以下の検索を実行すると、以下のようなグラフが作成されます。
index_internal sourcetype=Savesplunker | fields sourcetype, status | transaction status maxspan=1d | timechart count by status 検索では以下の処理が行われます。
これは、index_internalを使用して、Splunkのログとメトリックを含む内部インデックスを指定します。
これは、sourcetype=Savesplunker を使用して、Splunk Enterprise Security アプリを示す sourcetype でイベントをフィルタリングします。
これは、sourcetype、statusというフィールドを使用して、イベントにsourcetypeとstatusフィールドのみを残します。
これは、トランザクションステータス maxspan=1d を使用して、ステータスフィールドに基づいてイベントをトランザクションにグループ化し、トランザクション内の最初と最後のイベント間の最大時間間隔を 1 日とします。
この機能では、timechart count by status を使用して、各ステータス値におけるトランザクション数を時系列で示す時間ベースのグラフを作成します。
グラフは以下のことを示しています。
これは、黄色と青色の2本の線で構成された折れ線グラフです。
x軸には、2018年4月4日（水）から2018年4月10日（火）までの日付がラベル付けされています。
y軸には0から15までの数字が記されています。
黄色の線は「出荷済み」を、青色の線は「成功」を表します。
黄色の線は0から15まで着実に増加しているのに対し、青色の線は0から5まで急激に増加し、その後0まで減少し、さらに10まで急激に増加している。
グラフのタイトルは「タイプ」です。
したがって、選択肢Cが正解です。

説明／参考資料：https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/definecalcfields

トランザクション コマンドは、JSESSIONID などの指定されたフィールドで共通の値を持つイベントを、指定された時間範囲内でグループ化します。検索コマンドは、結果をフィルタリングして、指定された JSESSIONID の値に一致するイベントのみを表示します。この検索で​​は、JSESSIONID でイベントをグループ化し、JSESSIONID2 の値が SD462K101C2F267 であるイベントのみを表示します。
1：Splunk Core認定パワーユーザートラック、9ページ。 2：Splunkドキュメント、トランザクションコマンド。

参考資料：https://docs.splunk.com/Splexicon:Calculatedfield
eval コマンドは、式に基づいて新しいフィールドを作成したり、既存のフィールドを変更したりするために使用されます。eval 式の出力は計算フィールドであり、これは別のフィールドの値に基づいて作成されるフィールドです。計算フィールドを使用すると、データに付加情報を追加したり、データをより有用な形式に変換したりできます。したがって、オプション B は正解ですが、オプション A、C、D は、eval 式の出力を表す知識オブジェクトの名前ではないため、不正解です。