以下の様な感じではいかがでしょうか。
index=_internal sourcetype="splunkd" group="per_sourcetype_thruput" series!=splunk* | eval gb=kb/1024/1024 | timechart limit=20 minspan=1d sum(gb) by series
以下の様な感じではいかがでしょうか。
index=_internal sourcetype="splunkd" group="per_sourcetype_thruput" series!=splunk* | eval gb=kb/1024/1024 | timechart limit=20 minspan=1d sum(gb) by series