説明
timechart コマンドは、検索結果2 に基づいて統計値の時系列チャートを作成するために使用されます。timechart コマンドを by 句とともに使用して、結果を 1 つ以上のフィールドで分割し、チャートに複数のシリーズを作成できます2。ただし、timechart コマンドを使用する場合、_time が既にチャートの x 軸として暗黙的に指定されているため、by 句の後にリストできるフィールドは 1 つだけです2。したがって、オプション B は正しく、オプション A、C、および D は正しくありません。

正解はAです。maxspanオプションは含まれていません1。
Splunkでは、トランザクションコマンドは共通の特性を持つイベントを1つのグループにまとめるために使用されます。
デフォルトでは、transaction コマンドは一致するすべてのイベントを 1 つの transaction1 にグループ化します。
ただし、maxspanオプションを使用してトランザクションの期間を制限することができます1。
トランザクションの最初と最後のイベントがmaxspan値を超えると、トランザクションコマンドは新しいトランザクションを開始します。
トランザクション1.
したがって、maxspanオプションが検索に含まれていない場合、トランザクションコマンドは複数の
トランザクションの最初のイベントと最後のイベントの間の時間間隔が
デフォルトの最大スパン値1。
以下は、検索で maxspan オプションを使用する方法の例です。
index=メイン sourcetype=access_combined | トランザクション someuniqefield maxspan=1h
この検索で​​は、トランザクションコマンドは同じ一意のフィールド値を共有するイベントを1つのグループにまとめます。
ただし、トランザクション内の最初のイベントと最後のイベントの間の時間間隔が1を超えない場合に限ります。
時間範囲が 1 時間を超える場合、トランザクション コマンドは新しいトランザクション 1 を開始します。

参照:https://docs.splunk.com/Documentation/Splunk/8.0.3/SearchReference/Transaction

強調表示された検索用語は、Splunk で一致する検索結果を示します。つまり、イベントのどの部分が検索文字列 2 に一致するかを示します。たとえば、error OR fail を検索すると、Splunk はイベント内の error または fail を強調表示して、どのイベントが検索文字列 2 に一致するかを示します。したがって、オプション D は正解ですが、オプション A、B、C は強調表示された検索用語で示されていないため不正解です。