参考:https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/Definesearchmacros

参照:https://answers.splunk.com/answers/653427/fillnull-doesnt-work-without-specfying-a-field.html
fillnullコマンドは、null値を指定された値に置き換えるか、値がない場合は0に置き換える検索コマンドです。
指定してください。Null値はSplunkで欠落している、空である、または未定義の値です。fillnullコマンドは
すべてのフィールドまたは特定のフィールドのヌル値を置き換えます。fillnullコマンドはオプションの引数を取ることができます。
ヌル値を置き換える値を指定する値と呼ばれる。値引数が指定されていない場合は、fillnull
コマンドはデフォルトで null 値を 0 に置き換えます。

フィールドエイリアス、フィールド抽出、および
ルックアップ。
https://docs.splunk.com/Documentation/CIM/4.15.0/User/UsetheCIM tonormalized data at searchtime

Splunk では、マクロは引数を受け入れることができ、2 つの引数を取るマクロの正しい構文は、macro_name(argument1, argument2) です。この場合、マクロは samplemacro と呼ばれ、2 つの引数を受け入れるため、正しい形式は samplemacro(1,2) になります。この構文を使用すると、動的な値をマクロに渡すことができ、提供された引数に基づいて検索を動的に変更できます。
参考文献:
* Splunk ドキュメント - マクロ