参照：
ナレッジ オブジェクトは、データに知識を追加し、検索や分析を容易にするために作成するエンティティです2。ナレッジ オブジェクトの例としては、フィールド抽出、フィールド エイリアス、ルックアップなどがあります2。フィールド抽出は、正規表現、区切り文字、キーと値のペアなどのさまざまな手法を使用して生データからフィールドを抽出する方法です2。フィールド エイリアスは、元のフィールド名や値を変更せずに、既存のフィールドに別の名前を割り当てる方法です2。ルックアップは、CSV ファイルやデータベースなどの外部ソースからの追加情報を使用してデータを充実させる方法です2。これらのナレッジ オブジェクト/設定が適用される順序は、フィールド抽出、フィールド エイリアス、ルックアップの順です2。つまり、Splunk は最初に生データからフィールドを抽出し、次に抽出したフィールドにエイリアスを適用し、エイリアスが付けられたフィールドに対してルックアップを実行します2。したがって、オプション B は正しく、オプション A、C、D は誤りです。

spanオプションはtimechartコマンドの時間範囲を指定するために使用されます。span値は数値です。
時間の単位（hは時間、dは日、wは週など）が続きます。スパン値は、データの
データは時間単位でグループ化されます。たとえば、span=12h はデータが12時間単位でグループ化されることを意味します。
間隔。timespanオプションはtimechartコマンドの有効なオプションではありません2
1: Splunk Core Certified Power User Track、9 ページ。2: Splunk ドキュメント、timechart コマンド。

説明
次の検索を実行すると、次のようなグラフが作成されます。
index_internal sourcetype=Savesplunker | fields sourcetype、status | transaction status maxspan=1d | timechart count by status 検索では次のことが行われます。
index_internal を使用して、Splunk ログとメトリックを含む内部インデックスを指定します。
sourcetype=Savesplunker を使用して、Splunk Enterprise Security アプリを示すソースタイプでイベントをフィルター処理します。
イベント内のソースタイプとステータスのフィールドのみを保持するために、ソースタイプとステータスのフィールドを使用します。
トランザクション ステータス maxspan=1d を使用して、トランザクション内の最初のイベントと最後のイベント間の最大期間が 1 日であるステータス フィールドに基づいて、イベントをトランザクションにグループ化します。
タイムチャート カウント バイ ステータスを使用して、時間の経過に伴う各ステータス値のトランザクション数を示す時間ベースのチャートを作成します。
グラフには次の内容が示されています。
黄色と青色の 2 本の線がある折れ線グラフです。
X 軸には、2018 年 4 月 4 日水曜日から 2018 年 4 月 10 日火曜日までの日付がラベル付けされています。
Y 軸には 0 から 15 までの数字が付けられます。
黄色の線は「発送済み」を表し、青い線は「成功」を表します。
黄色の線は 0 から 15 まで着実に増加していますが、青い線は 0 から 5 まで急激に増加し、その後 0 まで減少し、その後 10 まで急激に増加しています。
グラフのタイトルは「タイプ」です。
したがって、選択肢Cが正解です。

説明
正解は A です。| ここで、10yearAnnerversary=Renewal-MonthYear です。
where コマンドは、true または false に評価される式に基づいて検索結果をフィルタリングするために使用されます。
where コマンドは、2 つのフィールド、2 つの値、またはフィールドと値を比較できます。また、where コマンドでは、関数、演算子、ワイルドカードを使用して複雑な式を作成することもできます1。
where コマンドの構文は次のとおりです。
| where <式>
式は、比較、計算、論理演算、またはこれらの組み合わせにすることができます。式は、各イベントに対して true または false に評価される必要があります。
where コマンドで 2 つのフィールドを比較するには、引用符なしでフィールド名を使用する必要があります。たとえば、10yearAnnerversary フィールドの値が Renewal-MonthYear フィールドの値と一致するイベントを検索する場合は、次の構文を使用できます。
| 10yearAnnerversary=更新月年
これにより、2 つのフィールドの値が同じイベントのみが返されます。
他のオプションは、フィールド名を引用符で囲むため正しくありません。これにより、where コマンドはフィールド名ではなく文字列値として解釈します。たとえば、次のように使用します。
| ここで '10yearAnnerversary' = 'Renewal-MonthYear'
文字列値 '10yearAnnerversary' が文字列値 'Renewal-MonthYear' と等しいイベントがないため、イベントは返されません。
参考文献:
whereコマンドの使用法