参照：
https://docs.splunk.com/Documentation/SplunkLight/7.3.5/GettingStarted/Designdatamodelobjects

正解はCです。商品、count: addtocart、count: remove、count: purchase、sum: addtocart、sum:
削除、合計：購入1。
Splunk では、chart コマンドを使用して、データからテーブルまたはチャートの視覚化を作成します2。
chart コマンドは、少なくとも 1 つの関数と 1 つのフィールド、およびオプションでグループ化する別のフィールドを受け取ります。
指定された検索では、chart コマンドが 2 つの関数 (count と sum)、2 つのフィールド (domain と price)、およびグループ化する 2 つのフィールド (product と action) とともに使用されています。usenull=f および useother=f オプションは、チャートから null 値とその他の値を除外するために使用されます2。
chart コマンドは、コマンド 1 内のフィールドと関数の順序に一致するヘッダーを持つテーブルを作成します。count 関数のヘッダーには count: というプレフィックスが付き、sum 関数のヘッダーには sum:1 というプレフィックスが付きます。product フィールドと action フィールドの値は、ヘッダー 1 のサフィックスとして使用されます。
したがって、このコマンドによって作成されるテーブル ヘッダーは、Product、count: addtocart、count: remove、count: となります。
購入、合計: カートに追加、合計: 削除、合計: 購入1。

stats コマンドは、count、sum、avg、min、max などの検索結果の要約統計を計算するために使用されます2。stats コマンドは、フィールドで計算を実行するために使用できるさまざまな関数をサポートしています2。ただし、addtotals は統計関数ではなく、各グループ内の値の合計を含む行または列を追加する別のコマンドです2。したがって、オプション B は正しいですが、オプション A、C、および D は有効な統計関数であるため、正しくありません。

以下の検索では、2 つ以上のフィールド (clientip と host) でイベントをグループ化し、開始制約と終了制約 (maxspan=30s および maxpause=5s) を持つトランザクションを作成し、各トランザクションの期間を計算します。
index=main | トランザクション クライアント IP ホスト maxspan=30s maxpause=5s
検索では次のことが行われます。
* イベントはインデックス main でフィルタリングされます。これは Splunk のデフォルトのインデックスで、他のインデックスに送信されないすべてのデータが含まれています。
* トランザクション コマンドを使用して、clientip と host の 2 つのフィールドに基づいてイベントをトランザクションにグループ化します。
トランザクション コマンドは、同じ clientip および host 値を共有するイベント グループから新しいイベントを作成します。
* maxspan および maxpause 引数を使用して、トランザクションの開始制約と終了制約を指定します。maxspan 引数は、トランザクション内の最初のイベントと最後のイベント間の最大時間間隔を設定します。maxpause 引数は、トランザクション内の連続する 2 つのイベント間の最大時間間隔を設定します。この場合、maxspan は 30 秒、maxpause は 5 秒です。つまり、これより長い時間間隔または一時停止を持つトランザクションは、複数のトランザクションに分割されます。
* 各トランザクションに期間、イベント数、開始時刻などの追加フィールドを作成します。
* 期間フィールドには、トランザクションの最初のイベントと最後のイベント間の期間が表示されます。

トランザクションコマンドは、共通するイベントのグループから単一のイベントを作成する検索コマンドです。
いくつかの共通する特徴があります。トランザクションコマンドは、フィールド、時間、またはその両方に基づいてイベントをグループ化できます。
トランザクションコマンドは、各トランザクションに対していくつかの追加フィールドを作成することもできます。
トランザクションコマンドは、期間、イベント数、開始時刻などに基づいてトランザクションのセットをグループ化しません。
時間ではなく、時間に基づいて一連のイベントをトランザクションにグループ化します。トランザクションコマンドは
1 つ以上の値に基づいて 2 つのイベントを分離するのではなく、1 つ以上の値に基づいて複数のイベントを結合します。
トランザクションコマンドは、イベントログで見つかったクレジットカード取引の数を返すのではなく、
むしろ、検索条件に一致するイベントからトランザクションを作成します。