积 V_acc ≥ ΔV_fluid / f_fill，ΔV_fluid 为全温区工质体积膨胀量，f_fill 为充液率（推荐 0.5~0.7）。容积过小，Loop2 控制权限受限；过大，PDO 振荡风险上升。

⑤ 传感器采样率 T3+P3（泵入口）采样率 ≥ 10 Hz。T_acc 采样率可低至 0.1 Hz（Loop2 慢回路）。流量计 FM 采样率与 Loop1 带宽匹配，不低于 5 Hz。

⑥ 状态机序列确认 STATE 0 预热阶段：储液器 ΔT_sub 建立到 ≥ 5 K 后，才允许进入 STATE 1 开泵运行。这一顺序锁必须在控制软件中硬编码，不可被操作指令跳过。

⑦ 前馈补偿策略 LEO 卫星：在日照/阴影切换前 5~10 分钟，将 Loop2 设定点向过冷方向预调 2~3 K，为热瞬态冲击保留缓冲。GEO 卫星热环境变化缓慢，前馈收益有限，以反馈为主。

PTPFL 的控制逻辑，难就难在它不是单回路的”转速→流量”这种简单映射，而是快慢双回路通过物理耦合互相影响，同时还要接受一个独立安全监控的随时介入。把这个逻辑理清楚，大部分联调中碰到的”莫名其妙的报警”，都能找到根源。

ThermOrbit 热致科技 ｜ 航天热控工程笔记