Они работают на математических функциях, а для вычисления каждого ключа (под ключем я имею в виду то число, которое генерируется, и которое вы вводите для авторизации) используется либо счетчик, либо последовательное хеширование.

Грубо говоря, в токене зашита некоторая односторонняя функция f(x), и некоторое стартовое число k. Сервер также знает, какая функция и какое число используется в токене, привязанном к вашему аккаунту.

Если это модель со счетчиком, то с помощью вашей функции вычисляется f(k), а затем k увеличивается на единицу (или изменяется как угодно еще, главное чтобы по известному алгоритму). Если это последовательные вычисления ключа, то каждый следующий ключ это результат работы функции на предыдущем ключе, то есть вычисляется f(k), потом f(f(k)), f(f(f(k))), и так далее.

Соответственно каждый раз, когда вы нажимаете на кнопку, токен вычисляет следующий ключ. Когда вы вводите его для авторизации, сервер также вычисляет тот же самый ключ и сравнивает их.

Либо я неправильно понял ваш вопрос, либо он равносилен вопросу «Почему PIN-код хранят отдельно от банковской карты?»…

Используется так называемая астроинерциальная навигация — посмотрите вот здесь. Грубо говоря, это обычная инерциальная навигационная система, как отметил ipswitch, но только дополненная специальным устройством для компенсации накапливающихся погрешностей.

А чем вам не понравилась формула в таком виде, в каком она есть? Это формула Байесовской вероятности, которая довольно неплохо работает.
Не очень понял, что значит «среднее арифметическое голосов и их число». Среднее арифметическое это и есть сумма голосов деленная на их число. В этом случае у вас не будет адекватного сравнения моделей с большим количеством и малым.
Например, модель с 2000 голосами, из которых 1999 голосов — «5», и один голос — «2» получит меньше 5 баллов и будет стоять ниже, чем модель за которую проголосовали всего один раз и поставили «пятерку». Формула Байесовой вероятности как раз нужна, чтобы избежать такой ситуации. Посмотрите еще эту статью.