空间核动力装置控制系统设计分析及启示

张玮瑛，贾玉文，段天英，刘 勇，尹 凯，龚 琳

（中国原子能科学研究院 核工程设计研究所，北京 102413）

0 引言

空间核动力是一种典型的国家战略核心军民两用技术，受到各国的高度重视。由于其深空任务的复杂性和特殊性，对其控制系统的研发提出较多独特的挑战［1-3］。地面核反应堆的自动控制技术已较为成熟，主要基于经典控制理论完成回路控制任务，依赖于不同程度的人为控制和决策，受益于定期的人工维护。相比之下，空间堆的控制系统须在长时间的空间任务周期内保证装置连续稳定运行，期间直接的人机交互有限，且无硬件维护或传感器校准等机会，还需应对异常事件、设备故障等问题。因此，不能依靠持续、即时的人机交互，不确定性高，需应对罕见事件、设备退化等，是空间堆控制系统须应对的独特挑战，需优化空间堆控制系统的设计，以应对挑战。

1 空间堆控制系统特点

1.1 自主控制技术

1.1.1 概念与内涵

空间堆控制系统属于自主控制系统，与地面核设施常规的自动控制系统不同。如图1 所示，自动控制由固定的控制算法产生控制动作，通常工作在有限的、确定的全局状态下；不需要操作员对正常运行事件进行实时干预，人工完成大多数重要的决策，而不由控制系统完成。相比之下，自主控制集成了自动控制、诊断和决策功能。虽然自动控制技术已较为成熟，但自主控制更难实现，目前经验基础十分有限。地面核电站暂无自主控制运行经验，空间堆除简单的控制回路自动化外，无真正意义上成功的自主控制经验。

图1 自动控制与自主控制结构原理Fig.1 Schematic diagram of autocontrol and autonomous control

1.1.2 自主控制功能

自主控制的功能主要在以下几方面扩展了常规控制系统的范围。

1）在所有运行工况或阶段，均需提供自动控制，空间堆自主控制覆盖核动力装置的地面阶段、发射准备阶段、发射及部署阶段、任务运行阶段、任务终结处置阶段等整个寿期。

2）在不确定性较高的复杂环境下，优化系统性能（例如自调整）。

3）持续监控、诊断装置运行和安全相关的重要参数及性能指标。

4）诊断和处理关键设备异常状况。

5）对各种有限寿命设备（如电池、执行器）进行灵活控制和保护。

6）适应不断变化或降级的外界环境条件。

7）可在一定程度上控制系统的自确认与维护。

1.1.3 自主控制特点

自主控制的主要特征有智能控制、鲁棒性、优化控制、灵活性和适应性。

智能控制有助于最大限度地减少或不依赖人为干预，基于实时诊断和预测功能，系统具有一定的决策和管理权限。此外，系统可根据数据、指令、装置性能信息等综合评估，进行一定程度的自我状态确认。航天领域针对故障自诊断、规划与自适应控制等核心智能技术，已有一定的技术积累和成功经验［4］。

鲁棒性主要应对设计过程的不确定性，故障管理是提高鲁棒性的重要方式。故障管理有故障避除、容错控制、故障预测等技术。此外，鲁棒性可能涉及自我维护或自我修复。

优化控制指对控制需求的快速响应、与最小偏差高效地控制执行器动作。通过自整定和其他形式的适应来促进优化控制。灵活性和适应性可通过多样化的测量、通信方式和多种控制解决方案实现。以上特征仅代表自主控制的可能性，但不构成必要的集合。因此，自主控制可被视为所提供的一系列能力，其中自动控制是其基线。

1.1.4 自主控制技术核能领域研发现状

如表1 所示，以美国的控制系统研发现状为例［5］，自主控制在核能领域实际应用经验较少，地面核电站暂无自主控制实际的运行经验，早期的Ⅰ代核电站仅有手动控制功能，Ⅱ代核电站主要基于模拟技术实现一定的自动控制功能，Ⅲ代核电站自动化程度更高，开始具备协同控制功能及部分自诊断功能。核能领取空间堆的自主程度最高，需具备一定的决策、控制和诊断功能，但目前除简单控制回路自动化有成功的运行经验外，自主控制更多地处于设计和研究状态。

