説明/参考資料: https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/WhatisSplunkknowledge

transaction コマンドは、特定の条件を満たすイベントに基づいてトランザクションを検索する Splunk コマンドです。
さまざまな制約1.
トランザクションは、各メンバーの生テキスト（_raw フィールド）、タイム フィールドと日付フィールドで構成されます。
最も初期のメンバー、および各メンバーの他のすべてのフィールドの和集合1。
トランザクションコマンドは、トランザクションの一部である生イベントにいくつかのフィールドを追加します12。
フィールドは次のとおりです。
期間: 最初と最後のイベントのタイムスタンプの差（秒単位）
トランザクション12。
eventcount: トランザクション内のイベント数12。
closed_txn: トランザクションがクローズされたか、または削除されたかを示すブール値フィールド。
トランザクションは、次の条件のいずれかを満たす場合に閉じられます: maxevents、maxpause、maxspan、
または、startswith2。トランザクションは、これらの条件のいずれにも該当せず、かつ、
maxopentxnまたはmaxopenevents23で指定されるメモリ制限。
したがって、値をチェックすることで、排除されたトランザクションと排除されていないトランザクションを区別できます。
closed_txn フィールドの。closed_txn フィールドは、削除されたトランザクションの場合は 0 (false)、削除された場合は 1 (true) に設定されます。
立ち退きを伴わない、または完了した取引の場合23。

参考資料：https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/Usesearchmacros
検索文字列でマクロを実行する正しい方法は、macro_name($arg1$, $arg2$,
...) ここで、$arg1$、$arg2$などはマクロの引数です。この場合、マクロ名は
convert_sales は、currency、symbol、rate の 3 つの引数を取ります。引数はドル記号で囲まれています。
記号はカンマで区切られます。したがって、マクロを実行する正しい方法は convert_sales($euro$, $€$,
0.79)