Splunkの計算フィールドは、eval式を使用して検索時にフィールドを自動的に追加するように設計されています。
この機能により、ユーザーは既存のデータに基づいて新しいフィールドを定義でき、検索のたびに手動でevalコマンドを含める必要がなくなります。計算フィールドは、evalロジックをフィールド構成に直接組み込むことで、繰り返し行う検索作業を簡素化します。
参考文献：
* Splunkドキュメント：計算フィールド
* Splunk Answers: 計算フィールドの目的

上記のいずれか
Explanation:
以下の検索を実行するには、whereコマンドを使用できます。
... | 失敗＞成功
where コマンドは、複雑な条件やカスタム条件に基づいてイベントをフィルタリングできる検索コマンドです。where コマンドでは、任意のブール式または関数を使用して各イベントを評価し、保持するか破棄するかを決定できます。また、where コマンドでは、>、<、=、+、- などの演算子を使用してフィールドを比較したり、フィールドに対して計算を実行したりすることもできます。where コマンドは、テーブルやグラフを作成する変換コマンドの後に使用できます。
以下の検索文字列は、次のことを行います。
where コマンドの前にある検索条件やコマンドを表すには、... を使用します。
これは、whereコマンドを使用して、失敗と成功という2つのフィールドの比較に基づいてイベントをフィルタリングします。
これは、各イベントの失敗フィールドと成功フィールドの値を比較するために、大なり演算子（>）を使用します。
失敗が成功を上回るイベントのみを記録する。

Splunk Common Information Model (CIM) アドオンを使用して正規化する場合の推奨アプローチ
データはAです。CIMデータモデル参照表を参照してください。これは、CIMデータモデル参照表が
データモデル内の各データセットに想定されるフィールドとタグに関する詳細情報を提供します。
参照表を参照することで、データソースに関連するデータモデルを特定できます。
データフィールドを CIM フィールドにマッピングする方法。参照テーブルを使用してデータを検証することもできます。
正規化に関する問題のトラブルシューティングを行ってください。CIMデータモデルのリファレンステーブルはSplunkにあります。
ドキュメント1またはSplunk Web2のデータモデルエディターページ。他のオプションは正しくありません。
これらはCIMアドオンやデータ正規化とは関係ありません。認証コマンドはカスタムです
認証データモデルに対してイベントを検証するコマンドですが、正規化には役立ちません
その他の種類のデータ。相関コマンドは、イベントに対して統計分析を実行する検索コマンドです。
フィールドはありますが、データフィールドを CIM フィールドにマッピングするのには役立ちません。CIM イベントタイプの参照テーブル
イベントタイプはCIMアドオンの一部ではないため、存在しません。

説明/参考資料: https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/SetupaPOSTworkflowaction