表1 美国核设施控制系统自主化等级Tab.1 Autonomy levels in the control systems of the U.S.nuclear facilities

1.2 与地面堆控制系统异同

在地面传统核电工业中，单输入和单输出的经典控制一直是实现独立控制回路自动化的主要手段。目前，已有采用多变量控制技术的案例，如蒸汽发生器的三元控制器。另外，一直尝试基于总体控制目标，协调控制多个控制回路，扩大自动化范围。最先进核电控制技术的应用主要是在大学和国家实验室的研究领域，如自适应鲁棒控制、模糊控制、基于遗传算法的优化控制、神经网络控制、监督控制等，目前暂无工程经验。

空间堆控制系统与地面堆存在较大差异。

1.2.1 任务周期与控制任务不同

空间堆控制系统包括从地面阶段、发射准备阶段、发射及部署阶段、任务运行阶段到任务终结处置阶段等整个寿期内的连续控制；地面堆的工况划分虽更为复杂，有冷/热停堆、功率运行、事故工况、换料工况、计划停堆等，但各阶段均由可人工干预，不要求控制系统连续完成所有工况下的自动控制。

1.2.2 自主控制程度不同

地面堆自主控制程度要求较低，除回路自动控制功能外，目前仅需专家系统等辅助决策系统，重要决策和操作过程主要依赖经验丰富的操作员；空间堆控制系统的自主化程度要求较高，除自动控制功能外，还需具有故障诊断与处理、状态预测、决策等功能。

1.2.3 控制架构及硬件组成不同

地面堆控制系统的控制架构往往采用成熟的大型分布式控制系统（Distributed Control System，DCS）系统，配套硬件设备一般包括供配电系统、控制柜、服务器、工程师站、操作员站、主控室等，需要与其配套的控制电厂房完成控制电系统的硬件部署。但空间堆控制系统受限于太空任务，往往仅由主控机配合航天器平台相关设备，硬件设备组成简单，集成度高，对控制系统顶层架构设计和软硬件设计均提出了更高的要求。

1.3 研发挑战

空间堆控制系统须能够为持续长达10 年甚至更长时间的任务提供连续、远程、（通常）无人值守的操作。首先，由于存在通信延迟和中断，系统的监测控制、故障诊断与处理、重要决策等依赖直接的人机交互不可行，需要其具有高度的自主控制能力。另外，考虑到装置发射，尺寸和质量限制较大地影响了冗余和多样化系统的选择，增加了对控制系统高鲁棒性的需求。由于深空任务，不可能进行系统的人工维护，这对系统提出了长寿命高可靠性的需求。最后，由于不同空间任务对功率（瞬时和稳态）的需求不同，空间反应堆的功率必须具备一定负荷跟踪能力。保护系统的设计也需要考虑空间堆的重启能力，与地面核电站不同，必须强调是空间任务的保障而不是反应堆的保护。

考虑到空间任务的挑战，空间堆控制系统除提供正常运行的自动控制外，还须提供一定程度的自主性。从某种意义上说，空间堆控制系统的作用是作为地面人类操作员的延伸，才可确保空间堆在复杂条件下长寿期内可靠、连续地运行。

因此空间堆控制系统的研发需要重点关注自主控制系统的架构设计、全寿期各个阶段多种控制策略的协同设计以及故障诊断等自主控制功能的设计。由于目前空间堆控制系统的实际工程经验主要聚焦于基本控制需求的实现，本文将重点从控制系统总体要求与架构设计、自动启动控制方案、功率运行协调控制方案等几个方面分析目前的空间堆控制系统研发现状，为我国未来空间堆控制系统的研发提供一定的启发和建议。

2 美国典型型号空间堆控制系统设计

2.1 SP-100 空间核反应堆

SP-100 是1983 年美国在战略防御倡议（Strategic Defense Initiative，SDI）的背景下，开展设计的最主要的一种空间核反应堆电源的设计型号。初步设计以100 kW 为重点，运行期为7 年［6］。SP-100 技术路线的优势是，热电转换系统位于反应堆外部，可变换使用不同的热电转换系统（温差、布雷顿、朗肯、斯特林、热光伏、碱金属、堆外热离子等），满足不同的用途和功率需求。SP-100 最终设计可在几十千瓦到几百千瓦之间缩放，通用设计定为100 kW，以便适应各种类型的任务［7-8］。

