説明/参照: https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/Definesearchmacros

説明
timechartコマンドは、選択された時間範囲2に応じて、データを時間間隔でグループ化します。timechartコマンドはchartコマンドに似ていますが、イベントを時間間隔に基づいて自動的にグループ化します。
_time フィールド 2。時間バケットのサイズは、検索に選択した時間範囲によって異なります。たとえば、時間範囲として過去 24 時間を選択した場合、Splunk はタイムチャートに 30 分のバケットを使用します。時間範囲として過去 7 日間を選択した場合、Splunk はタイムチャートに 4 時間のバケットを使用します 2。
したがって、オプション B は正解ですが、オプション A と C はタイムバケットのサイズに影響を与える要因ではないため不正解です。

In Splunk, a data model's root dataset is the foundational element upon which the rest of the data model is built. The root dataset can be of various types, including search, transaction, or event-based datasets. One of the key features of the root dataset is that it automatically inherits the knowledge objects associated with its base search. These knowledge objects include field extractions, lookups, aliases, and calculated fields that are defined for the base search, ensuring that the root dataset has all necessary contextual information from the outset. This allows users to build upon this dataset with additional child datasets and objects without having to redefine the base search's knowledge objects.

正解は D です。field2 の値は field1 の値に置き換えられます。
フィールド エイリアスは、既存のフィールド名に追加の (新しい) 名前を関連付ける方法です。フィールド エイリアスは、名前は異なるが同じデータを表す、異なるソースのフィールドを正規化するために使用できます。また、フィールド エイリアスは、わかりやすくするため、または利便性を高めるためにフィールドの名前を変更するためにも使用できます1。
Splunk Web でフィールド エイリアスを作成するときに、[フィールド値の上書き] オプションを選択して、フィールド エイリアスの動作を変更できます。このオプションは、元のフィールドに値がないか存在しない状況、および元のフィールドと共にエイリアス フィールドがイベント内のフィールドとして既に存在する状況を Splunk ソフトウェアが処理する方法に影響します2。
フィールド値を上書きするオプションを選択した場合、次のルールが適用されます。
イベントに元のフィールドが存在しないか値がない場合、エイリアス フィールドはそのイベントから削除されます。
イベントに元のフィールドとエイリアス フィールドの両方が存在する場合、エイリアス フィールドの値は元のフィールドの値に置き換えられます。
フィールド値の上書きオプションを選択しない場合は、次のルールが適用されます。
イベント内に元のフィールドが存在しないか値がない場合、そのイベント内のエイリアス フィールドは変更されません。
イベント内に元のフィールドとエイリアス フィールドの両方が存在する場合、両方のフィールドがそれぞれの値で保持されます。
したがって、field1-field2 というフィールド エイリアスを作成し、[フィールド値の上書き] オプションを選択した場合、イベントに field1 の値のみが含まれていると、field2 の値は field1 の値に置き換えられます。
参照：
計算フィールドについて
フィールドエイリアスについて
Splunk Webでフィールドエイリアスを作成する