複数の異なるデータには、フィールド抽出器（FX）の正規表現モードを使用する必要があります。
フィールドを区切る文字、または非構造化データ用。正規表現モードでは、
サンプルイベントで抽出したいフィールドをハイライトすると、フィールド抽出ツールが通常の
類似イベントに一致する式を作成し、そこからフィールドを抽出します。参照：フィールド抽出の構築を参照してください。
フィールドエクストラクターを使用する場合 - Splunk ドキュメントおよびフィールドエクストラクター: メソッドの選択ステップ - Splunk
ドキュメント。

これは、イベントタイプが、特定の検索条件に一致する一連のイベントにユーザー定義の名前を割り当てる知識オブジェクトであるためです。たとえば、sourcetype=access_combined、status=200、action=purchase のイベントに対して successful_purchase という名前のイベントタイプを作成できます。次に、eventtype=successful_purchase を検索語として使用して、これらのイベントを見つけることができます。イベントタイプを使用して、アラート、レポート、ダッシュボードを作成することもできます。イベントタイプの詳細については、Splunk のドキュメントを参照してください。他のオプションは、イベントタイプとは何かを説明していないため、正しくありません。ログレベルの測定は、info、warn、error など、イベントの重大度を示すフィールドです。フィールドが抽出される前に適用される知識オブジェクトはソースタイプであり、データの形式と構造を識別します。ログ、メトリック、トレースは、Splunk が取り込んで分析できるデータタイプですが、イベントタイプではありません。

transaction コマンドと stats コマンドは、共通のフィールドまたは時間範囲に基づいて 1 つ以上のデータ ソースからのイベントをグループ化する 2 つの方法です。transaction コマンドは、関連するイベントのグループから単一のイベントを作成しますが、stats コマンドはイベントのグループに関する要約統計量を計算します。eval コマンドと coalesce コマンドは、フィールドを作成または結合するために使用され、イベントをグループ化するためには使用されません。format コマンドは、サブ検索の結果をフォーマットするために使用され、イベントをグループ化するためには使用されません。top コマンドと rare コマンドは、フィールドの最も一般的または最も一般的でない値をランク付けするために使用され、イベントをグループ化するためには使用されません。
1: Splunk Core Certified Power User Track、9ページ。 2: Splunkドキュメント、トランザクションコマンド。 3:
Splunkのドキュメント、statsコマンド。

JSESSIONID でイベントをグループ化するには、index=web sourcetype=access_combined | transaction JSESSIONID | search SD470K92802F117 (オプション B) という検索式を使用します。transaction コマンドは、同じ JSESSIONID 値を持つイベントをグループ化し、特定のセッションに関連付けられたすべてのイベントを単一のトランザクションとして分析できるようにします。その後、SD470K92802F117 を検索することで、グループ化されたトランザクションをフィルタリングし、指定されたセッション ID に関連するトランザクションのみを含めることができます。

正解はBです。productNameフィールドの値が正解です。なぜなら、それが最初に表示されるからです。
coalesce関数は、任意の数の引数を受け取り、最初の引数を返すeval関数です。
null ではない値。null 値はフィールドに値がまったくないことを意味し、空の値は
フィールドには値がありますが、それは "" または長さがゼロの 1 です。
coalesce関数は、名前は異なるが同一データを表すフィールドを結合するために使用できます。
IP アドレスやユーザー名など。coalesce 関数は、フィールドの名前を明確化するためにも使用できます。
利便性2。
coalesce関数の構文は次のとおりです。
合体(<field1>,<field2>,...)
coalesce 関数は、引数リストの中で null でない最初のフィールドの値を返します。すべてのフィールドが
null の場合、coalesce 関数は null を返します。
例えば、IPアドレスがclientipまたはipaddressに抽出される一連のイベントがある場合、
coalesce 関数を使用して、clientip または ipaddress のいずれかの値を取る ip という新しいフィールドを定義できます。
nullでないかどうかに応じて：
| eval ip=coalesce(clientip,ipaddress)
この例では、製品名が productName または
productid と coalesce 関数を使用して productINFO という新しいフィールドを定義し、その値を取得します。
productNameまたはproductidのいずれか、nullでない方に応じて：
| eval productINFO=coalesce(productName,productid)
特定のイベントに対して productName フィールドと productid フィールドの両方に値がある場合、coalesce 関数は以下を返します。
引数リストの最初に表示されるproductNameフィールドの値が優先されます。productidフィールドは無視されます。
合体関数によって。
したがって、productName フィールドの値が、両方のフィールドが一致する場合に productINFO フィールドに入力されます。
特定のイベントに対して値を持つ。
参考文献：
検索コマンド> 合体
Splunk EVAL関数の使用方法：COALESCE