2.1.1 控制系统架构设计及总体要求

1）总体要求。SP-100 控制系统根据其任务背景等确立其控制系统的顶层总体要求［7］是在航天器10 年的任务周期内提供稳定、安全的运行，包括：①高稳定性；② 高可靠性，控制系统的初步分配为0.996，以实现总体任务可靠性要求0.950；③单个元件故障都不能显著降低输出电流；④ 自主运行（连续自主运行不少于6 个月）；⑤ 模块化；⑥ 启动后10 h 内达到发电满功率；⑦ 保留发射前和发射事故下的反应性控制功能；⑧ 在预定的异常状态下可实现自动停堆。

2）系统架构设计。反应堆控制系统有2 套冗余的控制驱动器、传感器、控制器及配套软件［9］。

SP-100 控制系统原理框如图2 所示，主要包括以下功能：①过程检测与处理；② 驱动指令处理及状态判断；③状态预测；④ 反应堆控制（控制策略，配置管理等）；⑤ 任务终止时钟管理。

图2 SP100 控制系统原理框Fig.2 Block diagram of the control system of SP-100

反应堆控制器接受来自顶层的控制指令，包括启动/关闭和反应堆功率变化的要求等少量关键指令，其他控制则均由控制器实现自主控制。

2.1.2 启动控制方案

SP-100 的启动控制主要有低功率启动、锂回路解冻和升功率3 个阶段，反应堆启动控制序列如图3所示［10］。

图3 SP-100 启动控制序列Fig.3 Start-up control sequence of SP-100

重启过程与首次启动过程类似，“状态预测”模块持续地更新控制鼓是否处于预定次临界的位置。如已到达该位置，则控制鼓的转动速度将变慢，缓慢重回临界。由于锂回路可能无需解冻，重启的速度将比首次启动的过程更快。

2.1.3 功率运行控制方案

反应堆控制采用反应性程控和温度控制结合的方式［11-13］。这一控制方式得益与SP-100 采用的热电泵，可自发根据系统运行的温度改变流量。该工艺设计结合热管的被动传热的特性，使得整个系统的流量调节是自发的，无需主动控制。因此，整个装置唯一可以主动控制的就是堆芯内的安全棒和堆芯外的控制鼓。值得注意的是，核辅助电源系统计划（The Systems for Nuclear Auxiliary Power，SNAP）项目（包括SNAP 10 A）均采用该控制方式，其充分性已得到证明。

反应堆基本以基荷模式运行，闭环温度控制。如功率需求较低，反应堆控制器根据功率需求的变化，改变反应堆冷却剂温度设定值，以降低反应堆功率。上述闭环温度控制方法可自动处理燃耗带来的影响。

2.2 普罗米修斯计划

普罗米修斯计划于2003 年1 月由布什政府批准，计划用于木星冰卫星轨道器（Jupiter Icy Moons Orbiter，JIMO），绕木星轨道运行并探索冰冻卫星，以证明其能安全、可靠地运行于民用深空探测任务。工作重点为200 kWe 核反应堆的设计，预期其使用寿命为15～20 年［14］。由于地球与木星之间的通信延迟和中断时间长，要求反应堆控制系统具有更高的自主性。美国最终采取气冷快堆-布雷顿的方案，装置总长近58 m，未展开直径约为5 m。整个空间堆系统包括反应堆模块、散热模块、功率调节和分配模块。后由于技术复杂度过高，2006 年，“普罗米修斯”计划被终止。

2.2.1 控制系统架构设计及总体要求

反应堆控制系统需完成以下几种模式下的自主控制［14］：

1）自主启动；

2）稳定功率运行；

3）瞬态变功率运行；

4）事故工况；

5）维护和测试操作；

6）停堆。

其控制架构采用一种高可靠性的3 层架构，还兼具一定的容错性。

顶层监控层：共有3 个顶层监控通道，配置可采用工作/热备/冷备或工作/热备/热备2 种方式，负责整个系统的顶层控制，包括数据管理和诊断、协调软件升级、与下级控制器协同。

