説明
正解は B. ルート イベント データセットです。これは、ルート イベント データセットが、データセットに関係のないイベントを除外する制約によって定義されているためです。ルート イベント データセットの制約は、sourcetype=access_combined など、かなり広範囲のデータを返す単純な検索です。制約がないと、ルート イベント データセットにはインデックス内のすべてのイベントが含まれることになり、データ モデリングには役に立ちません。データ モデルの設計方法とルート イベント データセットの追加方法については、Splunk ドキュメント 1 を参照してください。ルート トランザクション データセットとルート検索データセットでは、トランザクション定義や複雑な検索など、データセットを定義する方法が異なり、ルート子データセットはルート データセットの有効なタイプではないため、他のオプションは正しくありません。

説明
前述したように、計算フィールドは、別のフィールドの値に基づいて作成するフィールドです2。計算フィールドは、正規表現、区切り文字、キーと値のペアなどのさまざまな方法を使用して生データから抽出されたフィールドである抽出フィールドに基づくことができます2。したがって、選択肢 B は正解ですが、選択肢 A、C、D は計算フィールドのベースとなるフィールドの種類ではないため、不正解です。

説明/参照: https://docs.splunk.com/Documentation/Splunk/8.0.4/SearchReference/Timechart

参考:https://answers.splunk.com/answers/4993/eventtype-vs-saved-search.html