eval コマンドの「if」関数には、次の 3 つの引数が (順番に) 必要です: ブール式、結果 if
true、falseの場合は結果。eval コマンドは、新しいフィールドを作成したり、フィールドを変更したりできる検索コマンドです。
既存のフィールドに対して計算または変換を実行します。eval コマンドではさまざまなコマンドを使用できます。
フィールドに対してさまざまな操作を実行する関数。「if」関数は使用できる関数の1つです。
eval コマンドを使用して、フィールドの条件付き評価を実行します。「if」関数は 3 つの引数を取ります。
true または false に評価されるブール式。ブール式が true の場合に返される結果。
ブール式が false の場合に返される結果。「if」関数は 2 つのうちの 1 つを返します。
ブール式の評価に基づいた結果。

eval コマンドは、式を使用してフィールドを作成または変更できる Splunk コマンドです。
if 関数は、条件を評価し、条件が満たされているかどうかに基づいて値を返す式です。
条件は true または false です。if 関数の構文は if(X,Y,Z) です。X は条件、Y は条件です。
X が true の場合に返される値、Z は X が false の場合に返される値です。
isnotnull 関数は、引数が null でない場合は true を返し、それ以外の場合は false を返す式です。
isnotnull 関数の構文は isnotnull(X) です。X はチェックする引数です。
したがって、式 if (isnotnull (src), src, host) は、src が null でない場合はその値を返し、
それ以外の場合はホストの値。これは、ホストが存在する場合は、src からホストの新しい値を提供することを意味します。
それ以外の場合は、host の元の値を保持します。

参照: https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/definecalcfields 計算フィールドは、eval コマンドを使用して既存のフィールドに対して計算を実行することによって作成されるフィールドです。検索バーで計算フィールドを使用すると、計算値に基づいてイベントをフィルタリングおよび変換できます。計算フィールドは、正規表現、区切り文字、検索などのさまざまな方法を使用して生データから抽出されるフィールドである抽出フィールドに基づくこともできます。計算フィールドは、eval コマンドを使用して計算を実行するためのショートカットではなく、むしろeval コマンドを使用して計算を実行した結果。計算フィールドは、ホストとソースタイプだけでなく、Splunk の任意のフィールドに適用できます。
したがって、計算フィールドに関しては、ステートメント A、B、および D が当てはまります。

正解はAです。maxspan オプションは含まれていません1。
Splunk では、transaction コマンドを使用して、共通の特性を共有するイベントを 1 つのイベントにグループ化します。
デフォルトでは、transaction コマンドは、一致するすべてのイベントを 1 つのトランザクション 1 にグループ化します。
ただし、maxspan オプションを使用してトランザクションの期間を制限できます1。
トランザクション内の最初と最後のイベントが maxspan 値を超えると、transaction コマンドによって新しいイベントが開始されます。
トランザクション1.
したがって、maxspan オプションが検索に含まれていない場合、transaction コマンドによって複数のエラーが生成される可能性があります。
トランザクション内の最初のイベントと最後のイベントの間の時間が経過した場合は、トランザクションの代わりにトランザクションが実行されます。
デフォルトの最大スパン値1。
検索で themaxspanoption を使用する方法の例を次に示します。
インデックス=メイン ソースタイプ=access_combined | トランザクション someuniqefield maxspan=1h
この検索で​​は、transaction コマンドは、同じ固有のフィールド値を共有するイベントを 1 つのグループにグループ化します。
ただし、トランザクション内の最初のイベントと最後のイベントの間の期間が 1 を超えない場合に限ります。
時間幅が 1 時間を超える場合、transaction コマンドは新しいトランザクション 1 を開始します。