反应堆控制层：由4 个反应堆控制子通道协同配合，负责反应堆的监测和控制、与顶层控制器通信及与功率调节和分配子系统的直接交互。

仪表和执行机构层：包括12 个独立的控制通道，负责与反应堆控制器通信、执行器运动、位置采集、故障探测等。

2.2.2 启动控制序列

反应堆从冷停堆开始的启动序列［14-15］如下：

1）利用航天器太阳能电池驱动布雷顿发电机逐步建立反应堆冷却剂流量。

2）缓慢微调动反射层，引入小的反应性直至临界。

3）继续升功率加热冷却剂气体。

4）当冷却剂温度足够高，达到规定水平后，布雷顿机组可以开始无需驱动自运行，并可以开始产生足够的电。

5）反应堆控制器通过冷却剂温度控制反应性输入，功率调节和分配控制器通过调节负载限制布雷顿机组的转速；冷却剂温度控制和布雷顿机组转速控制协同控制，使得反应堆和这台布雷顿机组升功率至满功率状态。

6）第2 台布雷顿机组利用已启动的机组的发电开始启动，并缓慢提升至额定功率；至此，空间堆可以完成预计的发电任务。

2.3 星表裂变反应堆电源

“普罗米修斯”计划后，星表裂变反应堆电源（Fission Surface Power System，FSP）成为2006 年后美国核反应堆开发的重点之一。FSP 可为月球或火星表面的人类前哨站提供能量，系统采用钠冷快堆、斯特林热电转换以及水冷热管辐射器的方案。电源展开跨度大约为34 m，地面以上高5 m。辐射器底端在地面上方1 m，从而最大限度地减小了在辐射器表面积累尘土。如图4所示，反应堆位于深2 m 的坑内，上方有一个屏蔽保护其上的设备免受直接辐射。电磁泵、斯特林热电转换器和热排放泵安装在5 m 高的钢架结构上，钢架安装在反应堆上部屏蔽的上面［16-18］。装置可提供40 kW 净用户负载。此外配备光伏阵列和30 kW时的电池，作为启动和备用电源。

图4 FSP 概念设计Fig.4 Concept design of the FSP

2.3.1 控制系统总体设计

FSP 控制系统有过程检测与处理、监控、通信和控制4 大功能。其中通信方法暂未确定，可能包括对月表的监测，以及将数据遥测发回地球。反应堆启动时使用辅助电源供电，控制主泵和控制鼓。使用高数据速率通信从基于地球的控制站发出命令，在人工协助下执行启动顺序，或由训练有素的宇航员在地球操作员的支持下完成启动。启动预设程序借鉴“勇气号”和“机遇号”火星探测车上使用的控制方案，具有多个保持点，即根据地面指令顺序操作且在决定后续操作前，给地面操作人员预留足够的检查时间。如果在FSP 启动过程中通信丢失，反应堆可能需自动响应未预料到的事件，因此应具有一定程度的自治功能。在正常运行过程中，如与FSP 系统的通信中断，系统可以继续运行而不中断［20］。

2.3.2 控制策略设计

流量控制策略［19］：启动前不定时启动主泵，防止冷却剂冷冻；启动过程中，根据不同的开堆阶段，调整泵电压和频率，以改变钠钾合金流量；稳态运行后，定流量运行。

反应堆功率控制策略［19］：6 个控制鼓由直流步进电机独立驱动，分为2 类。其中3 个鼓是启动鼓。启动鼓比其他3 个鼓旋转得更快，且同时转动至设定功率的计算位置，此时反应堆处于次临界状态。其他鼓是调节鼓，负责细调功率。调节鼓转速比启动鼓慢，不完全旋转就能使反应堆达到临界状态，且仅可单个转动。

6 个控制鼓具有一定的剩余反应性，如果1 个鼓未能从反应性最低的位置转动，仍可正常保证反应堆临界；如果2 个鼓均不能从最小无功位置移动，那么系统不能正常发电。

在正常的稳态全稳定功率运行过程中，系统的反应性由于燃耗逐渐下降，需定期转动3 个调节鼓引入小的正反应性，从而保证反应堆温度维持在合理的范围内。该反应堆不需频繁的反应性控制动作，在没有控制鼓驱动电源的情况下，也可运行较长时间，唯一的结果是反应堆冷却剂出口温度和系统电力输出的轻微并逐步降低。

2.3.3 FSP 控制系统特殊性

1）可长时间无须反应性调节。FSP 装置可在没有任何反应性调整的情况下继续安全发电数月（甚至更长时间），SNAP-10A 地面试验反应堆已证明这一点，该反应堆在没有反应性调整的情况下运行超过10 000 h。

2）负反应性反馈系数大，可承受一定的瞬态工况，具有自稳性，在系统设计中考虑到常规的瞬态工况（如日出日落带来的环境变化等），并可应对部分预计外事件。反应堆固有的负温度反应性反馈需可应对大部分可能的故障模式，如主泵的损失（需要切换到备用泵）或单个斯特林转换器的损失。因此，控制系统可以不主动干预反应堆功率，而重点协调控制泵等设备，减轻对核心结构、部件和材料的瞬态影响。对于更严重的事件，还需进一步展开更为详细的评估。

3 苏联TOPAZ Ⅱ型空间堆

TOPAZ 型热离子核反应堆电源是已得到应用的功率最大（5～7 kW）、技术最先进的空间核反应堆电源。与TOPAZ Ⅰ电源相比，TOPAZ Ⅱ空间核电源采用单节热离子元件，发射前可在台架上开展电加热试验。

TOPAZ-Ⅱ反应堆是一种小型超热热离子反应堆。反应堆采用高浓度235U 燃料，热离子发电元件（Thermionic Power Generation Element，TFEs）同心排列成四圈，分别插入37 环形冷却剂通道的不锈钢内套管中［20］，内套管放置在慢化剂中不锈钢外套管的孔道内。内、外套管构成环形冷却剂流道，冷却剂从中流过，将TFEs 中没有转化成电能的废热排出堆芯，通过辐射散热器排至太空［21-25］。

3.1 控制系统架构设计及总体要求

TOPAZ Ⅱ的控制系统负责整个装置的监测、控制、保护和地面通信功能。整个控制系统分为仪表系统、自动控制系统和保护系统［26］。

3.1.1 仪表系统

仪表系统有4 类测量仪表：电离室、温度、压力和控制鼓角位置探测器，其中控制鼓角位置监测有3 种方式：旋变、终端位置开关和电机脉冲计数器［28］。

3.1.2 自动控制系统

自动控制系统由遥测控制系统、自动调节系统（Automatic Regulatory System，ARS）和供电控制系统组成［27-30］。

1）遥测控制系统：处理地面命令，中继遥测和顺序启动动作，负责装置顶层控制决策。

2）自动调节系统：接收来自仪表的测量信号和部分地面指令，产生控制信号来控制控制鼓组件，负责保护极停堆功能。自动调节系统设计要求为：热控制范围为150%的功率，精度为±700 W。

3）供电控制系统：调节向航天器总线提供的电源，保持总线电压在（27±0.8）V。

TOPAZ Ⅱ自动控制系统原理如图5 所示。

图5 TOPAZ Ⅱ自动控制系统原理框Fig.5 Block diagram of the autonomous control system

其中自动调节系统又分为3 个独立的控制器：电源电流控制器、反应堆功率控制器和控制鼓驱动控制器。电源电流控制器基于热离子发电元件输出电流，给出反应堆功率设定值，死区为±3.5 A；反应堆功率控制器根据中子探测器测量到的反应堆功率与设定值的偏差，向控制鼓驱动控制器发送命令，功率调节死区为±250 W。控制鼓驱动控制器负责驱动控制控制鼓驱动机构的电机动作。

如反应堆冷却剂出口温度超过585 ℃，限制功率设定值升高；如冷却剂出口温度达到600 ℃，降低功率定值，控制控制鼓反转。

3.1.3 保护系统

保护系统主要有安全鼓及驱动子系统和反射层组件弹射子系统。

反应堆启动前，3 个安全鼓保持在初始位置（-2.0 $反应性），防止在大多数不涉及水淹没等情况下出现事故工况。反射层组件弹射子系统可在以下3 种情况将反射层组件弹射解体，快速停堆：

1）从地面接收到连续的2 个弹射命令；

2）收到2 个航天器紧急停堆信号；

3）收到2 个运载火箭紧急停堆信号。

3.2 启动控制方案

TOPAZ 的启堆控制策略［31-33］主要包括启动前准备、盲区启动、提升功率阶段和稳定发电控制阶段。其中，“盲区”指5%的额定满功率（Full Power，FP）以下时，尚未到达中子功率探测器的最小探测水平（Minimum Detectable Level，MDL），此时中子探测器无法有效地抵抗环境噪声，也无法提供可靠有效的示数。盲区启动阶段，控制鼓不进行闭环调节，通过地面调试试验得到固定启堆鼓位序列，缓慢提升功率。当高于MCL 1～3% FP，约6～9%FP 时，控制系统转入闭环控制，通过反应堆功率闭环调节，反应堆按照要求的速度提升功率，见表2。

表2 TOPAZ II 运行限值参数表Tab.2 Operating limit parameters of TOPAZ II

当反应堆电源产生稳定可靠的电功率时，控制系统进入电功率-核功率闭环调节阶段，根据电功率负荷进行调节。俄罗斯允许70 min 内完成以上启动程序，具体的启动控制序列如图6 所示。

图6 TOPAZ Ⅱ启动控制序列Fig.6 Start-up control sequence of TOPAZ Ⅱ

3.3 功率运行控制方案

TOPAZ Ⅱ有启动模式和功率运行模式2 种调节模式。在启动模式下，遵循预设控制要求，见表2。启动后，控制系统切换到功率运行模式，由发电电流控制器确定功率定值，维持核电源的功率运行。

4 分析及启示

空间堆控制系统是提升核动力装置安全、自主、可靠和稳定运行能力的关键手段。在空间堆控制系统设计方面，美俄均开展大量的理论研究、设计及验证相关工作，虽然目前其较多型号的设计仅停留在概念设计阶段，且公开的空间堆控制系统运行经验反馈和控制算法相关的文献较少，但设计和研究工作一直是空间堆研发的重难点之一。

目前，各国空间堆控制系统研发面临不同型号空间堆控制特性不同，缺乏实验数据、计算模型缺乏实验验证、系统运行与动态特性缺乏经验、空间任务复杂多样，以及控制系统自主性与可靠性要求高等诸多技术挑战。综上所述，本文对未来空间堆控制系统研发，提出几点思考。

1）空间堆自治控制应注重高可靠性而不是高智能性：空间堆自治控制涉及控制系统的每个环节，而不应简单地在控制算法方面盲目追求新型的智能算法。允许对预期事件进行一定程度的降级和容错控制。整个控制系统可控制性的实现，需综合考虑多种控制策略、先进的测量设备、冗余的通信手段等多个方面。

2）控制系统架构设计方面，建议根据不同型号地核动力装置的空间任务、运行工况、工艺设计等，灵活设计，采用多层架构，如顶层遥测指挥层、智能辅助控制层、自动控制层等架构。

3）控制策略研发方面，充分掌握装置的静态、动态控制特性，并结合工程实际开展验证试验等工作；同事针对不同型号的空间任务不同，覆盖地面阶段、发射准备阶段、发射及部署阶段、运行阶段、废弃处置阶段等不同任务阶段控制策略的设计。

4）设计验证方面，空间堆控制系统应在实堆试验前开展数字和半实物仿真验证试验，进而最大程度地验证其设计的合理性，缩短研发周期。

5 结束语

本文研究成果将为空间堆控制系统设计提供参考，阐述了美俄典型型号的空间核动力装置的控制系统的设计现状，从控制系统总体要求与架构设计、自动启动控制方案、功率运行协调控制方案等几个方面总结其设计方案及特色，结合未来空间核动力的发展需求，以期为未来多种型号的空间堆控制系统的研发提供借鉴和指导。